Protezione e-mail in Norton Antivirus 2001

[eymerich]

Su gentile richiesta di Antares sposto qui la discussione sulla configurazione di NAV 2001 iniziata in http://forum.wintricks.it/showthread.php?threadid=14877

Come dicevo,chiedo a chiunque dei forumisti utenti del NAV 2001 se sia davvero il caso o meno di attivare la protezione della posta configurando i client e-mail nelle Opzioni per Norton Antivirus,Internet,Protezione e-mail.

Se infatti le caselle non vengono marcate,appare la dicitura:
Il client e-mail non è stato configurato.La funzione Autoprotezione di Norton Antivirus proteggerà comunque il sistema da pericolosi attacchi che è possibile ricevere via e-mail.

Il che lascia pensare che eseguendo una scansione manuale degli allegati sia possibile comunque essere protetti da eventuali allegati infetti.

Se,sempre in Avanzate si mette il segno di spunta a Attiva configurazione manuale in Controllo scansione e-mail ecco che ci si ritrova nei programmi che lavorano in background anche il PoProxy.

Sempre nelle Opzioni ,ma questa volta in Sistema,Esclusioni c'è l'elenco dei file in cui NAV non andrà a cercare virus,tra cui i file dbx.

Vengo al punto:se non si configura in alcun modo la protezione e-mail ma ci si limita a tenere attiva l'autoprotezione per tutti i file e si elimina dall'elenco delle esclusioni i file dbx (che sono proprio quelli dei messaggi di posta) è ragionevole credere che si sia protetti anche dal lato e-mail senza incappare in altri problemi?

Alla tribù dei web-paranoidi ;) (di cui faccio parte) invece chiedo : è igienico :rolleyes: far passare il contenuto della propria posta attraverso i server della Simantec ?

[seneca]

Concordo sul fatto che non sia igienico far passare il contenuto della propria posta sul server della Symantec (anche se non sono sicuro che ciò accada :confused:)!
Ti dirò che, in generale, io sarei favorevole a criptare le e-mail usando PGP!
In effetti quel che dici relativamente ai file dbx mi sembra giusto.
L'unica differenza è che se Norton controlla l'e-mail ti blocca immediatamente gli eventuali virus allegati.

[alexex]

Secondo me è la cosa migliore lasciare al Norton la scansione delle mail. Magari ti capita di aprire il file che contiene il virus o qualcuno che usa il computer con te... Sempre meglio stare all' occhio. Me passano x il server Symantec? Non ti fa la scansione sul tuo computer? E poi se uno ha il norton originale nn dovrebbe porsi problemi di questo genere... Lasciateglielo fare, massima protezione è meglio di una drastica distruzione.. o formattazione... no? Ciao a tutti

[Antares]

Il caso volle che stasera la mia compagna riceva una mail dall'argentima.
Giusto per informarvi vi dico che la mail è passata sotto gli occhi al Nav 2000 aggiornato stamani (con Poproxy attivato) indenne però conteneva un allegato rivelatosi un Worm virus (per la precisione W32.Sircam.Worm@mm).
Per curiosità ho provato a fare la scansione della cartella posta in arrivo (con la mail infetta e l'esclusione dbx rimossa) e il Nav 2000 non ha rilevato nulla.

Mi sono forwardato la mail ed il Nav 2001 ha immediatamente riconosciuto il virus ma ho lasciato che la mail rimanesse infetta.
Ho fatto la scansione del file posta in arrivo.dbx (con l'esclusione *.dbx rimossa dalle opzioni del Nav) e il risultato è che il Nav non ha trovato nulla, niente di niente.
Ho salvato l'allegato per analizzarlo e l'autoprotezione ha fatto il suo dovere segnalandolo.

Concludendo, il sistema proposto da Eymerich si affida alla sola autoprotezione di Norton che potrebbe anche essere sufficente (sperando che non si distragga nemmeno un momento), però personalmente ritengo che non sia poi uno spreco così enorme di risorse e di privacy (ci sono ottimi sistemi per ovviare a ciò, vedi la crittazione) tutelare le mail con il Poproxy visto il livello di protezione consentito. ;)

Ps x Casper e Vitoz: il virus è abbastanza diffuso ma se vi interessa aggiungerlo alle vostre collezioni fate un fischio.

[eymerich]

Grazie a quanto ha raccontato Antares sembrerebbe che si possano stabilire due punti fermi:

1) l'autoprotezione per tutti i file,compresi i dbx,non è sufficiente.

2) il PoProxy attivato neppure.

Fin qui mi è chiaro tutto.
Quello che non mi è chiaro (eccezion fatta per la crittazione) è quando dici "personalmente ritengo che non sia poi uno spreco così enorme di risorse e di privacy (ci sono ottimi sistemi per ovviare a ciò, vedi la crittazione) tutelare le mail con il Poproxy visto il livello di protezione consentito.".

Se ho ben capito,NAV 2000 aggiornato+PoProxy attivato non ha riconosciuto il virus.
NAV 2001 ha invece riconosciuto il virus,ma con o senza PoProxy attivato ?

La domanda allora è questa:che cosa ha fatto la differenza,la versione del NAV,il PoProxy o l'intervento dell'utente ;)?
tnx

ps:tnx a Seneca e Alexex per le risposte :)

[Edited by eymerich on 20-07-2001 at 11:24]

[Antares]

Scusa eymerich ma non sono d'accordo. :)
1) L'autoprotezione può essere sufficiente però non nel caso si voglia tralasciare il Poproxy per fare una scansione manuale dei file dbx.
Le estensioni dbx sono escluse dalla scansione manuale per un motivo ben preciso, e l'abbiamo scoperto. ;)

2) il Poproxy è efficiente.
Il problema del virus non rilevato credo che sia da addebitarsi esclusivamente al Poproxy presente nella versione 2000, visto che quello incluso nella versione 2001 (di cui stiamo discutendo) compie diligentemente il suo lavoro.
In ogni caso sto verificando se l'errore del Nav 2000 è stato casuale o no, se vi interessa vi farò sapere.

La differenza (tra i due pc) l'ha fatta la diversa versione del Nav visto che i pc sono configurati nello stesso modo e dalla stessa persona, cioé io. ;)

Riguardo la frase che non ti è chiara:
Il nav è un ottimo prodotto, ma è noto per le sue richieste di risorse.
Qualcuno ha detto che eliminando il Poproxy si avrebbero più risorse disponibili; imho ritengo che siano risorse spese bene perché molto valido.
Per quanto riguarda la riservatezza e la privacy legate al transito delle mail sui server Symantec si può ovviare con vari sistemi.
That's all!

[eymerich]

Originally posted by Antares
That's all!

Okey ;):)

[Breazz]

Originally posted by seneca
Concordo sul fatto che non sia igienico far passare il contenuto della propria posta sul server della Symantec (anche se non sono sicuro che ciò accada :)


Scudate l'ignoranza :) , ma non ho capito, perchè quando è attivata l'autoprotezione delle e-mail la posta passa sul server della Symantec; la scansione non è effettuata con il motore interno di NA? :rolleyes:

Grazie ancora :)

[Antares]

Originally posted by Breazz
Scudate l'ignoranza :) , ma non ho capito, perchè quando è attivata l'autoprotezione delle e-mail la posta passa sul server della Symantec; la scansione non è effettuata con il motore interno di NA? :rolleyes:

Grazie ancora :)

Certo che no, la scansione delle mail non è effettuata con il Nav installato sul pc.
Tutte le mail vengono dirottate sui server Symantec.
Per verificare ciò basta vedere come il Nav modifica i server della posta in arrivo.

Esempio.
Account non protetto.
Server: pop3.infinito.it
Username: xxxxxxxxxx@infinito.it

Account protetto da Nav 2001:
Server: pop3.norton.antivirus
Username: xxxxxxxxxx@infinito.it/pop3.infinito.it/127.0.0.1

[Vitoz]

Originally posted by Antares
Ps x Casper e Vitoz: il virus è abbastanza diffuso ma se vi interessa aggiungerlo alle vostre collezioni fate un fischio.
si' grazie :) :D !

ne ho letto le descrizioni su Symantec e Nai, interessante.. ma non come "Romeo & Giuletta" (http://vil.nai.com/vil/virusSummary.asp?virus_k=98894)... un vero capolavoro... MOOOLTO pericoloso se non si e' ben aggiornati... (e troppo raro, temo che non finira' mai nella mia "galleria d' arte" :eek: )

[Breazz]

Originally posted by Antares

Certo che no, la scansione delle mail non è effettuata con il Nav installato sul pc.
Tutte le mail vengono dirottate sui server Symantec.
Per verificare ciò basta vedere come il Nav modifica i server della posta in arrivo.

Esempio.
Account non protetto.
Server: pop3.infinito.it
Username: xxxxxxxxxx@infinito.it

Account protetto da Nav 2001:
Server: pop3.norton.antivirus
Username: xxxxxxxxxx@infinito.it/pop3.infinito.it/127.0.0.1 [/B]

Ho fatto una prova:
ho cancellato le definizioni di NAV e mi sono autoinviato una e-mail con in allegato un virus, il poproxy non ha rilevato niente ;), invece ripristinando le definizioni, il poproxy ha rilevato il virus allegato alla e-mail; quindi il poproxy utilizza il motore interno al NAV, anche perchè, dirottare la posta sui server di Symantec penso che sia "leggermente" complicato :)

Ciao

[The Master]

LE EMAIL NON PASSANO PER I SERVER SYMANTECH.
Quel modo di scrivere "pop3.norton.antivirus" serve solo per dirottare la posta tramite una dll o qualcos'altro.
Chi usa programmi come multiproxy dovrebbe saperlo bene. C'è scritto di impostare come proxy 127.0.0.1:8088. Però 127.0.0.1 siamo noi !!!
Provate a pingare questo indirizzo. Vi darà ping <10ms. L'ho appena provato e sto scaricando a manetta. Persino wintricks mi dà un ping di 3 secondi. Com'è possibile per me raggiungere un ip in meno di 10 ms ? Perchè quello sono io e quel ping non è uscito dal mio modem. Lo stesso discorso per la posta. Come un qualsiasi firewall vi dice che se avete aperto multiproxy questo sta "ascoltando" sulla porta 8088, vuol dire che sta ascoltando una nostra chiamata, lo stesso vale per il controllo del norton. Una qualche applicazione si preoccuperà di dirottare la posta in arrivo verso di se e poi di rimandarla all'outlook (dopo averla eventualmente ripulita) come se nulla fosse.
Quindi il lasciare lasciare l'OL così configurato non è fonte di nessun rischio, al massimo uno spreco di risorse e i vostri dati non usciranno dal pc (a meno che non ci siano spyware non conosciuti nell'antivirus ... ma questo è un'altero discorso).

[eymerich]

Originally posted by Antares

Certo che no, la scansione delle mail non è effettuata con il Nav installato sul pc.
Tutte le mail vengono dirottate sui server Symantec.
Per verificare ciò basta vedere come il Nav modifica i server della posta in arrivo.

Esempio.
Account non protetto.
Server: pop3.infinito.it
Username: xxxxxxxxxx@infinito.it

Account protetto da Nav 2001:
Server: pop3.norton.antivirus
Username: xxxxxxxxxx@infinito.it/pop3.infinito.it/127.0.0.1

Caro Antares...ma allora come diavolo funziona sto NAV2001?
Se i suindicati POP sono virtuali,come sostengono Breazz e The Master,non si pone più la questione della crittazione dei messaggi.
Quello che mi lascia più perplesso è invece quanto scrive Casper in http://www.wintricks.it/news1/news13.html#1133,ovvero "Io stesso ho ricevuto poco fa una email contaminata dal virus, che è riuscito a oltrepassare indenne la scansione della posta elettronica, prima che l'autoprotezione di Norton Antivirus lo identificasse al momento di salvare l'allegato su hard disk.(omissis)Suggerisco inoltre di provvedere immediatamente a modificare la configurazione degli antivirus, in modo che la protezione residente in memoria effettui la scansione di tutti i files e non solo delle estensioni predefinite, perchè questa impostazione di default si sta rivelando non più sufficiente."

Per quanto mi riguarda,dieci secondi dopo aver letto la notizia di Casper ho rimosso NAV 2001 e ho installato McAfee VirusScan 4.x,aggirando il problema a modo mio(in attesa di NAV 2002 che andrò senz'altro a testare quanto prima).
La questione infatti è ora completamente diversa:se non è più in discussione la privacy della posta,lo è quella dell'efficacia di NAV 2001.
Tnx anche a Breazz e a The Master per le risposte :)

[Edited by eymerich on 25-07-2001 at 17:17]

[Antares]

Ho letto quello che ha detto The Master con molta attenzione e, verificando le connessioni di rete alla ricezione delle mail devo dire che qualche dubbio mi è venuto.

Ecco cosa ho fatto (quello che segue è un copia incolla dal telnet):
telnet://pop3.norton.antivirus 110

+OK POP3 server ready
user antares67@infinito.it/pop3.infinito.it/127.0.0.1
+OK please send PASS command
pass xxxxxxxxxxxxxxxxx
+OK antares67@infinito.it is welcome here
list
+OK 0 messages
quit
+OK antares67@infinito.it InterMail POP3 server signing off.

Il server non solo non è virtuale ma mi ha loggato ed ha verificato se avevo delle mail.

I dubbi che avevo si sono quasi del tutto dissolti.
Aspetto qualcuno che me li faccia tornare (sono propenso a discuterne perché voglio fare chiarezza sulla faccenda) ed invito tutti quelli che utilizzano il Nav a fare la prova, non è assolutamente difficile.
Se avete problemi nel farlo sono qui a vostra disposizione per risolvere vari problemi (dovete impostare l'echo locale sennò non vedrete ciò che scrivete).
Byez

Ps x Eymerich: tranquillo, non farti prendere da improvvise angoscie. ;)
E' vero che capita che il virus non venga riconosciuto dalla scansione delle mail (a proposito sai che adesso il Nav 2000 sull'altro pc lo riconosce sempre?), ma c'è pur sempre l'autoprotezione che fa il suo dovere.
Per quanto riguarda l'impostazione di controllo su tutti i files, beh io l'ho impostato così sin dalla prima installazione.

[Edited by Antares on 22-07-2001 at 05:01]

[Breazz]

Ho fatto la stessa prova di Antares con telnet e il risultato è stato identico. :)
Popproxy agisce, come un server locale virtuale pop3, che esegue la scansione delle e-mail quando, tramite lui, si accede ad una qualsiasi casella di posta che utilizza il protocollo pop3; si è utilizzato questo approccio (utilizzare un server virtuale) in modo da rendere trasparente ad un qualsiasi client di posta la scansione di NAV.

Ciao

[Antares]

Ebbene è stata trovata la soluzione all'arcano.
Leggetevi questa F.A.Q. (http://service1.symantec.com/SUPPORT/nav.nsf/docid/2000091511103806) sul sito della Symantec che spiega in dettaglio il funzionamento del PoProxy.

Come giustamente avevano detto Breazz (ed altri), PoProxy viene utilizzato in locale come proxy server virtuale.
Dopo aver letto la Faq direi che non c'è nulla da eccepire in questo sistema di analisi delle mail, e si capisce lo scopo del server a cui mi ero connesso.

Per verificare ciò basta fare vedere questo copia incolla da una finestra dos (che potete fare anche voi):
Esecuzione di Ping pop3.norton.antivirus [127.0.0.1] con 32 byte di dati:

Risposta da 127.0.0.1: byte=32 durata<10ms TTL=128
Risposta da 127.0.0.1: byte=32 durata<10ms TTL=128
Risposta da 127.0.0.1: byte=32 durata<10ms TTL=128
Risposta da 127.0.0.1: byte=32 durata<10ms TTL=128

L'ip del server (come visualizzato in alto) è 127.0.0.1 cioé il nostro pc. :)

Tirando le somme (IMHO), conviene ed è assolutamente consigliato utilizzare PoProxy visto che (fortunatamente) possiamo stare tranquilli per quanto riguarda la privacy, ci fornisce una ottima protezione dai virus e aggiungo (cosa non citata finora) dall'esecuzione di script malicious.
Byez