Newsgroup: it.news.net-abuse
Titolo: il firewall mi dice ciò...

Chi sono queste persone?
Oggi il firewall mi ha bloccato decine di port scan, é un abuso 
quello che fanno?
Grazie per le risposte
ASP
% This is the RIPE Whois server.
% The objects are in RPSL format.
%
% Rights restricted by copyright.
% See 
http://www.ripe.net/ripencc/pub-services/db/copyright.html
inetnum:      217.169.112.32 - 217.169.112.63
netname:      wbszero
descr:        Web server - Zeroproject
country:      it
admin-c:      RS24287-RIPE
tech-c:       NL1893-RIPE
tech-c:       RDC6-RIPE
tech-c:       MDF10-RIPE
status:       assigned PA
notify:       
simone...@interbusiness.it
mnt-by:       FULCOM-MNT-RIPE
changed:      
simone...@interbusiness.it
 20020411
source:       RIPE
route:        
217.169.112.0/21
descr:        IDC BLK 03 - MI
origin:       AS20746
notify:       
net...@net.idc-ti.it
mnt-by:       FULCOM-MNT-RIPE
changed:      
roberto...@telecomitalia.it
 20020520
source:       RIPE
person:       Roberto Saracino
address:      IT Telecom S.p.A.
address:      IT.OI.EDC
address:      IT Operations & Infrastructures
address:      Engineering Delivery Tecnico & Control Room
address:      Parco De Medici - 00100 Roma (RM)
address:      Italy
phone:        
+39 800 483 333
 (3)
nic-hdl:      RS24287-RIPE
changed:      
noc-rm.co...@telecomitalia.it
 20030418
source:       RIPE
person:       Nicola Lattanzio
address:      via Paolo di Dono 44
address:      00143 Roma
address:      Italy
phone:        
+39 06 36874252
e-mail:       
nicola.l...@interbusiness.it
nic-hdl:      NL1893-RIPE
changed:      
giovanni....@telecomitalia.it
 20010510
source:       RIPE
person:       Roberto  Di Chio
address:      Telecom Italia SpA
address:      Wireline Services
address:      viale Parco dei Medici, 61
address:      I-00148 Roma
address:      Italy
phone:        
+39 06 36899828
fax-no:       
+39 06 91280115
e-mail:       
roberto...@telecomitalia.it
nic-hdl:      RDC6-RIPE
changed:      
roberto...@telecomitalia.it
 20010816
changed:      
roberto...@telecomitalia.it
 20020702
source:       RIPE
person:       Michele De Filippis
address:      Telecom Italia SpA
address:      Wireline Services
address:      via Paolo di Dono, 44
address:      I-00143 Roma
address:      Italy
phone:        
+39 06 36873999
fax-no:       
+39 06 36874909
e-mail:       
michele.d...@telecomitalia.it
nic-hdl:      MDF10-RIPE
changed:      
roberto...@telecomitalia.it
 20010831
source:       RIPE
_____________________________
Inviato da 
www.mynewsgate.net

 address:      Engineering Delivery Tecnico & Control Room
Oddio, che si siano messi finalmente a cercare e far chiudere i proxy
aperti?  In effetti, e' il momento giusto per i Miracoli..
Sarebbe una delle piu' belle notizie apparse su questo ng negli
ultimi mesi..
[ PS tutti i fornitori di DSL residenziali oggidi' devono scannare
  in modo completo i loro clienti alla ricerca di insicurezze - cosa
  che gli spammers fanno comunque ].
--
furio ercolessi
http://www.spin.it/spam/

aperti?
Temo di no, quello è un normale ISP virtuale: 
http://www.zeroproject.it/
Più probabile che gli abbiano bucato un server... :-)
-- 
ciao, |
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery

 Piů probabile che gli abbiano bucato un server... :-)
Cioe' dici che l'admin-c di 
217.169.112.32/27
, quello della "Engineering 
Delivery Tecnico & Control Room" [1], _non_ e' il responsabile di
"Web server - Zeroproject" ?   Puo' essere.
--
furio ercolessi
http://www.spin.it/spam/
[1] Stanza Tecnica e di Controllo dell'Ingegnerizzazione delle Consegne?
    Stanza Tecnica e di Controllo della Consegna dell'Ingegneria?
    Ingegnerizzazione della Stanza Tecnica e di Controllo Consegne?
    Ingegnerizzazione delle Consegne Tecniche, e Stanza di Controllo?

     Ingegnerizzazione delle Consegne Tecniche, e Stanza di Controllo?
ROFL :-))

 inetnum:      217.169.112.32 - 217.169.112.63
Non e' che il "portscan" veniva da 217.169.112.40? O proveniva dalla 
porta 80/tcp o 25/tcp, era diretto a porte alte a caso e il traffico
aveva il flag FIN e/o ACK? O presentava altre, note, caratteristiche
che dovrebbero farlo [quasi] immediatamente classificare come falso
positivo? 
Comunque i portscan sono un abuso. Quello che e' da stabilire, prima,
e' se i _tuoi_ sono portscan ;-)
Fabio

Marco |  
Cioè qualcuno sfrutta il loro server per fare degli scanning sulla rete?
Cmq è una cosa che è durata circa un'ora ieri pomeriggio, oggi già non 
lo fa più...
grazie a tutti
ASP
_____________________________
Inviato da 
www.mynewsgate.net


hai parlato un po' arabo per me :)
Ciň che ho riportato č il back trace che mi ha fatto il Sygate. L'allarme 
che mi ha visualizzato era cmq un portscan da parte dell'IP segnalato
BOH!


 dell'IP segnalato
Spesso i rilevatori di portscan scambiano per portscan anche del 
traffico lecito: e' necessario verificare le caratteristiche del 
traffico per poter stabilire con ragionevole certezza di cosa si
tratta. Il fatto che provenga da un range ip in cui son presenti
server non depone a favore di un portscan intenzionale, anche se
non puo' essere escluso (piu' probabile un worm al limite... con
i tempi che corrono). Lo stesso si puo' dire per il fatto che il
portscan e' stato ripetuto numerose volte: ne basta una, no? ;-)
Considera sempre che questi software sono molto pesismisti e non
perdono occasione di presentare un evento con toni allarmistici.
Se vuoi intraprendere un azione in seguito a eventi come questi,
inviando segnalazioni a provider e sysadmin, dovresti imparare a
distinguere un falso positivo e a ricavare piu' informazioni sul
traffico di rete coinvolto: segnalare dei "portscan" senza altri
dati piu' circostanziati, o in relazione a una normale attivita'
di rete, e' una perdita di tempo sia per te sia per l'abuse.
Fabio



ROFL!
Fabrizio