Newsgroup: it.news.net-abuse
Titolo: Attacco da un pop TIN

 Stamattina courtney mi segnalava un "HEAVY ATTACK" da un pop di TIN
Che e' 'sto courtney?
P.s.: me la spieghi questa?
NNTP-Posting-Host: 10.1.25.135
-- 
Giglio
E-mail: 
gig...@poboxes.com
Homepage: 
http://fly.to/giglio/
ICQ: 12385960

 'The Krazy One'   ::--------
->  "To reign is worth ambition, though in hell."   |  UIN: 21267457  <-
-<  "Better to Reign in Hell Than Serve in Heaven"  | ircnet: krazy98 >-
---** Let he who takes the plunge remember to return it! **---

 una rete privata, e il server pure, ecco perche' quell'ip.
Ora per esempio vedo 10.1.25.131 . Si, capisco la rete privata, ma
allora tutti potrebbero spammare con l'IP della rete privata senza
essere rintracciati.


 'The Krazy One'   ::--------
->  "To reign is worth ambition, though in hell."   |  UIN: 21267457  <-
-<  "Better to Reign in Hell Than Serve in Heaven"  | ircnet: krazy98 >-
---** Nothing is more relaxed than a sleeping cat. **---

---** Nothing is more relaxed than a sleeping cat. **---
---------------------------------------
Stefano Marsani
Torino
wa...@sinet.it
ICQ #26337714
--------------------------------
Togliere _ANTISP per rispondere via e-mail

essere rintracciati.
Non solo ha postato da una macchina con IP privato 10.1.25.135, ma
pure il news server su cui ha postato (
news.eden.it
, 
krazy.eden.it
,
ns1.eden.it
, che sono tutti e tre sinonimi di 195.120.134.57) dovrebbe
avere almeno una interfaccia di rete in grado di ricevere direttamente
i pacchetti provenienti da 10.1.25.135 (altrimenti il nntp daemon non
avrebbe scritto 10.1.25.135 nel campo NNTP-Posting-Host); insomma e'
probabile che la macchina 
news.eden.it
 che si presenta su Internet con
195.120.134.57 abbia un'altra interfaccia verso la rete privata.
--
----------------------------------------------------------------------
Marco Coletti
Network Admin, Webmaster, Tuttologo :)
PGP public key:
http://keys.pgp.com:11371/pks/lookup?op=get&exact=on&search=0x96A79061
Fingerprint: 9F E5 80 61 F6 9F 05 2D  EA 53 6F 2D 82 8B C7 C2
----------------------------------------------------------------------

Che e' 'sto courtney?
sostanzialmente e' uno script in perl che prende l'output di tcpdump e 
puo' essere configurato in modo da mandare ad esempio una mail a root se
qualcuno prova a farti un portscan 
ciao,
Lindo

 'The Krazy One'   ::--------
->  "To reign is worth ambition, though in hell."   |  UIN: 21267457  <-
-<  "Better to Reign in Hell Than Serve in Heaven"  | ircnet: krazy98 >-
---** Eat Crap! 10 Trillion flies can't be wrong. **---

 Se _e' un problema_ attendo soluzioni.
Per me non e' un problema, ma magari se uno spammer usa la stessa
soluzione....


 soluzione....
Si, ma non puo' falsificare contemporaneamente NNTP-Posting-Host: e Path:,
quindi, se l'NNTP-Posting-Host non e' veritiero, comunque, il colpevole e' uno
di quelli sul path.
Ciao!
-- 
 Daniele
-------------------------------------------------------------------------------
Linux is obsolete
(Andrew Tanenbaum)
-------------------------------------------------------------------------------
 Dal 01-03-1993, con un solo POP abbiamo fatto guadagnare a telecom italia
 33.497.774 Lire solo in scatti alla risposta. Non male eh ?
-------------------------------------------------------------------------------
 Daniele Orlandi - Utility Line Italia - 
http://www.orlandi.com
 Via Mezzera 29/A - 20030 - Seveso (MI) - Italy
-------------------------------------------------------------------------------

una rete privata, e il server pure, ecco perche' quell'ip. 
Dovresti configurare il reverse mapping per gli indirizzi della rete
interna e assegnargli hostname nel tuo domain.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery

soluzione....
Si fa una bella segnalazione a chi gli fornisce la connettivita',
(o dove va il feed) il che non guasta mai in ogni caso soprattutto
se c'e' chi fa il furbo. 
Ad ogni modo non e' certo il caso di Pietro :-) Lui gli spammers
li spalma ;-)
Ciao
Mario Benvenuti
--
e-mail: 
mar...@isa.it
http://www.computerville.it
* PGP Key Available * 

10.0.1.57. 
Se il NAT e` 1:1 a maggior ragione nella rete interna deve esserci un
name server separato che li associ ai FQDN usati all'esterno.
