Newsgroup: it.news.net-abuse
Titolo: Attacco dizionario da 69.180.103.161

Due righe solo per consigliarvi di bloccare 69.180.103.161, qui da me
ha iniziato un bell'attacco da dizionario di nomi, es:
Mar, 8 nov 2005 22:47:25 +0100  Receive failed from 
pau...@freesurf.ch
at 
freesurf.ch
 (69.180.103.161), recipient 
ant...@onenet.it
 not known.
Mar, 8 nov 2005 22:47:34 +0100  Receive failed from
robe...@ntlworld.com
 at 
ntlworld.com
 (69.180.103.161), recipient
an...@onenet.it
 not known.
Mar, 8 nov 2005 22:47:40 +0100  Receive failed from 
silv...@aol.com
 at
aol.com
 (69.180.103.161), recipient 
ant...@onenet.it
 not known.
Mar, 8 nov 2005 22:47:46 +0100  Receive failed from 
hele...@msn.com
 at
msn.com
 (69.180.103.161), recipient 
arch...@onenet.it
 not known.
Mar, 8 nov 2005 22:47:54 +0100  Receive failed from 
gera...@excite.com
at 
excite.com
 (69.180.103.161), recipient 
a...@onenet.it
 not known.
Mar, 8 nov 2005 22:48:02 +0100  Receive failed from
ali...@microsoft.com
 at 
microsoft.com
 (69.180.103.161), recipient
ba...@onenet.it
 not known.
Non si può mai star in pace...
Gabriele Polidori

 Non si può mai star in pace...
basta non avere VRFY ed avere abilitato un piccolo meccanismo di 
protezione .. Utente che si collega N volte /minuto viene disabilitato 
per altrettanti N minuti .. e vivi felice. Un banner provvisorio senza
bisogno che metti mano ogni volta nelle liste di ip cassati.
-- 
Ciao, Dmitry
I have a dream .. to carry Usenet in the house of every family

 bisogno che metti mano ogni volta nelle liste di ip cassati.
Chi e' l'"utente"? L'ip? Mi sembra un po' avventato come metodo.
Al limite si puo' fare una cosa simile quando si supera un certo
numero di RCPT respinti.
Fabio

 numero di RCPT respinti.
Con il rischio di bloccare comunque qualche grosso relayer nel caso di 
joejob o forgery da virus...

 numero di RCPT respinti.
sui RCPT c'è un limite, ma credo che tutti gli ISP lo abbiano ..
Sugli IP, io uso un lookout manager e non ho mai avuto problemi.


 Sugli IP, io uso un lookout manager e non ho mai avuto problemi.
E come funziona l'aggeggio?
Fabio

 E come funziona l'aggeggio?
vedi sopra. 


 basta non avere VRFY
Ti pare che un "Receive fail" abbia qualcosa a che fare
con VRFY?

 con VRFY?
avevo letto male, mi riferivo ad un semplice attacco dizionario 
utilizzando VRFY


> nel caso di joejob o forgery da virus...
Virus ok, anche se non ne ho in mente, ora, di vermi che possano 
causare traffico assimilabile ad un attacco a dizionario tramite 
un relay (mi sembra un meccanismo di spreading poco efficace).
Mi sfugge la questione joejob: da dove deriverebbe il rischio di
blocchi indesiderati?
Fabio

 tempo prestabilito.
Forse non hai letto bene il post di Gabriele. Ti riporto sotto le parti
piu' significative:
from 
pau...@freesurf.ch
 at 
freesurf.ch
 (69.180.103.161)
     ^^^^^^^^^^^^^^^^^^^
from 
robe...@ntlworld.com
 at 
ntlworld.com
 (69.180.103.161)
     ^^^^^^^^^^^^^^^^
from 
silv...@aol.com
 at 
aol.com
 (69.180.103.161)
     ^^^^^^^^^^^^^^^^
from 
hele...@msn.com
 at 
msn.com
 (69.180.103.161)
     ^^^^^^^^^^^^^^^^
from 
gera...@excite.com
 at 
excite.com
 (69.180.103.161)
     ^^^^^^^^^^^^^^^^^^^
from 
ali...@microsoft.com
 at 
microsoft.com
 (69.180.103.161)
     ^^^^^^^^^^^^^^^^^^^^^
Il tuo sistema non riesce a bloccare tentativi come questi, perche' il
MAIL FROM e' sempre diverso. Se ogni tentativo viene effettuato usando
una connessione diversa lo ferma il tuo rate limiting sul numero delle
connessioni nell'unita' di tempo (anche se non e' una pratica che puo'
essere applicata ovunque). Ma se sono tutti tentativi effettuati sopra
alla stessa connessione tcp, non funzionera' ne il rate limiting sugli
RCPT, ne, tantomeno, il tuo sistema sender+ip.
Fabio

 blocchi indesiderati?
Da una marea di rcpt to: relativi a bounce diretti ad account inesistenti.
Ovviamente, non vale se fai solo il check sul numero di rcpt to: nella 
singola sessione SMTP, o lo applichi anche al numero totale, su sessioni 
diverse...

 tuo sistema sender+ip. 
a dire il vero, in origine era solo su valutazione dell'IP, sono io che 
poi decido, in base al sender, come comportarmi.


 diverse...
Forse mi sono spiegato male ma, in ogni caso, io parlavo proprio di
questo.
Fabio