Newsgroup: it.news.net-abuse
Titolo: flood

ma il flood di stanotte č stato cosě terribile?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Ragazzi, non possiamo star qui a non far nulla: la gente potrebbe
scambiarci per dei lavoratori.
		-- Spike Milligan

> ma il flood di stanotte č stato cosě terribile?
Solo su x-privat :-) il server di "individual" ha
_segato_ via tutti i messaggi; ho idea che
"qualcuno" dovrebbe rivedere la config :-)
Ciao

 ma il flood di stanotte č stato cosě terribile?
Ciao,
io prima pensavo fosse un problema di qualche msg malformato che ha
ingannato il mio Netscape, poi perň quando ho cancellato i gruppi,
riscaricato e la cosa si ripresentava ho visto che su Google era uguale;
allora ho notato negli header il flooder!
Spero che lo stronzo venga immediatamente segato e randellato a dovere
per interruzioni del servizio; spero che il suo ISP lo denunci alla
Postale !
Gabriele

 Solo su x-privat :-)
mica vero..
-- 
~ L'anima č piena di stelle cadenti (V.Hugo) ~ 
http://snipurl.com/akkuaria
http://snipurl.com/paola_libri
http://snipurl.com/paola_poesie

 ma il flood di stanotte č stato cosě terribile?
qui c'erano piu' di mille post..


 
Soli? a me mozilla dava 2kmessaggiepassa da leggere..
Ho detto tutto letto e buonanotte, ma me ne sono persi sicuramente molti; 
altri ce ne erano su it.diritto.intenet, ma meno.
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Mio nonno era un uomo molto insignificante.  Al suo funerale, il carro
funebre seguiva le altre auto.
		-- Woody Allen

 meno. 
Sì probabilmente li avrà spalmati un po' ovunque.
Umpf!
-- 
~ L'anima è piena di stelle cadenti (V.Hugo) ~ 


 ma il flood di stanotte č stato cosě terribile?
Io ho contato 1335 post. Ho approfittato del fatto che tutti iniziavano
con "ciao!" e poi c'era una "<".
Con una regexp ho isolato tutti i post. Poi ho scritto a libero...
"Gentile Sig. Polli,
La ringraziamo per aver contattato il nostro servizio.
La informiamo che abbiamo, appena adesso, disattivato l'utente
responsabile dell'abuso.
"
Non mi pare una risposta preconfezionata..
Ciao,
-- 
      Ermanno Polli   (INFN-LNF)
    user:      hostname:  subdomain:  domain:  country:
ermanno.polli    N/A        lnf         infn     it

 "qualcuno" dovrebbe rivedere la config :-)
sbagli. E' passato anche su NIN quanto su tutti gli altri server. Solo 
che hanno rimosso in fretta e furia i messaggi, cosa che io non ho 
ancora fatto perchè un pò impegnato. Questa sera vedro di farlo.
-- 
Ciao, Dmitry

 ma il flood di stanotte è stato così terribile?
da me - qui - ne sono arrivati un centinaio

 ma il flood di stanotte è stato così terribile?
Chi, il franscesino quotante?
Boh, dal mio user-issimo punto di vista, e' solo una seccatura, mi
piacerebbe pero' sentire i "grandi numeri".
Fabrizio

ma il flood di stanotte è stato così terribile?
Solo per chi non usa cleanfeed, da me ne sono passati 120 (difficile
fare di meglio, automaticamente).
-- 
ciao, |
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery

 ancora fatto perchè un pò impegnato. Questa sera vedro di farlo.
Vabbè .. uè, non vi alterate; dopotutto uno "svegliaaa" mi
sembrava opportuno .. però mica mi sono lamentato :-)
Ciao

 nel MSG
news:4231a577$
1...@x-privat.org
 ha scritto : 


non mi sono alterato. Il fatto è che questa mattina alle 6.30 controllo 
le news e vedo il fattaccio. La prima cosa che ho fatto è stata quella 
di controllare se era successo a tutti gli altri server da cui ho feed 
e non, compreso NIN, e ho constatato che ha eluso tutti .. del resto il 
controllo CRC sugli articoli, considerando gli stessi, era destinato a 
fallire, non so se hai notato, sono tutti diversi ..
-- 
Ciao, Dmitry

 fare di meglio, automaticamente).
bisognerebbe creare un filtro automatico che conteggi il numero di 
post/sec per IP o per user (nel caso di utenti con autenticazione). Si 
tratta di lavorarci ed in effeti credo si potrebbe fare anche in perl 
volendo. Dici che sarebbe fattibile?
Io ho un limite di numero di articoli/ora che lavora sugli IP e per 
user ma lo avevo tolto perchč cmq, nel mio caso, considera solo i post 
locali e non quelli che mi arrivano via feed. vabč, motivo in piů per 
migliorare e cercare altre soluzioni.
-- 
Ciao, Dmitry

 da me - qui - ne sono arrivati un centinaio
Infatti, di che flood parlate? <g>

 Infatti, di che flood parlate? <g>
se anche sono solo 100 messaggi invece che 1000 poco cambia, è 
flooding. 
-- 
Ciao, Dmitry

 fallire, non so se hai notato, sono tutti diversi ..
Si. ho notato, non che sia difficile da ottenere, basta qualche
riga di script o (se si trattava di una winbox) un pgm sul tipo
di 
http://www.elbiah.de/tools/nntpx.htm
 e due righe di batch
resta il fatto che a quanto ho visto, nonostante NIN abbia
avuto per un certo tempo i messaggi, ne aveva molti meno
credo che il loro filtraggio sia piů restrittivo; che poi abbiano
eliminato i messaggi "a manovella" č un'altro discorso
Ho idea che Marco abbia ragione riguardo cleanfeed :-)
sul fatto che poi a quello si possano aggiungere un "rate
limiter" e/o cmq altri filtri di vario tipo non ci piove
Ciao

 flooding.
Per me puoi considerare anche un solo messaggio come flooding, rimane il
fatto che 100 messaggi su 30mila (numero più o meno a caso, non stiamo a
sottilizzare) non sono granché.
1000 sono 10 volte tanto, e iniziano a incidere sul totale. 

post/sec per IP o per user (nel caso di utenti con autenticazione). Si 
Solo NPH causerebbe troppi falsi positivi.


 Ho idea che Marco abbia ragione riguardo cleanfeed :-)
cleanfeed limita il problema, in questi casi però non è molto
efficace e la dimostrazione è che il flood è passato via feed su
tutti i server che lo usano (guarda i path).
Se lo fosse stato non ne sarebbe passato nemmeno uno. Il controllo
in questi casi (flooding) su articoli 'quasi' uguali può essere
fatto solo sul numero di articoli nell'arco di X tempo su IP. Deve
qundi essere utilizzato un history sulla provenienza dell'articolo e
il controllo CRC/MD5 evidentemente non è sufficiente.
Ho usato cleanfeed fino a due mesi fa, poi lo ho sostituito con uno 
script che fa quasi, dico quasi, tutto quello che fa cleanfeed, in 
compenso fa meglio altre cose, imho. E' stato eliminato perchè ho
molte connessioni GPRS dove un ip comune viene nattato su più client
e questo mi creava dei seri problemi. Altri server forse non hanno
una clientela del genere e il problema non si pone. Io ho dovuto
fare una scelta di questo tipo. La versione di CL che usavo era la:
http://www.exit109.com/~jeremy/news/cleanfeed-0.95.7b.tar.gz
Certo del problema ne ho risentito di più che su altri server [1], 
innegabile ed infatti già da domani mi metterò a studiare una
possibile soluzione alternativa.
[1] il problema ho notato che è stato sentito pochissimo da Linuxfan
ai quali vanno quindi le mie lodi in tal senso.
-- 
Ciao, Dmitry


http://www.exit109.com/~jeremy/news/cleanfeed-0.95.7b.tar.gz
Terribilmente obsoleta, tra l'altro.


 Solo NPH causerebbe troppi falsi positivi.
si, infatti. servirebbe uno script che faccia un raffronto di questo 
tipo, imho:
Viene controllato il NPH e il numero di articoli/minuto inviati,
viene altresì conteggiato il numero di occorrenze nel body simili, se     
si supera una determinata soglia (direi potrebbe essere il 95 % per 
cautela) e le condizioni sussistono in AND, l'articolo viene rifiutato. 
Tutto questo, fatto il perl, credo sia possibile [1] ma certamente 
porterebbe ad un carico notevole di lavoro il server credo. Quindi 
niente CRC puro in questi casi ma una verifica a similitudine.
[1] In perl io non ci mangio a colazione, percui è una cosa che 
potresti (voglia e tempo) fare tu Marco.
-- 
Ciao, Dmitry


Premetto che non mi intendo affatto di news server, ma penso che forse
si potrebbe implementare anche un controllo relativo a "User-Agent"
associato all'IP in un arco di tempo, relativamente ai cross-post.
Ma esiste sui news server una black-list degli useragent? in questo caso
specifico, direi che da ieri in poi è d'obbligo bloccare "User-Agent: DoomAge1.3".
Se ho detto stupidate corregetemi !
Gabriele Polidori
-- 
OneNET Point Trieste							Tel: 
+39 040 771190
via San Francesco 28/c							Fax: 
+39 040 3726154
34133 Trieste - Italy							
http://www.onenet.it/TS/
Lun, Mer e Sab: 10-13 / 16-21. Altri gg: 16-21

 specifico, direi che da ieri in poi è d'obbligo bloccare "User-Agent: DoomAge1.3".
Eh, ma se il malandrino fosse cosi` scaltro da emulare uno
useragent comune e lecito?
Oppure se ne inventasse uno nuovo di sana pianta?
Alla fine credo conti realmente solo l'IP.
-- 
ciao, hal

viene altresì conteggiato il numero di occorrenze nel body simili, se     
Traducilo in un algoritmo e poi ne riparliamo. Così, è aria fritta.


 fritta. 
è quello che voglio fare (tempo permettendo)
-- 
Ciao, Dmitry

 1000 sono 10 volte tanto, e iniziano a incidere sul totale. 
QUando ho aperto mozilla ed ho visto che in inna avevo da scaricare 2000 e 
passa messaggi ci sono rimasto malino :-(
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
- Tu mi dai fastidio perche' ti credi tanto un Dio!
- Beh, dovro' pur prendere un modello a cui ispirarmi, no?
		-- Woody Allen

 cautela) e le condizioni sussistono in AND, l'articolo viene rifiutato.
Uhm .. in pratica vorresti utilizzare un rate-limiter accoppiato
con (es.) un filtro di normalizzazione (es. bayes, fuzzy o altri)
per verificare se i messaggi sono identici e nel caso scartarli
Si, credo sia fattibile anche se non so se sia opportuno usare
perl o passare a (es.) C.. per una semplice di performances
"sotto carico" (visto che il filtro dovrà gestire dei floods); non
che Perl non regga, però...
L'unico dubbio è l'eventuale percentuale di "falsi positivi" che
potresti avere da tale filtro visto che nel caso di un thread con
quoting "abbondante" e risposte "brevi" il filtro potrebbe essere
portato a scartare i messaggi
Ciao