Newsgroup: it.comp.sicurezza.varie
Titolo: ool-182d32eb.dyn.optonline.net

Salve, ho installato Black Ice PC Protection e mi avvisa sempre su questo 
indirizzo:
Time, Event, Intruder, Count
19/02/03 18.05.07, TCP port probe, 
ool-182d32eb.dyn.optonline.net
, 90
Sapete cosa voglia dire?
P.S.
Secondo voi posso affiancarci Sygate FW??
-- 
-------------------------------------------------------------------------
  Un Anello per domarli, Un Anello per trovarli,
  Un Anello per ghermirli e nel buio incatenarli.
-------------------------------------------------------------------------
FIDDer #88 AS Crandall

 Secondo voi posso affiancarci Sygate FW??
Beh, intanto controlla il settaggio in Tools>Edit BlackICE Setting al tab
Firewall e seleziona il livello adatto (se scegli Paranoid ti va in allarme
anche per un traceroot :D).
Il tuo log può significare anche un semplice scan delle porte TCP o un
blando tentativo di "aggressione" a una porta TCP perpetrato 90 volte, come
altri tentativi di intrusione o un falso allarme. Per saperne di più vai nei
log delle evidence dell'applicazione e vedi a quell'ora da quell'indirizzo
ool-182d32eb.dyn.optonline.net
 cosa è provenuto.
--
tcmast3r
portal administrator
http://www.tcproject.info
portale italiano sulla security e sul networking

 
ool-182d32eb.dyn.optonline.net
 cosa è provenuto.
Ho cercato quel log, ma nn l'ho trovato... :PP
Ma trust cosa vuol dire?
p.s.
ho la vers 3.5.31


 FIDDer #88 AS Crandall
1- sono i file nella cartella del programma con estensione *.enc.
2- se selezioni Trust, ottieni che chiunque ti può massacrare. Fa solo il
detection e basta.


 Un nuovo tool per stanare i root biricchini? :)
Miii, quanto sei sofosticato! OK OK ho scritto una o al posto della u.
Sparatemi!
;)
"errata corrige": traceroute non traceroot


 Un nuovo tool per stanare i root biricchini? :)
Hai dimenticato il postincrocio e seguisu' :P
-- 
   => Don't Let Your Fears Stand in The Way of Your Dreams !!! <=
 
http://www.delymyth.net/
 ~ 
http://www.stores.ebay.it/delymythsstore/
 ICQ: 8761263 - MSN: 
dely...@msn.com
 E-Mail: 
DEly...@despammed.com
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=

 Sapete cosa voglia dire?
1) che i log di BlackIce fanno schifo e danno ben poche 
   informazioni utili (se e' tutto qui quel che dice);
2) che qualsiasi cosa fosse, BlackIce se n'e' accorto e 
   non l'ha fatta passare.
Togli la risoluzione dei nomi host, se ti e' possibile.
Fabio


Beh quello che ci ha dato l'amico non è proprio il log. Ma il semplice
alert!
Per quanto riguarda la risoluzione dei nomi host quando BI si  accorge del
"presunto attacco", blocca l'indirizzo dell'Intruder (se però è stato
impostato nei setting) e a quel punto lo elenca nel TAB [Intruders] dove
nella finestra di destra c'è sia il nome
pincopalla-hjsahjhsd-sjdks.cheneso.boh e subito sotto la risoluzione
dell'indirizzo IP.
La cosa un po' deludente sta in realtà nei log veri e propri: non ci sono
filtri! Per cui ti ciucci l'intero sniffing del traffico generato
dall'intruder.
Ad ogni modo si possono in alternativa prendere i files di evidence che
comma separated possono essere importati in Excel e da lì farsi tutti i data
filtering che si vuole. (Bruttino ma è così).


 dell'indirizzo IP.
Quel che dicevo e' che non e' buona norma lasciare attivata la
risoluzione inversa dei nomi nei firewall e negli ids e che e'
meglio disabilitarla, se e' possibile.
Fabio

 meglio disabilitarla, se e' possibile.
Lo so perň BI non lo fa!
Dopo il post mi sono andato a scaricare la vers. 3.6 e nemmeno quella č
stata migliorata nč sotto questo aspetto, nč sotto il filtering dei dati che
eviterebbe i false alerts.
Facendo delle prove con la vecchia versione nel lab mi sono accorto di una
cosa che perň vorrei verificare meglio (e non so se questa nuova versione
abbia eventualmente rimediato). Se fai ip-spoofing l'IDS di BI non si
accorge di niente! Pazzesco!


 Se fai ip-spoofing l'IDS di BI non si accorge di niente!
Ba', in effetti dovrebbe rilevarne varie tipologie tra spoofing e
attivita' di rete connesse. Dipende anche da che prove hai fatto.
Fabio


Infatti devo approfondire, puň darsi che non sia cosě!


> Lo so ma non funziona sempre! 
Be'..."non si puo'" e' ben diverso da "non funziona sempre".
E poi cosa vuol dire che non funziona sempre? E' una feature
strategica, per questa classe di prodotti, e... non funziona
sempre? Dici che quando i reverse lookup sono inattivi, puo'
essere che BI li esegua comunque? In quali situazioni scusa?
Fabio (che mi verrebbe quasi un seguisu'...)


Infatti ho detto che non lo fa. Non che non si può o non ci sia l'opzione di
impostazione prevista.
Ma se anche l'imposti ti rendi conto presto, che molto spesso con "presunti"
probe o attacchi (in particolarmodo con SQL e TCP probe, http attack) il
back trace non fa proprio una mazza. Anzi delle volte non ti segnala proprio
l'IP (neanche fossero dei fantasmi). Pertanto delle performance siffatte mi
fanno dire che BI non lo fa (xchè è come se non lo facesse).
Infine una chicca.
Capita che a volte (soprattutto nella versione 3.5, nella 3.6 non mi sembra)
compaia un alert persistente "http attack" proveniente da 
www.blaster-ds.com
e senza che venga risolto l'IP. Bene si può notare che se si selezione
(click destro) Block User Forever, BI non lo fa per niente. Soluzione?
Inutile agitarsi. Infatti quello non è un'attacco ma l'intepretazione che BI
fa dell'attività sua propria di autoaggiornamento da quel sito. Ridicolo ma
vero!


 OK OK ho scritto una o al posto della u.
Un errore da nulla...
A.
icq# 18752702
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 vero!
Non e' un nome un po' strano per un sito di update di blackice? A me
l'update lo faceva dal sito 
update.networkice.com
.
Fabio


Posto il reply alla mia segnalazione all'abuse:
Digex has received your complaint concerning a potential HTTP attack from
164.109.92.168 (
blaster-ds.com
) or 164.109.92.167 (
eyeblaster.com
). The
BlackICE alert was the result of an Eyeblaster ad that was activated during
your web connection to an Eyeblaster customer web site in order to update
your BlackICE. BlackICE generates an "HTTP Attack - Unknown" alert when the
Eyeblaster code is activated.
Digex SSO has worked with our customer, Eyeblaster Inc to confirm that this
is NOT an HTTP Attack. BlackICE, Technical Support has verified that their
software does not block the "attack" because it is not positively identified
as malicious. Reportedly, if the BlackICE product had determined that the
content could be malicious it would have blocked the download completely.
Fai te!



Verificato! Avevi perfettamente ragione!!!!!!!!!!!!!!
[tcmast3r si cosparge di cenere il capo e implora perdono]
il peccato ora è veniale! ;)
Grazie Fabio per l'illuminazione!


 Eyeblaster code is activated.
Ok, ma il falso positivo non era attivato dall'aggiornamento in se, in
apparenza, ma dai banner di eyeblaster scaricati dai loro server.
Queste vicende mi fanno sempre piu' apprezzare gli ids open source con
cui, almeno, sai cosa viene controllato e come.
Fabio


Come sono d'accordooooooo!!!!!
Lo sottoscrivo completamente.
ala prox ;)
