Newsgroup: it.comp.sicurezza.varie
Titolo: Come leggere i log del firewall

Ciao a tutti.
Ho installato da quasi un anno un firewall (sygate) che sino ad oggi ha
intercettato poche situazioni anomale e sempre e solo in coincidenza di
occasioni che le rendevano in qualche modo attese (mIRC, siti pornazzi,
p2p...).
Quest'oggi ho ricevuto nell'arco di un ora tre segnalazioni di port-scan da
altrettanti, e distinti, IP senza che ci sia alcun motivo apparente (da
almeno un mese uso il pc solo per portare avanti il lavoro, niente chat,
niente p2p, niente troiate).
Poiche' non penso che ci siano tre lammeroni che si siano svegliati tutti
assieme per scannarmi il PC nell'arco di 60 minuti, vi chiedo:
- ho appena cancellato una quintalata di cookies. C'e' forse un nesso tra le
due cose? Ovvero: se c'e' un cookie installato il firewall segnala lo stesso
il port scan effettuato dal suo proprietario?
- come si leggono le informazioni di back-trace fornite dal firewall? Il
mittente della scansione e' il primo o l'ultimo della lista (quello con
l'HOP piu' basso o quello con l'HOP piu' alto)?
- infine: una volta individuato l'ip del mittente, a parte pingarlo o
fingarlo, e' possibile inviargli una qualche sorta di messaggio, magari dal
prompt di comandi?
Ringrazio per ogni risposta
Italo

 dal prompt di comandi?
non fare nulla perche' l'ip che vedi potrebbe essere falso, il port scan
potrebbe essere partito da un virus e un messaggio o un ping potrebbe dare
informazioni utili al tuo attaccante (se di attacco si tratta). nota:
anche il traceroute puo' fornire informazioni all'attaccante (se di
attacco si tratta).
-- 
per leggere e postare su free.it.*:
http://infofreeit.altervista.org/polacco.zip

 non fare nulla perche' l'ip che vedi potrebbe essere falso, ......
Chiaro.
Pensavo a questo: un'altra attivita' inusuale che ho fatto in mattinata e'
stata quella di mandare una decina di larts agli abuse di altrettanti
spammer. Tra questi ce n'erano alcuni poco probabili (molto cinesi) al punto
che ho ricevuto dei bounce dagli abuse stessi.
Ti chiedo, giusto per curiosita', sec. te il nesso potrebbe essere questo?
Mi sembrerebbe strano, perche' non penso che non abbiano un c.... da fare al
punto di scannare l'ip di chi scrive loro. Ma magari qualche BOT....
Grazie per la risposta.
Italo

 Ti chiedo, giusto per curiosita', sec. te il nesso potrebbe essere questo?
IMHO non è da escludersi a priori che "tre lammeroni che si siano
svegliati tutti assieme per scannarmi il PC nell'arco di 60 minuti".
-- 
Tiziano "Lapalissiano" Marmiroli
Microsoft MVP - Office

 svegliati tutti assieme per scannarmi il PC nell'arco di 60 minuti".
'uaz... sarebbe una bella coincidenza! Ma forse e' uno unico che ha cambiato
IP nell'arco dell'ora. Notavo infatti che nel log di Sygate relativo ai tre
attacchi, viene riportato un unico "Remote MAC", che non so cosa sia,
immagino la "machine" dello scannatore?
Questo numero, anche al variare dell'IP, rimane 5E-45-20-00-01-00.
Vuol dire dunque che si tratta della stessa fonte?
E da questo numero posso ottenere qualche informazioni aggiuntiva?
Grazie e ciao.
Italo

 E da questo numero posso ottenere qualche informazioni aggiuntiva?
se non e' falso puoi scoprire la marca del componente usato e al piu' il
modello.


 modello.
Chiaro, quindi non me ne puo' fregare nulla ;o).
Invece dall'IP ho potuto ottenere con tracert l'informazione che copincollo
di seguito:
C:\Documents and Settings\Administrator>tracert 68.185.151.67
Rilevazione instradamento verso 
CompD86ZLZ11.cpe.mtgry.al.charter.com
[68.185.151.67]
Quel "CompD86ZL....." e' il nome in chiaro dell'ISP che gli ha assegnato
l'IP?
Da questa informazione posso sapere in quale parte del mondo si trova?
Giusto per verificare se c'e' collegamento tra qualcuno dei larts mandati
agli abuse e il triplo scanning sul mio PC.
Merci!
Italo

 Da questa informazione posso sapere in quale parte del mondo si trova?
probabilmente puoi individuare addirittura la citta'. io senza troppi
sbattimenti ti posso dire che sta in america settentrionale.


 Da questa informazione posso sapere in quale parte del mondo si trova?
http://vr.visualroute.it
www.geobytes.com/IpLocator.htm?GetLocation


 premesso che e' falsificabile
Premesso che tutti i windows riportano lo stesso Mac Address e premesso
che ha senso solo in una lan ethernet, direi che quell'informazione dice
praticamente nulla.
-- 
HappyCactus - Linux User #209744
* 
http://sourceforge.net/projects/qixl
* 
www.google.com
 / 
groups.google.com

 sbattimenti ti posso dire che sta in america settentrionale.
Uhmmm, gli ISP i cui abuse hanno mandato un messaggio di undelivered ai miei
larts erano cinesi. Ma credo che anche questo non voglia dire nulla, no? Nel
senso che potrebbero anche essere gli stessi che riescono a non far
risultare l'IP originario.
Comunque grazie a tutti: ho imparato qualcosa di nuovo.
Grazie!
Italo

 Premesso che tutti i windows riportano lo stesso Mac Address
eh?


 eh?
Accesso remoto ha sempre lo stesso Mac Address. In realtà mi pare ce ne
siano 2 possibili (probabilmente in base alla versione):
44-45-53-54-00-00 e 00-53-45-00-00-00


 eh?
Mi son spiegato male: windows attraverso il RAS dialer. E' riconoscibile
dal mac address che riporta una query netbios. (infatti tcp/ip non ha il
concetto di MAC address, di per se'. Probabilmente e' cosi' che il
firewall "rileva" il mac, collegandosi all'altro host porte 137-139
tcp/udp).


 all'altro host porte 137-139 tcp/udp).
in effetti non ci avevo mai pensato: se un personal fw lavora fuori dal
kernel come fa a reperire informazioni di basso livello di questo tipo?
/me ha rinunciato a capire windows


 
www.geobytes.com/IpLocator.htm?GetLocation
Che differenza c'č tar i 2. Li ho provati ma non l'ho capita.
Piů in generale, qual č il modo migliore di avere dati il piů possibile
approfonditi su una connessione di cui si conosce l'IP?
-- 
Ciao, MasviL
PGP Key ID: 0x3AF7DD61
ICQ# 5364346

 
