Newsgroup: it.comp.sicurezza.varie
Titolo: Attacco DOS da ip fantasma

Buongiorno a tutti! Rete domestica, router Netgear DGN2200: Stamattina 
mi sono trovato questo messaggio nel log del router:
"[DOS Attack] : 1 [IP Spoof] packets detected in last 20 seconds, source 
ip [192.168.0.3]"
 
Ora la cosa che mi preoccupa è che a quell'ora tutti i pc erano spenti, 
e che tutt'ora il mio pc ha 192.168.0.2 e il portatile all'accensione ha 
avuto 192.168.0.4. Tra i dispositivi collegati non figura nessun altro 
pc. C'è qualcuno che si è hackerato nella mia wifi secondo voi? Chi c'è 
sull'IP 192.168.0.3??

 palesemente contraffatti
 
Come dicevo sistema spento, nessuna unità in rete. Eravamo tutti ancora 
a nanna. Era un ip esterno camuffato da interno quindi e non uno che mi 
ha craccato la wifi?

 palesemente contraffatti
 
Nessun provider lo fa, è una acl che su un router costa cpu (e un router
costa). Si controlla la destinazione nelle tabelle BGP e via pedalare.
 
pedalata di saluti
-- 
E' una truffa, non è una crisi:
http://dottormistero.blogspot.it/2012/05/ma-cose-questa-crisi.html
 

 costa).
 
Questa è nella migliore delle ipotesi una ipersemplificazione, e non è
semplicemente vera:
 
- non è necessariamente vero che costa CPU
- non è vero che serve una ACL
- non è vero che nessun provider lo fa
 

 - non è vero che nessun provider lo fa
 
i grossi certamente non lo fanno, su Internet il protocollo di routing è
il BGP che non ha opzioni per gestire l'IP sorgente; eventuali filtri
vengono applicati da firewalls o tramite ACL.
 
Nel caso specifico, la rete che manutengo io (AS full mesh BGP con
500Mbit di banda garantita su due link in fibra) riceve, sia da Telecom
che da altri AS, quantità non indifferenti di pacchetti con IP sorgente
sballato (es. 0.0.0.0 10. et al).
 
saluti ipersemplificati


 quanta CPU gli serve allora per un'operazione del genere?
 
Probabilmente usa le statistiche netflow e mette delle soglie (sempre
tramite acl) sulla porta del cliente.
 
In questo caso non deve analizzare tutto il traffico pacchetto per
pacchetto, ma solo la statistica originata dal router via netflow. Le
soglie poi sono comunque delle ACL e prendono cpu, per questo
sicuramente non lo fa per tutti ma solo per alcuni utenti domestici
che... si fanno notare. :)
 
saluti statistici


 Come fanno?
 
In questo caso bisogna controllare la "trama dati" del pacchetto, e ci
vuole uno sniffer evoluto.
 
In pratica una connessione emule si distingue bene da una http
indipendentemente dalla porta. Io lo faccio per 500Mbit usando macchine
con ASIC (IPS) di costo non esattamente accessibile; non so quanta banda
veicoli il tuo provider per potersi permettere di farlo, Telecom non lo
fa di certo.
 
perplessità e saluti


 beh visto che non c'e' niente di segreto, l'operatore è NGI
 
Visto, in effetti la limitazione del p2p è solo sul profilo "mini", su
tutti gli altri non c'è limitazione.
 
Questo gli rende meno oneroso il traffic-shaping basato sul protocollo
effettivo (indipendentemente dalla porta). Ma io a naso direi che forse
risparmiano più di banda a limitare il p2p che a lasciare tutto aperto
rinunciando a comprare le macchine per gestire il tutto. :)
 
E comunque c'è anche da tener conto che la gestione del traffic-shaping
è sulla sessione (una tipica sessione p2p è piuttosto lunga, quindi
poche sessioni), mentre il controllo dell'ip sorgente è sull'header IP e
non sulla trama dati, ma è pacchetto per pacchetto e non per sessione!
 
saluti non segreti


 vengono applicati da firewalls o tramite ACL.
 
Conosco sufficientemente bene BGP, nonchï¿œ come utilizzarlo per
effettuare filtraggio di destinazioni *e* di sorgenti (se non altro
perchï¿œ ce lo uso :-P)
 
 
-- 
Paranoia is a disease unto itself. And may I add: the person standing
next to you may not be who they appear to be, so take precaution.
-----------------------------------------------------------------------------
http://bofhskull.wordpress.com/
 

 nullrouting e uRPF.
 
Puoi usare uRPF se abiliti CEF (solo da 7200 in sï¿œ). Ma non ï¿œ che non
usa ACL, le ACL se le gestisce il CEF.
 
E comunque Cisco afferma che pesa poco, sicuramente pesa meno di una ACL
gestita dalla CPU principale, ma poi pone anche limitazioni
sull'ampiezza delle tabelle di routing. Io non ho mai fatto esperimenti
in questo senso, ma mi aspetto che anche i tempi di latenza ne
risentano, almeno su routers non top end.
 
Di sicuro Telecom e/o Wind non ne fanno uso, perchï¿œ a noi di pacchetti
con source 10. ne arrivano a sfare, ma non ï¿œ che non ci dormiamo la
notte. :)
 
saluti irrilevanti
-- 
E' una truffa, non ï¿œ una crisi:
http://dottormistero.blogspot.it/2012/05/ma-cose-questa-crisi.html
 

 notte. :)
 
  Probabile che Telecom non ne faccia uso in alcuni tratti: gran parte della 
rete interna ï¿œ 10.
 
 
-- 
Non pretendo che comprendiate il significato di quello che ho scritto senza 
averlo riletto un certo numero di volte. Personalmente, vi riterrei degli 
stupidi se lo faceste. Io l'ho letto sei volte ed ancora non l'ho capito.

 rete interna ï¿œ 10.
 
Questo vale per tutti, ma non ï¿œ il motivo. Non c'ï¿œ mai routing tra
intranet e internet, senza qualche accrocco di mezzo. :)
 
saluti isolati


 intranet e internet, senza qualche accrocco di mezzo. :)
 
  Quello ovvio, tutto poi dipende dalla configurazione dell'accrocco.
