Newsgroup: it.comp.sicurezza.varie
Titolo: copie di intere e-mail nascoste nei log del mio firewall

La cosa è inquietante, e non poco.
Spero sia solamente la mia ignoranza in materia e spero anche che qualcuno
mi aiuti a capire che non c'è nulla di cui preoccuparmi.
Premetto che il mio SO è Win98SE ed utilizzo il firewall Sygate PF 4.20.872.
Da un po' di tempo ho preso l'abitudine di salvare i log del firewall in un
archivio in modo tale da recuperare informazioni e fare controlli sul
traffico, sui pacchetti, ecc... Ultimamente questi log non mi venivano più
visualizzati in modo corretto ed il viewer interno a Sygate si piantava
spesso e volentieri. Chi ha avuto Sygate sa che i dati visualizzati nei log
hanno una distribuzione precisa e si possono esportare come file di testo in
una cartella di backup. Non potendovi più accedere dal software ho provato
allora ad andare a curiosare all'interno dei file (dove i dati vengono
registrati) con estensione "log" all'interno della cartella di installazione
del firewall ed ho trovato delle cose sorprendenti.
Primo: alcuni log venivano dati con dimensioni irrisorie, tipo 1 o anche 0
Kb, mentre erano enormemente più corposi e contenevano una quantità di
informazioni decisamente elevata.
Secondo: in uno in particolare, "rawlog.log", ho trovato copie intere delle
ultime e-mail (body ed destinatari) che ho spedito, tra le quali alcune
spedite ad abuse service per denunciare alcuni spammer. Non solo: alla fine
di ogni copia di e-mail compariva anche il protocollo usato, il server del
provider utilizzato per la posta in uscita ed il mailreader utilizzato, con
tanto di path dell'eseguibile.
La domanda è semplice e naturalmente scontata, ma la faccio comunque:
Che ca**o ci fanno tutte queste informazioni nel log di Sygate?
Se questa viene chiamata registrazione del traffico su internet allora credo
che il senso di firewall vada un po' un tantino oltre a quello che dovrebbe
invece essere.
Comunque prima di gridare "al fuoco" preferisco sentire cosa avete da
rispondermi
grazie anticipatamente a chi lo farà
ciao
Momo®     ICQ# 76126232
_________________________
Male non fare paura non avere
www.raggioverde.com

 strano..
...ciao e grazie per la risposta ma forse non mi sono spiegato a dovere. In
quel log di cui parlavo non ci sono solamente le indicazioni semplici del
traffico. Ci sono copie intere di body di e-mail, ovvero ci sono delle parti
dove compaiono i messaggi così come li ho scritti io. Questo ti sembra una
cosa regolare? A me non tanto ma comunque, se lo è e se sapete il perché,
spiegatemelo che sono molto curioso di capire sta cosa.
grazie ancora


 Che ca**o ci fanno tutte queste informazioni nel log di Sygate?
Prova a cercare nel forum e/o a postarci
http://forums.sygatetech.com/forumdisplay.php?s=f6643c3600ae368f5f6b490991e769ff&forumid=8

 Che ca**o ci fanno tutte queste informazioni nel log di Sygate?
Se i file di log sono corrotti, molto probabilmente e' solo un problema 
di filing system. Hai avuto crash corposi di ricente? Puo' essere la fat 
incasinata, magari sono collegamenti incrociati (file crosslink), prova a 
vedere se la lunghezza del corpo delle mail non e' magari di lunghezza 
multipla della dimensione del cluster (2048 bytes o 4096 se l'hd e' 
particolarmente grosso).
Se sei particolarmente temerario puoi utilizzare un'utility di 
diagnostica del file system (l'unica che mi viene in mente e' scandisk, 
ma se lo usi son cavoli tuoi...)
Cio' renderebbe ragione anche dell'impossibilita' di aprirli con 
l'utility di sygate e le dimensioni bizzarre.
-- 
HappyCactus - Linux User #209744 - LFS User #6046 - >>> SMSPM1050 <<<
              YAGF Member Group >>> 
www.google.com
 <<<
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.


http://forums.sygatetech.com/forumdisplay.php?s=f6643c3600ae368f5f6b490991e7
69ff&forumid=8
...non ci avevo proprio pensato, grazie mille del link e dell'idea!
ciao
MomoŽ     Podo Bolger nella Contea
ICQ# 76126232
_______________________________________
Credere alla guerra preventiva č come credere
di controllare le nascite con l'eiaculazione precoce
            [Robin Williams]

 l'utility di sygate e le dimensioni bizzarre.
...rispondo a te ma indirettamente anche a Dmitry che aveva ipotizzato la
stessa possibilità.
Possiedo un HD da 20Gb, partizionato a metà con il filesystem FAT32 e
l'altra metà con il filesystem EXT a cui ho dedicato prima Mandrake8.0 poi,
di recente, la Debian. Con un controllo eseguito con lo scandisk, nella
partizione FAT non rilevo alcun errore, ma non sapevo che la cosa potesse
essere dannosa.
E' dannoso compiere scansioni con scandisk per i dischi rigidi?
Quale tool sostitutivo posso usare?
Immagino dunque che sia dannoso anche usare il Defrag, che io per altro uso
diciamo sistematicamente. Avete soluzioni alternative?
Anche se non riesco ancora a capire chiaramente come sia possibile mettere
in relazione eventuali problemi al filesystem con i log di un firewall (ma è
un problema mio evidentemente) vi ringrazio della vostra partecipazione.
ciao
Momo®     Podo Bolger nella Contea
ICQ# 76126232
________________________________________
Credere alla guerra preventiva è come credere


 uno scandisk?
...grazie Dmitry, scusa ma, per comodità, ho risposto anche alla tua e-mail
al messaggio
news:NfTz9.18489$
Zn2.5...@twister1.libero.it
.
ciao

 un problema mio evidentemente) vi ringrazio della vostra partecipazione.
Semplicemente se vi sono dei cross linker clusters, c'e' files con 
"settori" incrociati, parte di un file va a finire in un altro, 
mescolandosi. Il classico sintomo e' quello dei file di un certo tipo che 
si ritrovano con contenuti di altri, in teoria la dimensione dei dati 
estranei dovrebbero essere multipla della dimensione del cluster, quindi 
2048/4096 bytes.


spiegatemelo che sono molto curioso di capire sta cosa.
se utilizzi il protocollo smtp, le e-mail vengono spedite in testo
semplice così come tu le scrivi. inoltre per la connessione al server
viene utilizzato (ovviamente) l'indirizzo del server smtp (anch'esso
in ascii).
Inoltre tramite pop3 invii ('ndovina? in ascii! :)) la user id e la
password e i vari comandi per lo scaricamento (list, top, retr e così
via...)
Se hai impostato il firewall per il packet filtering così come tu hai
detto, il tutto mi sembra assolutamente normale!
Se non vuoi che succeda tutto ciò, disabilita le opzioni di log.
--
Ciao!
Davide
[DAOC PG]Armorgod Troll Sciamano - Midgard Vortigern[/DAOC PG]

diciamo sistematicamente. Avete soluzioni alternative?
Assicurati che il disco abbia abbastaza refrigerio per quell'oretta di
defrag, poi vai con Dio! ;)


 Se non vuoi che succeda tutto ciò, disabilita le opzioni di log.
...ciao!
Non ho impostato alcun packet-fitering né sul protocollo smtp né su quello
pop3. Vale la pena però che mi vada a controllare se sono presenti non solo
le semplici e-mail in ascii ma se per caso sono presenti anche, che ne so,
strutture a tag di e-mail in html.
ciao e grazie mille
Momo®     Podo Bolger nella Contea
ICQ# 76126232
_______________________________________
Le convinzioni sono nemiche pericolose della verità, più delle bugie
         [F.Nietzsche]

 2048/4096 bytes.
...molto interessante.
grazie e ciao
Momo®     Podo Bolger nella Contea
ICQ# 76126232
______________________________________


 aggiungiamo anche che su un filesystem NTFS ha poco senso usarlo..
...certo, ma non è il nostro caso, no?
=;)
ciao
Momo®     Podo Bolger nella Contea
ICQ# 76126232


 defrag, poi vai con Dio! ;)
...hehehe
ok!
ciao
Momo®     Podo Bolger nella Contea
ICQ# 76126232


 notizia da prendere con le molle. 
intruder mode ON
non uso win me e non saprei, ma mettendo il defrag ME sul mio win98
sono passato da 1h abbondante a circa 10 minuti , fai tu'.
leaving intruder mode
Bye

 Caso mai, parliamogli di prodotti come Diskeeper...
...grazie, era quello che cercavo, in effetti. Di diskeeper ne avevo sentito
parlare tempo fa e non mi è venuto in mente in questa occasione. Grazie
mille
ciao
Momo®     Podo Bolger nella Contea
ICQ# 76126232
_________________________________
Il Mondo è un campo di promesse
il cui raccolto supera ogni speranza
per chi non ha paura della propria coscienza

 sono passato da 1h abbondante a circa 10 minuti , fai tu'.
...grazie mille, prenderň in seria considerazione la cosa
ma credo che farň bene a cercare e provare prima una versione di Diskeeper.
ciao
MomoŽ     Podo Bolger nella Contea
ICQ# 76126232
__________________________________
Il Mondo č un campo di promesse


 un bel lavoro.
...l'ho trovato, ed ho letto che deframmenta anche i filesystem NTFS. Pare
essere però solamente un deframmentatore, oppure può svolgere anche funzioni
di controllo della superficie dei dischi, etc. etc. ?
Momo®     Podo Bolger nella contea
ICQ# 76126232
____________________________
L'amore è eterno finché dura.

 IN effetti ho sempre sentito parlare molto bene di questo prodotto
...pensa, deframmenta anche NTFS!!!
MomoŽ     Podo Bolger nella contea
ICQ# 76126232
__________________________
L'amore č eterno finché dura.

 Ma.. se la Lega ce l'ha duro Due di Pacche che parte ha in tutto cio'?
...se Due di Pacche continuerà a mettersi in posizione patriottica presto lo
noteremo da come camminerà

 beh ...
...pensavo che la cosa ti incuriosisse e ti facesse piacere dato che qualche
mail sopra annotavi un discorso diverso.
Vabbč, pazienza
^__^
ciao
MomoŽ     Podo Bolger nella Contea
ICQ# 76126232
________________________________________
Credere alla guerra preventiva č come credere
