Newsgroup: it.comp.sicurezza.varie
Titolo: IP Loggato

Abbiamo un server IIS che contiene informazioni sui nostri clienti (niente
carte di credito o informazioni critiche o cose che se compromesse
permettono
guadagni, più che altro informazioni utili per il cliente stesso)
Inserendo username/password in una pagina ASP si possono vedere queste
informazioni relative al proprietario dell'account.
Da qualche giorno a questa parte qualcuno ha ripetutamente (migliaia di
volte) provato username/password per accedere a queste pagine ... ovviamente
nei file di log c'è il suo indirizzo IP ....
indirizzo IP   ---> A.B.Y.X
facendo un nslookup dell'indirizzo ottengo questo:
hostX-Y.poolAB.interbusiness.it
Ovviamente per risalire al nome della persona che in quel momento stava
utilizzado quell'indirizzo IP dovrei denunciare il tentativo di intrusione,
solo che fino a quando l'intrusione non viene perpetrata non si può
consideare come reato, giusto ?
Secondo voi, sapendo quale provider fornisce quella classe di indirizzi, si
potrebbe chiedere al provider di mandare un messaggio amichevole a quella
persona per evitare che continui con il bruteforcing ?

 bruteforcing ?
Il provider e', ovviamente 
interbusiness.it
 (abuse*
interbusiness.it
).
Direi che la strada indicata e' quella piu' appropriata, essendo questo
tentativo un abuse della rete e agli estremi dell'illecito penale.

 tentativo un abuse della rete e agli estremi dell'illecito penale.
Gia' e' la piu' appropriata, anche se ci sono alcuni provider che se ne
infischiano delle segnalazioni all'abuse... 
<ironico>
Che interbusiness sia tra questi???
</ironico>
CYA
Banana

 persona per evitare che continui con il bruteforcing ?
Puoi farlo, ma IMHO non andrei troppo per il sottile e non mi affiderei 
troppo ai modi del "buon padre di famiglia" del provider. Ripeto, io mi 
rivolgerei alla polizia postale, se poi questo era un cretinetti che si 
baloccava senza volontà reale di danneggiarti sarai sempre in tempo a 
perdonare :-)


mi attacco al... thread ( ;-) ) per fare una domanda : esistono analizzatori
di log per IIS che mettono in risalto tentativi di questo tipo, magari
inviando una
mail di segnalazione all' amministratore...?
(che cercando di analizzatori ne ho trovati, ma forniscon prevalentemente
report sull'utilizzo...)

 perdonare :-)
Ah si ? Io sapevo che, una volta partita la denuncia, e' facolta' del
magistrato
decidere se andare o no sino in fondo... e difatti _forse_ sarebbe meglio
che
vi fosse, questa possibilita' di perdonare :-)

 Sara' poi la polpost a vedere chi contattare.
Quoto.


Credo che l'abuse vada segnalato sia alla polizia postale che al provider.
Anche se interbusiness vende i lotti di ip ai suoi reseller č comunque un ip
del suo lotto. Non potendo risalire, a volte, al reseller dell'Ip per forza
di cose ti devi fermare al primo grosso provider. Se poi ti ci metti...
forse, forse... scopri anche chi č il reseller...
Per conoscere esattamente il provider a cui č stato assegnato l'ip devi
usare whois, come segue.
Vai su 
www.ripe.net
 ed seleziona il servizio whois. Clicca su Whois, clicca
sul tasto advanced e poi nella voce "alternativa databases" metti il valore
"all". Inserisci l'Ip nel textfield e clicca search.
guest

 persona per evitare che continui con il bruteforcing ?
hai verificato che il server IIS non sia vulnerabile se attaccato in modo
differente ? Mi spiego: un brute forcing presuppone un livello di
conoscenze non molto elevato... ma cosa succederebbe se il tentativo
d'intrusione fosse condotto con modalità differenti da qualcuno con
conoscenze più tecniche ??? 

 modo differente ? 
Che piffero di domanda? :-)
"Agente, agente, mi stanno sparando!!"
"Si, ma è sicuro di non avere un tumore o qualche altra malattia che poi 
muore lo stesso?"

 muore lo stesso?"
questo non lo so, posso risponderle a cose fatte ????

 quello dell'attaccante reale ??? 
A meno di bachi dell'IIS[1], no.
Che poi quella sia effettiva la macchina dell'attaccante, un altro paio
di maniche: potrebbe essere uno zombi.
[1] Guarda caso, tempo addietro usci un baco simile, proprio per IIS...
HappyCactus e i casi della vita
 

 quello dell'attaccante reale ??? 
E' praticamente certo che sia quello da cui e' partito l'attacco. Puo'
appartenere ad una vittima ignara utilizzata come proxy ma le indagini
devono partire comunque da quell'ip, nel caso.
Fabio

 conoscenze più tecniche ???
sui log noto spesso tentativi vari alla ricerca di falle dell'IIS ... certo
è che se scoprono una falla non ancora corretta da Ms è un'altro discorso :)
però il server è adeguatamente protetto e aggiornato ... forse è per questo
che è passato al bruteforcing ...


mi sono trovato ad assistere ad una scena (reale...) davanti ad un ispettore
di polizia qualche anno fa:
    "agente, vorrei denunciare un sabotaggio informatico sui nostri
sistemi..."
    "si ? e chi è stato ?"
    "sono stati gli hacker... ci hanno sabotato..."
    "interessante... ma... chi è stato ?"....
    "non lo so... sono degli hacker...."
    "ah... e se non sapete chi è stato che volete da noi........."
hahahaha
guest

 Fabio
markus

 che è passato al bruteforcing ...
ok... mi sembra chiaro poi che riuscire a tamponare *tutte* le falle di un
server web è problema complesso... 

......
Considerazione banale ma...
Come ti hanno già detto altri  è  facile che l'ip di partenza, sia legato ad
un pc con un trojan comandato a distanza dal reale attaccante,
che avrà probabilmente già tolto le tende dalla macchina che hai trovato
tracciata sui log.
Un brute force attack su username e password è troppo visibile per poter
pensare che qualcuno dotato di senno (e in grado di darti problemi)
lo tenti direttamente dal suo pc non pensi?
Ciao