Newsgroup: it.comp.sicurezza.varie
Titolo: interpretazione di questo log...

Salve a tutti, mi scuso per l'ennesimo mio quesito con log allegato, ma
questo non l'ho capito:
12:16:03 input - eth2 PROTO=1 
192.168.10.1:3
 
195.130.225.129:3
 L=102 S=0xC0
I=295 F=0x0000 T=255 (#9)
12:16:03 input - eth2 PROTO=1 
192.168.10.1:3
 
195.130.225.129:3
 L=102 S=0xC0
I=296 F=0x0000 T=255 (#9)
12:16:03 input - eth2 PROTO=1 
192.168.10.1:3
 
195.130.225.129:3
 L=102 S=0xC0
I=297 F=0x0000 T=255 (#9)
12:16:04 input - eth2 PROTO=1 
192.168.10.1:3
 
195.130.225.129:3
 L=102 S=0xC0
I=298 F=0x0000 T=255 (#9)
12:16:04 input - eth2 PROTO=1 
192.168.10.1:3
 
195.130.225.129:3
 L=102 S=0xC0
I=299 F=0x0000 T=255 (#9)
12:16:04 input - eth2 PROTO=1 
192.168.10.1:3
 
195.130.225.129:3
 L=102 S=0xC0
I=300 F=0x0000 T=255 (#9)
e via così per un numero considerevole di linee
l'ip privato è quello del mio fido 486dx66 24mb RH 7.0 in dmz, quello
pubblico è quello del dns di Tiscali...
Tutto ciò mi suona strano perchè è stato improvviso... la configurazione
della mia rete è immutata da 3 mesi a 'sta parte, ma questa è la prima
volta..
vi ringrazio per l'attenzione
Saluti
--
Stefano Zamboni 
sz...@libero.it
Principio di Shaw:
Fai un programma che anche un idiota può usare, e soltanto un idiota vorrà
usarlo.


[snip]
Ciao e prima di tutto grazie per l'attenzione.. :-)
ok, questo + o - mi era chiaro, quello che non capisco č come mai mi ritrovo
di punto in bianco una cinquantina di righe cosě nel log...
Any idea?
--
Stefano Zamboni 
sz...@libero.it
Legge di Tussman:
Niente č inevitabile come un errore il cui momento č giunto.

l'ip privato č quello del mio fido 486dx66 24mb RH 7.0 in dmz, quello
                                                 ^^^^^^^^^^^^^
BRRRR!!!! :)
Un HappyCactus con un improvviso brivido gelido...
-- 
HappyCactus - Registered Linux User #209744
http://utenti.tripod.it/happycactus
Cannot delete files, disk full. Try to delete some file.


ma dai, che oggi c'è un sole stupendo... (qui a TV)
Saluti
--
Stefano Zamboni 
sz...@libero.it
Legge di Biondi:
Se il tuo progetto non funziona, controlla la parte che non ti pareva
importante.

 ritrovo di punto in bianco una cinquantina di righe cosě nel log...
Scusa...credevo che avessi problemi nella "decodifica" di quei log...:-!
La butto li': dns tiscali temporaneamente sovraccarico, che
ti dice che la porta 53 non e' raggiungibile?
Prova a sniffare gli icmp che provengono da quell'host e facci
sapere.

ma dai, che oggi c'è un sole stupendo... (qui a TV)
Si, ma la 7.0 e' bacatissima, spero tanto che tu abbia upgradato i
pacchetti essenziali (quanto meno, rpc, bind, ftp, se li hai
installati)
Un HappyCactus che... si, anche qui (che poi non sono molto distante)


 sapere.
Buona idea ma se quello e' il tuo dns ci sarà un bel po' di traffico.
Soluzione alternativa: fai solo il dump degli icmp ureachable uscenti
dalal tua dmz: nel payload troverai l'header del pacchetto originario
proveniente dal dns da cui rilevare porte e protocolli.
Fabio

 proveniente dal dns da cui rilevare porte e protocolli.
Ooops, sorry. Leggendo (male) il post di whiplash avevo inteso '...udp
che provengono da...' invece di '...icmp che provengono da...'.
Sniffare gli icmp che provengono dal dns non serve ovviamente a
niente: bisogna sniffare quelli che vengono dall'host in dmz.
Fabio

 195.130.225.129, come e' evidente anche dal TTL.
Hai ragione, hai...:-|


ALLTT!! :-)
ok, ma.. come si fa? qui entriamo in un territorio per me ancora totalmente
inesplorato e quindi necessito di input..
grazie comunque
--
Stefano Zamboni 
sz...@libero.it
Legge di Rudin:
In casi di crisi che obbligano la gente a scegliere tra varie linee di
condotta, la maggioranza sceglierà la peggiore possibile.


ah si? e dove? (se lecito sapere...)
Saluti
--
Stefano Zamboni 
sz...@libero.it
Seconda legge di Scott:
Quando si trova e si corregge un errore, si vedrà che andava meglio prima.

 inesplorato e quindi necessito di input..
Direi che una cosa del tipo:
$ nohup tcpdump -Xnvvv \(src host 192.168.10.1 and icmp[0]=3\) or \(src host
195.130.225.129 and dst port 53\)>/tuo/file&
(tutto su una riga) dovrebbe andare abbastanza bene.
Ti registra in /tuo/file:
1) gli icmp tipo 3 che escono dalla tua macchina
2) tutto il traffico destinato alla porta 53 proveniente dal dns
La seconda regola risulterà inutile se le richieste di 195.130.225.129 non
sono dirette alla porta 53 ma metterla non costa niente: se è azzeccata ti
trovi già anche il log del traffico "sospetto". Lo metto tra virgolette
perche' il dns è una delle macchine critiche di un provider e penso che sia
difficile che venga compromesso e usato per compiere nefandezze: sara'
sicuramente traffico lecito.
Potresti anche registrare tutto il traffico proveniente dal dns ma potrebbe
esserci un problema di spazio su disco, se sei proprio tirato per il collo e
il traffico e' molto. Anzi: oltre a -Xnvv metti anche un bel -c 100 o -c 200
in modo che quando ha loggato un numero max di pacchetti pari a 100 o 200
tcpdump esca senza rischiare di intasarti il disco.
Fabio

 Ooops, sorry. Leggendo (male) il post di whiplash
Lo so, lo so...ho invertito source e destination...sgrunt!
;)

ah si? e dove? (se lecito sapere...)
Mah, non tanto distante... verso Ovest...
HappyCactus e le indicazioni precise...


 I=296 F=0x0000 T=255 (#9)
Se ho capito bene il tutto dovrebbe essere un qualche problema
temporaneo del DNS di Tiscali: quel 3 non dovrebbe essere un numero di
porta, trattandosi di ICMP, ma del numero del messaggio ICMP cioe' in
questo caso port-unreachable.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 questo caso port-unreachable.
grazie e ben tornato... :-)
Saluti
--
Stefano Zamboni 
sz...@libero.it


 grazie e ben tornato... :-)
Di niente, e' un piacere :) e grazie !
