Newsgroup: it.comp.sicurezza.varie
Titolo: portscanning

l'abuse di libero mi ha segnalato che sarebbe stato effuttuato un
portscanning dal mio PC di cui siceramnete io non so nulla, senza
specifare ne ora ne giorno, nulla, minacciandomi di disattivarmi il
servizio se si ripeterà.
ho risposto dicendo che in tal caso chiuderò tutto i servizi con
infostrada e passerò ad altro operatore.
immagino che qualcuno abbia inviato in file all'abuse da cui risulta
tale cosa, ma scusate tale file non sono modificabili a piacimento da
chi li spedisce? che valore hanno?
poi libero mantiene quello che minaccia o no, che vi risulta...
ciao

 ha pensato di scrivere:

Mah...secondo me lo hanno rilevato non da una mail....ma semmai dai 
loro file di LOG......ora i casi sono due....o stai fingendo di non
essere tu ad avere effettuato lo scanner e sei un lamerazzo :) 
(tradotto lamerazzo = lamer del cazzo ...) oppure effettivamente 
qualcuno ha fatto un redirect su una tua porta imbrogliando il 
provider....
Bhe...che dire.....io credo più nella prima ipotesi (senza offesa)
Secondariamente non credo che Infostrada per un semplice port-scanning
ti tolga l'abbonamento.....a me risulta che ci vuole ben altro....:)
Con tutto quello che ho fatto io avrebbero dovuto mettermi in galera a
paragone :))
ciao
-- 
Dmitry - Tesi e antitesi contro la globarizzazione informatica -
PGP FP: B61A F1FA 9B99 A3BD 5D2B 6D99 8D3A 5C92 3525 3509

 ho risposto dicendo che in tal caso chiuderò tutto i servizi con
Veramente il tuo provider ha i logs da cui puo' benissimo vedere se l'IP
da cui e' partito il portscan e' incrociabile con una chiamata da un
telefono facente capo a te, mica e' cosi' facile, uno falsifica gli
header e denuncia e poi perche'? A che pro? Vale la pena? Al massimo
chiedi a Infostrada di farti vedere i logs *loro* perche' quelli sicuramente
non mentono.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

non mentono.
Ma, scusate l'ingenuita', il provider ha logs in cui puo' riconoscere
un portscanning? Io credevo (e credo) di no. 
Se non ha log del genere si basa sulla segnalazione di chi ha subito
il portscanning, che puo' segnalare l'ip che gli pare.
-- 
Lapalissiano
Icq 57269703

 ha scritto nel messaggio
news:ri7j3uk220iecb3jq...@4ax.com...


 ha scritto nel messaggio
news:6kh_7.6404$2R2.2...@news1.tin.it...
[cut]
Questa faccenda mi pare un pò (molto) strana. Mi sembra poco probabile che
in probabili chilometri di file log, vadano a pescare un portscan di un
povero utente.
Potrebbe darsi però, che l'avviso che ha ricevuto, da libero, sia una e-mail
spedita con indirizzo falso.
Penso comunque che Libero dovrebbe farsi i cacchi suoi invece che farmi
c-o-n-t-i-n-u-a-m-e-n-t-e portprobe sulla 1080 anche perchè io non sono loro
utente, non mi sono mai connesso ad un loro server e non ho nemmeno mai
fatto una segnalazione via e-mail a loro. Anzi, se continuano, gli scriverò
una bella letterina, dato che loro ( se la segnalazione è vera) considerano
il portscan quasi un reato.
--
By Gigahertz----------------------------------------------------------
Per quotare: 
http://digilander.iol.it/ifst/html/Quoting.html
Per non rompere inutilmente: 
www.google.it
Per spammatori, troll e lamer: it.fan.culo
Per info: Vecchi post

Penso comunque che Libero dovrebbe farsi i cacchi suoi invece che farmi
naaa, non ci credo. A me (che sono loro utente) non e' mai arrivato
nulla di simile.
IMVVHO, hai male interpretato i tuoi logs...
HappyCactus
-- 
HappyCactus - Registered Linux User #209744
Cannot delete files, disk full. Try to delete some file.

 IMVVHO, hai male interpretato i tuoi logs...
Allora:
Alcuni  portprobe TCP 1080 sono arrivati da
ppp-11-148.27-151.libero.it
   alias  IP: 151.27.148.11
Veri e propri portscan da:
ppp-32-40.26-151.libero.it
   alias   IP: 151.26.40.32
I log parlano chiaro.


I log parlano chiaro.
Vero.
Ma non e' libero che ti scanna, bensi' qualcuno dalla sua rete. e' ben
diverso: si tratta di una connessione dial up, e quelli di libero non
possono farci nulla, se non, dietro tua comunicazione, provvedere ad
ammonire il bischero.
HappyCactus e l'interpretazione degli ip


 servizio se si ripeterà.
Ci sono diverse possibilità:
1) tu hai fatto il portscan
2) il tuo computer ha fatto il portscan, ma in quel momento lo stava
   usando qualcun'altro da:
   2.a) la console del computer
   2.b) dalla rete ;)
3) qualcuno che vuole farti segare l'account ha creato dei log ad-ok
4) qualcuno ha spoofato il tuo IP per fare un portscan e tu ne paghi
   le conseguenze
In quest'ultimo caso se hai un firewall decente dovresti trovare nei
log le tracce che possono scagionarti. Se opportunamente configurato
potrebbe contenere anche l'IP di chi ha fatto il blind portscan.
Fabio

 cagata!!!..anzi ..sicuramente!
Si.



Scusami, ma non ho molto ben capito esattamente cosa significa dial up.
Comunque come mai danno un nome DNS agli utenti?


 Comunque come mai danno un nome DNS agli utenti?
Boh :) Fatto sta che ogni utente Libero (e anche TIN, almeno una volta) ha 
anche un IP address in lettere associato a quello numerico.
E quei log nn c'entrano sicuramente con Infostrada, sono banali port-scan.
Ave!
-- 
Black Shark - ICQ# 5301833
Togli OE per rispondermi
Fancazzista a pagamento ^_^
IAMM - it.arti.musica.metal - 
www.iammol.com

 
ppp-32-40.26-151.libero.it
   alias   IP: 151.26.40.32
Infatti, quelli sono UTENTI libero...
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
Powered By RedHat 7.2 (Enigma) - Kernel 2.4.7 - Ximian Gnome - Evolution

 Infatti, quelli sono UTENTI libero...
E ti meravigli che questo cretino non l'abbia capito?


 E ti meravigli che questo cretino non l'abbia capito?
Uhm...
No, pero' mi meraviglio che i miei messaggi (ormai posto da lontanuccio)
arrivino cosi' in fretta :)


 portscanning dal mio PC di cui siceramnete io non so nulla, senza
A parte il fatto che fare un port-scan non mi pare motivo sufficiente per
minacciare uno di segargli l'account (io da casa con connessione a libero
eseguo periodicamente dei port-scan sui server a lavoro per controllarne lo
stato), in secondo luogo bisogna capire su che basi poggiano le accuse di
infostrada. Premetto che tendo ad essere ottimista e che quindi penso che
quelli di infostrada non siamo degli imbecilli, quindi l'ipotesi più
plausibile è che qualcuno ha segnalato ad infostrada che da un determinato
ip gli è arrivato un portscan (non credo che quelli di infostrada si mettano
a "scandagliare" i log dei propri utenti per cercare se qualcuno fa il
gallo, agiscono quindi su "richiesta" se qualcuno segnala all'abuse (per
fortuna non come quelli di tin che tendono ad ignorare le segnalazioni)).
Non credo nemmeno che il destinatario del portscan abbia inviato dei log
come prova: non servono a niente in quanto sono facilmente modificabili,
infostrada si baserà esclusivamente sui propri log dai quali risulta che
effettivamente è stato fatto un portscan. Quindi le cose sono due: ho hai
fatto il portscan (che ripeto per me non è nulla di male) o qualcuno a tua
insaputa ti ha usato il computer per fare i suoi comodi, ma questo lo puoi
sapere solo tu. Se facciamo cadere l'ipotesi che quelli di infostrada non
siano imbecilli si aprono numerose ipotesi: qualcuno ha spooffato il tuo IP
e infostrada non è in grado di capirlo e ti da la colpa, hanno "cannato" e
quel giorno a quell'ora non eri tu che usava quell'IP o ancora si basano
esclusivamente sui dati forniti dallo "spione" vittima del portscan.
Possibili conclusioni:
- dal tuo computer è partito un portscan, oppure
- quelli di infostrada sono incompetenti.
Essendo un utente infostrada spero proprio che sia la prima ipotesi :), in
tal caso visto che tu dici di non aver fatto nessun portscan ti hanno
"penetrato"....il computer.

 subito il portscanning, che puo' segnalare l'ip che gli pare.
No, ha ragione Thorin ed io, gli ISP hanno i log ma dubito che
abbiano voglia di controllarli per un banale portscan...


 
Hai detto una cosa vera......ad esempio con un redirect fatto sul 
server trojan installato si puņ essere in IRC piuttosto che da altre
parti "sembrando" te e non il bastardo che si č collegato a 
te...capisci?


 
Camomillati :)


 
Tu non sai cosa singifica dial up e vieni qui a parlarci di 
portscan!!!!!!!!!!!!!!!!!??????????????!!!!!!!!!!!!!
:((


 paragone :))
Continuo comunque a confidare nella tua abilità...
-- 
The three little sentences that will get you through life.
   Number 1:  [whispers] Cover for me.
   Number 2:  Oh, good idea, Boss!
   Number 3:  It was like that when I got here.


Mi hai frainteso (anche perchè non mi sono spiegato) cosa significa in
Italiano (tricolore inzomma) dial-up. Vdo forte in inglese, ma certi
vocaboli devo ancora impararli :-)


 ha scritto nel messaggio
news:Xns918FB6143...@195.31.190.131...
[cut]
Vedi risposta a DelyMyth


 portscan!!!!!!!!!!!!!!!!!??????????????!!!!!!!!!!!!!
Si vede che lo conosci pochino :)


 Continuo comunque a confidare nella tua abilità...
Era ironica? :)) Cioè mi vorresti in galera...hmmmmm...mumble...
Mah.....non sperarci, sono ricco e di destra :))



Volevo dire Dmitry.
Oggi non è giornata :-)) dovrei spararne di meno.


 
Umile perdono :)


 Oggi non è giornata :-)) dovrei spararne di meno.
Ma no dai, a me sei simpatico :)


 * Sostenete la Lega per la Soppressione
Và a sostenere tua nonna e chi non ne può più delle tue stronxate.
E se le stronxate le sparo io, sono capace di capirlo senza il tuo ECO DA
TESTICOLO SECCO (sto urlando a thorin non ad altri)
Come si dice da noi.. va remengo troll del caxxo!



Ciò provato ma non sopporto i lamer. :-)
*********************************************************
[solo per thorin]
E I TROLL !!!!!!!!!!!!!!
*********************************************************


 il portscanning, che puo' segnalare l'ip che gli pare.
No, il provider ha dei log in cui risulta che alle ore X, dal numero di
telefono Y e' stato effettuato un collegamento con IP A.B.C.D e da li'
ad incrociare i dati non e' che ci si metta molto, non credi?
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *


Allora, thorin dato che trolleggi tu, trolleggio anche io:
Fai una bella cosa:
Prendi:
1) Erbe di giamaica
2) Latte andato a male
3) Salata vecchia dell'altr'anno (1Kg)
4) Veleno per topi
5) Rane morte.
6) Lassativo
Seziona le rane ( i tuoi trollini difensori) e mettili a cuocere per dieci
minuti. A questo punto aggiungi la salata (1Kg) andata a male e il veleno
per topi.
Mescola il tutto finchč non si puň spalmare. Aggiungi poi il latte andato a
male. Attendi 10 minuti  e aggiungi le erbe di giamaica. Otterrai un colore
marrone. Aggiungi 1 bottiglia di lassativo.
A questo punto mangia t-u-t-t-o , siediti sul cesso e grida la formula
magica:
Lamerista trollazzo!
Prima ti becco e poi t'ammazzo!
Se ti becco a mal quotare
nella cacca te faccio nuotare!
Se mi scassi il cosidetto
te lo stacco e te lo metto
lě dove non batte il sole
perchč son di poche parole.
Delle regole mi sbatto
perchč sono molto matto.
Se hai fatto bene l'infuso sentirai sotto di te...
PLONK!
Ha funzionato!!!!!
(con questo non voglio diro che ti ho killato)
 Pierluigi Le Rosa (
tho...@kazzad-dummies.net
).
 <<      LINUX: the choice of a GNU generation     >>
 <<   For my sexy address... ask the Balrog.            >>
 * Sostenete la Sega per la Soppressione dei Troll*
Ok.
Ora mi sono sfogato abbastanza. Giuro che non trolleggierň mai piů in questo
modo (anche se mi sembra di fare cabaret).


 in questo modo (anche se mi sembra di fare cabaret).
Mi sa che ora subirai le ire funeste di Thorini :))



Le ha già fatte, le sue ire. Ora ha subito le mie.
E penso che se mi fa qualcosa che non va non farebbe bella figura in giro
per usenet in seguito.
A proposito, c'è qualcosa, come netbuster, ma per sub seven in rete?
Era bella però la mia "magia"?


 Sarebbe pure sufficiente un grep (dopo la segnalazione, of course!)
Ohibo' questo non capisce davvero una sega di niente..
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>


 Mi pare ben strano.
Eddai, loggano l'ora in cui ti sei connesso: da li' ad incrociare con i
log forniti da un utente in cui risulta che da quell'IP e' stato
effettuato ad un certo orario (niente di trascendentale dunque, sono
tutti dati che trovi nei log) si fa presto.


 Mi sa che ora subirai le ire funeste di Thorini :))
Questo cretino si fa gia' del male da se, non appena scrive qualcosa le
cazzate fioccano.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>


 cazzate fioccano.
Le previsioni della neve non sono buone ultimamente.
Se non hai già visto:
news:a1d1aa$e93$
1...@nreada.inwind.it


 qualcosa le cazzate fioccano.
Come disse Ponzo Pilato.....:)


 news:a1d1aa$e93$
1...@nreada.inwind.it
o so bene...ma a me non è che interessi molto :)


vaccata.
Perche'? se posso settare iptables per rilevare gli half-syn scan, i
fin scan, i xmas tree eccetera eccetera, non vedo perche' non lo possa
fare un router...
E se quelli di libero son furbi, come credo[1], fanno passare i
pacchetti ma li loggano...
-- 
HappyCactus - Registered Linux User #209744
Cannot delete files, disk full. Try to delete some file.

Mi pare ben strano.
No, intendo dire questo: anche se i log sono giganteschi, come tu hai
affermato, per loro non e' un problema circoscrivere e ottenere i dati
che servono. 
Certo, non loggano tutti i pacchetti, ma quelli "strani", si.


Spero proprio che cosi' non sia, altrimenti stacco tutto...:-)
Spero anche io.
Comunque faccio notare che spoofare da un dial-up libero, per quel che
ne so, e' impossibile. I loro router filtrano in ingresso...
Magari lo facessero tutti i providers!
HappyCactus e la direttiva RFC 2196 par. 3.2.2 e 3.3


Era bella perň la mia "magia"?
No. Faceva cagare! :)


 inizio a fare un bello spoofed scan su tutta la subnet del
Guarda che a parte Tin agli abuse desk c'e' gente con un QI migliore di
quello di Gigaberz :) e ne' puoi sapere cosa un provider metta nei
log,, mica viene a dirlo a noi, ti pare? Con tutto il lavoro che
avranno a monte delle segnalazioni ricevute giornalmente dubito che
loggando solo nome, IP e numero di telefono cavino fuori qualcosa
di utile e ne' penso sia cosi' facile spoofare un IP di Libero.


 Comunque faccio notare che spoofare da un dial-up libero
Io parlavo di spoofare pacchetti non _da_ un dial up
di libero ma _di_ un dial up di libero.
E si', la maggior parte dei provider lasciano passare 
l'improbabile attraverso i propri router. <damn 'em!)
-- 
E' in votazione it.sociale.globalizzazione
news://it.news.votazioni

 fare un router...
Non ho detto affatto che non si possa fare.
Il punto e': che overhead comporta tutto cio'?
E soprattutto: quali pacchetti effettivamente loggano?
Io credo che, al piu', si logghino i TCP syn.


 sia cosi' facile spoofare un IP di Libero.
Beh, spoofare un ip di libero al solo fine di rompere
le balle (senza pretendere di fare hijacking, intendo)
e' banale.


 wrote:
ecco lo risposta di infostrada.
Gentile Cliente,
La ringraziamo per averci risposto.
Ci è giunta segnalazione di un portscan (scansione di porte e relativi
servizi) verso un altro computer.
Dopo ripetute verifiche relative a data, ora e indirizzo IP e' stato 
confermato che l'azione risulta effettuata da Lei attraverso il nostro
servizio Adsl.
Se il Suo pc non è configurato secondo determinati parametri di
sicurezza, 
questa situazione può generare, involontariamente, una scansione di 
indirizzi IP, assumendo le sembianze di un tentativo di attacco.
Se così fosse, Le consigliamo di improntare le misure di sicurezza 
necessarie affinchè tali eventi non si reiterino.
Se invece si dovesse trattare di un'azione volontaria La informiamo
che 
secondo il contratto da Lei sottoscritto "....il Cliente sarà
responsabile
di qualsiasi uso improprio del Servizio e, in tal caso, Infostrada
potrà 
sospenderne in qualsiasi momento e senza preavviso
l’erogazione, qualora detto uso produca danni o turbative a terzi o
violi 
norme di legge o di
regolamento, salvi, in ogni caso, eventuali ulteriori rimedi di
legge...".
 ecc... ecc...

Ohibo' questo non capisce davvero una sega di niente..
ohibo', e a me sembrava chiarissimo :)
Beh, intendevo dire che con un semplicissimo grep ricavi da un log di
mega e mega qualunque informazione ti serve relativamente ad una
connessione.
Tutto qui.


 e' banale.
Su piantiamola con le stronzate: quante persone ritieni siano in grado
di spoofare un IP per andare a fare portscanning? Ed ammesso, secondo te
uno capace di farlo ha come scopo finale rompere le palle ad un utente
dialup? Non ci credo nemmeno se lo vedo.


 di spoofare un IP per andare a fare portscanning?
Rileggi il thread: io ho parlato di fare un port scan spoofato 
al solo fine di _rompere le balle_ e non per ottenere 
_reali risultati_.
Allora: so che A e' online con IP=ip-a e voglio far credere a B,
avente IP=ip-b che A gli stia facendo un portscanning.
Scrivo
#nmap -sS -P0 -e <mia_interfaccia esterna> -S <ip-a> <ip-b>
Nessuna particolare abilita': non sto certo parlando di utilizzo
avanzato di hping.


 ohibo', e a me sembrava chiarissimo :)
Ma io non mi riferivo a te bensi' a Gigaberz :)


 _reali risultati_.
*A chi* ? Parliamo di un utente dialup e solo un demente IMHO va a
spoofare un IP per rompere le balle ad un utente dialup, se non lo fosse
andrebbe a cercare prede piu' interessanti ed appetitose, non trovi?
Vabbe' che di script kiddies semi-deficienti e' pieno Internet...


 avanzato di hping.
Ed in effetti il caso da te ipotizzato di "voglia di rompere le balle"
sta scritto chiaro nelle man pages di nmap:
"Imagine a company being  repeatedly port  scanned  by a competitor! 
This is not a supported usage (or the main purpose) of this flag.  I
just  think  it  raises  an interesting possibility that people should 
be  aware  of  before  they  go accusing  others  of  port scanning
them"
Poi a rileggere il thread mi pare fosse pure un utente con adsl.
Stammi bene,
b.

 #nmap -sS -P0 -e <mia_interfaccia esterna> -S <ip-a> <ip-b>
In questo caso è meglio:
#nmap -sI <IP di AS> -P0 <ip-vittima>
e vedi anche i risultati.
Fabio

 
Lo scopo della cosa potrebbe essere quello di rompere le balle a un 
"terzo" facendogli credere che a rompergliele sia l'utente dial-up e, 
magari, fare in modo che il terzo vada (per ritorsione) a prendersela 
con l'ignaro utente dial-up.
Credo che normalmente questo tipo di attività abbia lo scopo di 
suscitare una reazione del terzo nei confronti dell'utente dial-up 
(magari solo perchè quest'ultimo mi stà antipatico) e non quello di 
acquisire davvero informazioni sul server (o il PC) di "terzo" e le sue 
eventuali porte in ascolto.
ex: in un canale IRC trovo qualcuno ("A") che mi è pesantemente 
antipatico e qualcun'altro ("terzo") che è irrascibile e competente al 
punto giusto per far passare dei guai a uno sprovveduto che osasse fare 
uno scan del suo PC (conosco qualcuno che corrisponde all'identikit di 
terzo :)). A questo punto genero il falso port-scan e aspetto di veder 
sparire "A" :)
Se invece sono talmente "bravo" da riuscire anche a ricavare il 
risultato di un simile port-scan (ma qui le cose diventano, come dici 
tu, parecchio più difficili, e "terzo" probabilmente non è un semplice 
utente IRC, ma un server "appetitoso"), il fatto che lo scan provenga 
da un indirizzo dial-up potrebbe far credere al sysadmin di "terzo" che 
si tratta del solito "ragazzetto" e ignorare una minaccia che invece 
proviene da qualcuno decisamente più preparato (o comunque evitare 
eventuali contromisure che colpirebbero l'utente dial-up "A" e non chi 
ha generato lo scan).
-- 
Valter Minute
min...@inwind.it
 (the reply address of this message is invalid)

 2) as non sta su un account dialup ma adsl;
Da come e' stato postato l'articolo non sembrerebbe trattarsi ne' di una
azienda ne' tantomeno di una ADSL ma piu' di un normalissimo account
dialup anche perche' se si fosse trattato di una azienda probabilmente
ci sarebbe stato un firewall (e non ZA, porco cane !) per cui della cosa
non si sarebbe minimamente preoccupato al punto da venire a postare qui
il tutto.


 il tutto.
Ma dove hai visto che si tratta di un log di ZA? Forse non ho tutti i post del
thread?
Fabio

 spoofare un IP per rompere le balle ad un utente dialup
Hai presente la gente che circola su ircnet?


 e vedi anche i risultati.
Perdonami, ma -sI mi manca.
Cosa intendi?


 ha generato lo scan).
Questo e' gia' un aspetto decisamente piu' interessante della cosa,
senza contare che un presunto hacker potrebbe tranquillamemte fare un
po' di connessioni (o tentativi di) a scopo di test al solo scopo di
verificare eventuali debolezze del sistema target perche' tanto appare
inoffensivo in quanto utente dialup e da li' preparare un attacco molto
piu' articolato ma restiamo sempre nel campo delle ipotesi nonche' della
paranoia piu' pura :)


 antipatico
Appunto.


 
Non sò quanti abuseman si prendano la briga di fare tutti questi 
controlli per una segnalazione di port-scan. 
E' più probabile che risalgano all'utente collegato a quell'indirizzo 
IP e tengano un "contatore" delle segnalazioni e prendano provvedimenti 
solo con chi esagera (a giudicare dal numero di portscan che riceve il 
nostro server aziendale, non troppo "visibile" e sicuramente non 
"appetitoso", credo che, se controllassero approfonditamente ogni 
segnalazione, gli abuseman avrebbero parecchio da spulciare nei log 
:)).
Inoltre lo scopo dell'esempio che ti facevo io era quello di generare 
una reazione immediata, senza sporcarsi le mani :)


:)).
Questo mi pare più reale come cosa....
-- 
...Per quanto si sforzi di mostrarsi colto ed intelligente
   la stupidità intrinseca dell'uomo comunista si evince
   dal fatto che egli insegue un'utopia...


 Perdonami, ma -sI mi manca.
E' un implementazione in nmap del blind (o idle) portscan di antirez. Un po'
come usare hping ma più facile da eseguire.
Fabio

 pacchetti ma li loggano...
e' possibile avere un ids che analizza il traffico e registra le cose
strane (es. un xmas scan) ma pensare che abbiano un router che logga
tutto quel che instrada o una sniffer box che salva su disco tutto e' a
dir poco improponibile per un piccolo provider, figurati per
libero-infostrada-iol-wind
un mayhem ed un tera di dischi al mese non basta.
--
Without sacrifice, withouth death, we would have nothing. TD

 E' un implementazione in nmap del blind (o idle) portscan di antirez.
Azz... in che versione di nmap?
Volo su insecure.


 e' banale.
da interbusiness fai passare pure cose molto piu' strane :D
un mayhem IPV4.3 periodico


 Io credo che, al piu', si logghino i TCP syn.
cisco (parlo di loro perche' li conosco) vendono un prodottino che ha
funzionalita' di nids; non registra tutto il traffico, lo analizza solo.
vedi bene che un portscan ha delle caratteristiche facilemnte rilevabili
e loggabili senza dover loggare tutto il traffico. inutile dire che
anche snort lo farebbe benissimo, peccato che l'ids della cisco lo si
monti proprio dentro allo switch ed analizzi direttamente il backplane
ed anhce il suo hw e' ottimizzato per svolgere questa funzione, che i
suoi sensori li metti dove ti pare, etc etc.
un mayhem e l'idea di quanto traffico attraversa la backbone di un
grosso isp ogni giorno


E soprattutto: quali pacchetti effettivamente loggano?
Mah, per saperlo bisognerebbe ingraziarsi i loro sistemisti...


 Azz... in che versione di nmap?
Uhmm... mi sembra dalla 2.54 Beta 24 ma non ci giurerei.
Fabio

di libero ma _di_ un dial up di libero.
yep. :) 
uhm, si penso tu intendessi quello! :)


dialup? Non ci credo nemmeno se lo vedo.
Si, concordo in tutto e per tutto. Chi e' in grado di farlo,
certamente non se la prende con un dial up (al limite, prenderebbe di
mira la libera universita' del Burkina-Faso), mentre gli altri... Non
e' ragionevole lo sforzo


 thread?
Non ho detto che si tratta di un log di ZA, rileggi meglio :) Ho detto
che se si trattasse di una azienda userebbe un _vero_ firewall e  non
una barzelletta (per cui ad esempio ho citato ZA) e dal post non sembra
trattarsi che di un utente dialup.. attendo, a questo punto, conferme o
smentite dal diretto interessato.


 Hai presente la gente che circola su ircnet?
Si, un sacco di lamer, e' vero ma a te risulta una percentuale elevata
di persone preparate per lo piu'? A me no, trovo siano perlopiu'
ragazzetti che vanno a fare portscan ed a rompere gli attributi usando
tools da script kiddies in Viral Basic, quindi quanto di piu' inutile e
stupido ci sia, perche' non capiscono niente di cio' che fanno, i
protocolli di rete sono dei perfetti socnosciuti e l'idiozia regna
sovrana perche' spesso vanno a rompere i maroni alle persone sbagliate
cacciandosi nei guai senza saperlo.


 grosso isp ogni giorno
Appunto...;-)


Ma io non mi riferivo a te bensi' a Gigaberz :)
ZIO bill, ma che caxxo di prosciutto ho pettato davanti agli occhi
stamattina!?! :)
Scusami ancora, ho fatto un errore di sbaglio nel leggere (non
nell'interpretare!)
HappyCactus che avrebbe bisogno di un po' di pausa...


 da interbusiness fai passare pure cose molto piu' strane :D
rotfl...da li', passa qualsiasi cosa...;-D
(del resto, non per niente ib e' listata da tempo
immemore come discreto amplificatore per smurf)


 una reazione immediata, senza sporcarsi le mani :)
Beh si certo.. :)


 stamattina!?! :)
:-)) Non ti preoccupe, puo' capitare..


 fronte, ad esempio)
e' verde? ha il golden gate? noeno, quindi non puo' funzionare
correttamente :DDD
un mayhem cisco-dependent ;PPP


un portscanning? Io credevo (e credo) di no.
Dipende. In genere ci sono tre categorie di logs:
DESTPORT IN (21,25,53,80,110,113,443,3128,8080)
DESTPORT IN (135, 137, 138, 139, 27734 e altro)
ALTRO
Il log della prima categoria e' ignorato :-). Quello della seconda e'
conservato per controlli, e cosi' il terzo. Ci sono metodi _ovvi_ per
ridurre il numero di pacchetti che finiscono nel log (basandosi, come
e' ovvio, sui flags TCP).
Alla fine della fiera, ogni ora di collegamento "normale" finiscono a
un dipresso un tre quarti di Kb nel log: ogni connessione da' origine
a circa 20 bytes.
	<TIMESTAMP><SOURCE IP><POP IP><DEST IP><DPORT>
E quasi tutti quei tre quarti di Kb (pari a 35-40 siti navigati) sono
nel log "bravi ragazzi".
Non c'e' nemmeno bisogno di centralizzare i logs, ogni POP puo' avere
i propri.
Leonardo
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center

Si.
No ;-)
Una delle funzionalita' di $WELL_KNOWN_BACKDOOR e' proprio fare portscan
conto terzi. Poi invia al padrone il risultato.


 DESTPORT IN (135, 137, 138, 139, 27734 e altro)
Sono supposizioni o sai di per certo di provider che controllano il traffico
in base a questi criteri?
Fabio

In un messaggio del Tue, 08 Jan 2002 14:35:22 GMT Fabio Panigatti scriveva:


*FOLLE* !!!! Non sai cosa rischi a fare di queste domande a *LUI* !! :-)


da interbusiness fai passare pure cose molto piu' strane :D
Da Interbusiness l'unica cosa che non passa (e non e' detto) e' un
traceroute sull'interfaccia di loopback.


> *FOLLE* !!!! Non sai cosa rischi a fare di queste domande a *LUI* !! :-)
Accidenti, mica gli ho strapazzato apache passando maldestramente attraverso
un proxy! :)
Mi sembra una domanda lecita. Sono sicuro che *LUI* capira' :)
Fabio
PS: la prossima volta ci mettero' un ~$yes ':)', ok?




Mmm... sono supposizioni. Ragionevolmente, e' quello che farei io.
(E, ragionevolmente, non puoi aspettarti una risposta diversa).
+++
Si potrebbe pero' fare un test: la stessa persona segnala se stessa
all'abuse, usando due indirizzi diversi... Oppure in due si mettono
d'accordo. Possono inventare una storia sul come si conosceranno, e
se le cose arrivano al peggio, A ritratta per email a B, B forwarda
la mail al provider minacciando sfracelli. E' bene che la mail di A
sia una usa-e-getta, per evitare vendette.
Si potrebbe fare per vari providers e vedere che succede. O, anche,
fare (pero' DOPO) dei _VERI_ attacchi e vedere quali providers sono
piu' pronti alla risposta.


tutti dati che trovi nei log) si fa presto.
Come mi immaginavo accadesse. Ma stando cosi' le cose per falsare il
controllo basta prendere l'ip dagli headers di una email o di un post.
-- 
Lapalissiano
Icq 57269703

 
Sfruttando il numero di persone che legge il ng e la dislocazione 
geografica, si potrebbe tentare una prova "comparativa" tra i vari 
provider...
Per confermare le ipotesi sulla gestione dei log, si potrebbe provare  
a inviare due segnalazioni per ognuno dei provider (o perlomeno per i 
maggiori): una verso un IP che ha effettivamente tentato uno scan alla 
data/ora indicata, e una verso un IP che era semplicemente loggato al 
momento del presunto scan, ma che non ha compiuto attivitą "illecite".
Servirebbe qualcuno che mette a disposizione i server "attaccati" (per 
rendere la cosa credibile) e un po' di buona volontą per fare le prove 
con i vari provider (magari da qualche cittą diversa)... e pure un buon 
avvocato che a posteriori dimostri che il tutto č stato fatto a fin di 
bene :)
Credo che il tempo e le modalitą di risposta a una segnalazione di 
questo tipo siano un buon parametro per giudicare la serietą e la 
competenza di un provider.
-- 
Valter Minute
min...@inwind.it
 (the reply address of this message is invalid)

 PS: la prossima volta ci mettero' un ~$yes ':)', ok?
Eheheh


 piu' pronti alla risposta.
Io ho fatto le peggio cose (anche in modo molto rumoroso) alle mie macchine
esposte, attraversando i router di diversi provider: mai nessun abuse ha
chiesto spiegazioni del traffico generato. Traffico terribile anche senza
guardare i payload (che in ogni caso dubito che analizzino). E per molto tempo
ho amministrato macchine m$ generando traffico su 137, 138, 139 e 445 su
indirizzi pubblici distanti. Sempre silenzio.
Prendi anche nimda. Nimda genera traffico sospetto (come uno scanner). Eppure
ci sono macchine del mio provider che mi hanno tritato i loggoni da settembre
fino alla settimana scorsa. E' traffico facilmente rintracciabile e costerebbe
poco al provider inviare segnalazioni agli admin senza aspettare un nostro
sollecito. Niente.
In compenso non mancano mai, ad ogni mia segnalazione, di chiedermi i log,
specificando sempre (sic) che devono contenere ora, giorno, indirizzi ip e
porte di destinazione.
Conclusioni:
1) non registrano il traffico
2) registrano il traffico ma senza generare alert e analizzano i log solo su
segnalazione
In particolare, in merito a quest'ultimo punto, può essere che esistano
procedure interne dei provider (675/96?) che permettano la visione e l'analisi
dei log solo in determinate situazioni, come appunto degli abusi segnalati.
Fabio

strane (es. un xmas scan) ma pensare che abbiano un router che logga
E' quello a cui stavo pensando, infatti, e non per nulla ho parlato di
"pacchetti strani"... :)


dei log solo in determinate situazioni, come appunto degli abusi segnalati.
Senza dubbio, la 675/96 limita l'accesso a tali dati solo nell'ambito
dello svolgimento del proprio lavoro... quindi l'abuse desk puo'
sbirciare (IMHO) i propri log solo se ha un motivo ben preciso per
farlo... 


Si potrebbe pero' fare un test: la stessa persona segnala se stessa
...
ok, e se qui non scrive piu' nessuno vuol dire che abbiamo ragione...
:)
HappyCactus


 controllo basta prendere l'ip dagli headers di una email o di un post.
Sempre di una persona che devi avere la fortuna di beccare online nel
momento in cui ti metti a fare il mariuolo altrimenti PUPPA !!


 guardare i payload (che in ogni caso dubito che analizzino).
idem. ed alcune erano macchine di clienti. e lo faccio giornalmente.
ma voi davvero che interbusiness guardi che passa sulla loro rete? gente
chenon sa mettere le password ai router sa configurare un nids, o
usarlo? gente che mi fa passare pacchetti che a momenti il router si
anima di vita propria, li manda a  fare in **** e se ne va dalla
fattoria dei server? e ci lascia solo i sistemisti come bestie.
avranno sicuramente dei log, ma non li guardano. neppure quelli che
riguardano i loro server. poi esistono sempre le eccezioni.
e dico itb perche' ho molta esperienza con loro, ma tutti gli altri
grossi isp non sono differsi.
un mayhem e le querele


 PGP FP: B61A F1FA 9B99 A3BD 5D2B 6D99 8D3A 5C92 3525 3509

> > io non sono loro utente, non mi sono mai connesso ad un loro server
[..]
Complimenti per il quote, i cani non eunuchi rimanenti ringraziano !
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

dall'alto :-))
Cosa c'entra md in tutto questo?
Leonardo
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center

 Cosa c'entra md in tutto questo?
Non fare lo gnorri..


 Cosa c'entra md in tutto questo?
modesto...
-- 
http://werted.cjb.net
icq # 145246107

 
A dire il vero, secondo la legislazione italiana, non vi è nessun
obbligo da parte degli ISP di avere dei file di LOG, se li hanno
è per evitare cmq questioni e per collaborare attivamente in caso
di reali abusi, ma ripeto, non vi è nessun obbligo di avere dei
file di log.
Se così non è portatemi LEGGI e REGOLAMENTAZIONI specifiche a
riguardo.
-- 
PGP FP: B61A F1FA 9B99 A3BD 5D2B 6D99 8D3A 5C92 3525 3509

 Continuo comunque a confidare nella tua abilità...
Era ironica? :)
