Newsgroup: it.comp.sicurezza.varie
Titolo: spiato/scansionato dal proprio provider?

salve
a casa utilizzo un collegamento adsl vpro di virgilio e con una certa
sorpresa dopo aver installato da poco un router nel log ho trovato
quanto segue (oltre ai vari altri tentativi di accesso provenienti da
altri utenti di cui non faccio piu' caso):
 Unrecognized access from 
62.211.64.100:80
 to TCP port 64735
 Unrecognized access from 
195.22.196.230:80
 to TCP port 64717
 Unrecognized access from 
62.211.64.100:80
 to TCP port 64735
 Unrecognized access from 
195.22.196.231:80
 to TCP port 64719
inetnum:      62.211.64.0 - 62.211.79.255
netname:      TIN
descr:        Telecom Italia NET
descr:        PROVIDER
descr:        NOC Roma (AS 20580)
country:      IT
admin-c:      TAS10-RIPE
tech-c:       TAS10-RIPE
status:       ASSIGNED PA
remarks:      Please send abuse notification to 
ab...@tin.it
notify:       
net...@tin.it
mnt-by:       TIN-MNT
changed:      
cgia...@cgi.interbusiness.it
 19991111
changed:      
net...@tin.it
 20010626
source:       RIPE
====================================================================
inetnum:      195.22.196.0 - 195.22.197.255
netname:      SEABONE-NET
descr:        SEABONE Internal Network
country:      IT
admin-c:      MP278-RIPE
tech-c:       FC347-RIPE
rev-srv:      
dns.seabone.net
rev-srv:      
trider-g7.seabone.net
status:       ASSIGNED PA
remarks:      =====================================================
remarks:      For Internet Abuse & Spam reports : 
ab...@seabone.net
remarks:      =====================================================
mnt-by:       AS6762-MNT
changed:      
f.chi...@seabone.net
 20010710
source:       RIPE
che significa e che vorranno? il router sara' visibile dall'esterno o
posso stare tranquillo ? 
(l'abbonamento e' per singolo utente e di fatto lo uso al 90% cosi'
solo rare volte mi collego contemporaneamente col portatile e il pc
fisso)
grazie a chi vorra' illuminarmi

  Unrecognized access from 
195.22.196.231:80
 to TCP port 64719
Purtroppo non ci sono molti dati ma direi che si tratta di un sistema
di load balancing che sta misurando la tua "distanza" dai server (vedi
in particolare i 195.22.196.23[01]). Oppure puo' qualche pacchetto
FIN in soprannumero che alcuni cluster amano inviarti per buona norma
anche se tu non glieli hai proprio chiesti, anche se le porte su un po'
alte. Comunque quelli sono server web (virgilio/tin e un qualcosa
gestito da akamai) e direi che non ti devi preoccupare.
Il whois non serve a niente in questi casi. Al limite puo' essere utile
risolvere l'IP in nome: se fosse stato un utente dialup sarebbe stato
piu' seccante.
Il router e' visibile dall'esterno ma questo non lo devi vedere come un
problema se lo tieni aggiornato e magari filtri le porte di accesso usate
per la configurazione da remoto (che so: 22, 23, 80... dipende).
Che diavolo di router e', a proposito?
Fabio

Che diavolo di router e', a proposito?
e' un router/gateway adsl di quelli economici della smc, per la mia
piccola rete sembra andare bene: lo attacco al modem/bridge che si
collega in ppoe, include uno switch 10/100, un print server e
l'attacco per un modem di backup oltre a un semplice firewall filtra
pacchetti in entrata
Ho mantenuto comunque il norton firewall installato, non che sia
chissa' cosa ma e' quello che ho: qualcosa comunque il firewall hw
incorporato sembra filtrare perche' dai test semplici su 
grc.com
 non
mi scatta l'allarme del norton come prima pur rimanendo le varie porte
in stealth
Esistono altre prove di vulnerabilita' effettuabili dall'esterno senza
dover installare tool di linux ?
grazie

 dover installare tool di linux ?
Che io sappia non piu'. Puoi andare a casa di un amico con un adsl (ma
anche un modem) e fare qualcosa da li. Comunque il test del sito di
g[ran]r[inc]c[azz] non e' un test di vulnerabilita' ma e' solo un debole
portscanner che testa una manciata di porte. I nanoprobes (sigh) sono
dei semplici pacchetti SYN senza payload.
Fabio

> dei semplici pacchetti SYN senza payload.
s/payload/opzioni/
Fabio