Newsgroup: it.comp.sicurezza.varie
Titolo: Da Outpost: questo è un attacco? Insiste...

Ed il tipo insiste:
02/09/2002 2.34.37 Port scanned 195.130.225.152 TCP(14216) TCP(33864)
02/09/2002 2.34.37 Connection request 195.130.225.152 TCP(14216)
02/09/2002 2.34.03 Connection request 195.130.225.152 TCP(33864)
02/09/2002 2.32.48 Connection request 195.130.225.152 TCP(14216)
02/09/2002 2.32.38 Port scanned 195.130.225.153 TCP(7233) TCP(13228)
02/09/2002 2.32.38 Connection request 195.130.225.153 TCP(7233)
02/09/2002 2.32.27 Connection request 195.130.225.153 TCP(13228)
02/09/2002 2.03.40 Connection request 212.67.202.140 TCP(4155)
01/09/2002 15.32.29 Connection request 195.130.225.149 TCP(11274)
01/09/2002 15.30.29 Connection request 195.130.225.149 TCP(11274)
01/09/2002 15.28.29 Connection request 195.130.225.149 TCP(11274)
01/09/2002 15.26.32 Connection request 195.130.225.149 TCP(11274)
01/09/2002 15.25.29 Connection request 195.130.225.149 TCP(11274)
01/09/2002 15.23.49 Connection request 195.130.225.149 TCP(11274)
----------------------------------------------------------------------------
-------
Domanda semplice.
Nella sezione plug-in "Attack Detection" continuo a trovare queste diciture
formate dagli stessi IP number in più momenti della giornata:
02/09/2002 2.03.40 Connection request 212.67.202.140 TCP(4155)
01/09/2002 15.32.29 Connection request 195.130.225.149 TCP(11274)
01/09/2002 15.30.29 Connection request 195.130.225.149 TCP(11274)
01/09/2002 15.28.29 Connection request 195.130.225.149 TCP(11274)
01/09/2002 15.26.32 Connection request 195.130.225.149 TCP(11274)
01/09/2002 15.25.29 Connection request 195.130.225.149 TCP(11274)
01/09/2002 15.23.49 Connection request 195.130.225.149 TCP(11274)
Cosa sono?
Non vorrei allarmarmi per una stupidata. Infatti pare si tratti di qualcosa
legato alla posta elettronica, ma per essere più sicura chiedo...
Comunque facendo un Whois mi indica
Node Data Node Net Reg IP Address      Location            Node Name
   1   -   - xxxxxxxxxxxxxxxxxx    [privacy cut]
   2   1   - xxxxxxxxxxxxxxxxx    Unknown
   3   1   - xxxxxxxxxxxxxxxxx    Unknown
   4   1   - xxxxxxxxxxxxxxxxxx    Unknown
   5   2   1 192.106.1.138   Unknown             
gw-mi-121.iunet.it
   6   3   - 192.94.212.117  Unknown
   7   4   2 217.29.67.18    Unknown             
tiscali2.mix-it.net
   8   5   3 213.200.68.18   Unknown             
it-gw.mil11.ip.tiscali.net
   9   6   4 195.130.254.205 Unknown
pos7-0.3.gsr2ca.net.tiscali.it
  10   6   4 195.130.254.245 Unknown             
ge3-2.gsr1ca.net.tiscali.it
  11   6   4 195.130.225.149 VATICAN CITY        
mail-3.tiscali.it
Network id#: 1
see 
http://www.iana.org
.
Network id#: 2
IUnet (NET-IUNET-CNET1) Via Lorenteggio 257I-20100  IT
Network id#: 3
DIST, Universita di Genova (NET-IUNET-DEMOS)
   Via Opera Pia, 11a 16145 Genova IT
Network id#: 4
European Regional Internet Registry/RIPE NCC (NET-217-RIPE)
   These addresses have been further assigned to European users. Contact
information can be found in the RIPE database at 
whois.ripe.net
 NL
Network id#: 5
Tiscali International Network B.V.
Robert-Bosch-Str. 32 D-63303 Dreieich Germany
Network id#: 6
Tiscali SpA
Viale Trento 39 09123 Cagliari II
Registrant Data
Registrant id#: 1
Infostrada S.p.A Via Lorenteggio, 257 I-20153 Milano Italy
Registrant id#: 2
MIX srl (MIX-IT-NET-DOM)
via Caldera 21 Milano 20153 Italy
 
+39 02 40915701
 
+39 02 40915693
 
st...@uli.it
Registrant id#: 3
Tiscali S.p.A (TISCALI5-DOM)
Viale Trento, 39 Cagliari, 09123 IT
Registrant id#: 4
?
Viale Trento,39
   Cagliari,09123
   Italy
Salutoni
Gianna

   11   6   4 195.130.225.149 VATICAN CITY        
mail-3.tiscali.it
Non ti allarmare: nulla di che. Forse hai bloccato quell'indirizzo IP e 
non riesci piu' a connetterti. Peccato che i log di outpost siano cosi' 
incompleti, manca la porta di origine o quella di destinazione (la prima 
dovrebbe essere la 110 o la 143). In effetti avevo notato che outpost ha 
questa brutta pecca.
comunque, nulla di che, se non ti da' problemi, ignora.
-- 
HappyCactus - Registered Linux User #209744 - >>> SMSPM950 <<<
http://www.angelfire.com/jazz/happycactus/index.html
Made with 100% recycled electrons

 che outpost ha questa brutta pecca.
E' anche estremamente generico nell'identificazione del tipo di evento:
indica connection request per qualsiasi tipo di pacchetto filtrato. In
molti casi impropriamente, come nel caso dei... FIN ;)
Fabio

 molti casi impropriamente, come nel caso dei... FIN ;)
(ma pensa te)
... e questo potrebbe spiegare il perche' dei messaggi: spesso iptables 
segnala dei FIN+PSH proprio da servers tipo mail, http eccetera... che 
non sia la stessa situazione, solo che outpost li identifica erroneamente 
com connection requests?
