Newsgroup: it.comp.sicurezza.varie
Titolo: Attacchi ICMP e TCP

Il log di outpost si presenta con una sfilza di record del tipo:
    18/09/2003 13:33:27 Port scanned 127.0.0.1 TCP(1725) TCP(1618) TCP(1478)
TCP(1771) TCP(1986) TCP(1971)
    18/09/2003 13:33:27 Connection request 127.0.0.1 TCP(1725)
    18/09/2003 13:33:24 Connection request 127.0.0.1 TCP(1618)
    18/09/2003 13:33:21 Connection request 127.0.0.1 TCP(1478)
    18/09/2003 13:33:17 Connection request 127.0.0.1 TCP(1771)
    18/09/2003 13:33:17 Connection request 127.0.0.1 TCP(1986)
    18/09/2003 13:33:11 Connection request 127.0.0.1 TCP(1971)
Praticamente, se ho capito, mi scannano le porte e poi subisco una
'connection request' sulle stesse porte.
Cos'e'?
Devo preoccuparmi e/o fare qualcosa?
Inoltre, ho letto riguardo ICMP di lasciare passare ICMP 0, 3, 8, 11.
Quale direzione è da consentire?
Outpost di default consende 0, 3, 11 in 'inbound', 8 in 'outbound'.
Vanno bene o devo modificare?
Grazie!

 Vanno bene o devo modificare?
possono andar bene per un client.
-- 
per leggere e postare su free.it.*:
http://infofreeit.altervista.org/polacco.zip


Dove le trovo?

 ha scritto nel messaggio
news:z%hab.113126$R32.3...@news2.tin.it...

Blaster e tentate connessioni a 
127.0.0.1
:
FAQ a cura di Fabio Panigatti
http://www.securfaq.usenet.eu.org/
Saluti, Anto
--
Found here -> 
http://bart.peps.dk/


Grazie mille!
Pero' non ci ho capito molto................
''ora i blaster in esecuzione su host il
cui DNS risolve i nomi nell'indirizzo di loopback inviano un SYN al
127.0.0.1. Incidentalmente l'interfaccia di loopback risponde con i
suoi SYN/ACK o RST (a seconda che ci sia o meno un server web sugli
host infetti) che vengono inviati all'indirizzo ip spoofato. Da cui
i pacchetti che tutti vedono sui propri firewall.''
Significa che tutte le *connection request* che vedo nel log del firewall
sono tentativi di accesso del worm da altri host infetti?
E quindi tali host vengono identificati con 127.0.0.1 per il motivo citato?
Quindi io sto tranquillo perchè vengo *sondato* dall'esterno ma sono
protetto.
Mah... l'ingegneria informatica....


Disse Fabio :
"Per venire in contro ai possessori dei server floodati alcuni gestori di
DNS hanno avuto
un'ideona: "risolviamo il nome host delle macchine soggette a flood
in 127.0.0.1!".
Quindi, a quanto m'e' parso di capire, puo' capitare che il tuo firewall
riporti un "tentato attacco da parte del computer 127.0.0.1" che *non*
e' un IP "valido per internet" ma che, per i motivi di cui sopra...
Danny che chiede conferme di aver capito bene

 Mah... l'ingegneria informatica....
Oserei dire reverse engeneering :-)



Domanda (forse stupida.....):
se il problema risiede nel DNS fornito di default dal mio provider
(tin, nella fattispecie) non si puo' cercare di bypassarlo fornendo
nelle impostazioni di connessione, anziche' quello di default (DNS
assigned by server), l'IP di un altro DNS che non sia stato "dotato"
di questa simpatica funzione ? Per il provider andrebbe bene lo stesso
? E quale potrebbe essere questo DNS ?
Robby
-
**** Per risposte private: cancellare TUTTE le "x" dal mio address ! ****
**** To reply privately: delete ALL the "x" from my address ! ****