Newsgroup: it.comp.sicurezza.varie
Titolo: Sono attacchi?

Un saluto a tutti.
E' poco tempo che navigo e sono ancora molto inesperto. Seguo questo Ng
da quando ho preso coscienza dei problemi legati alla sicurezza e fino
ad ora mi sono sempre arrangiato da solo. Ma ora vorrei sentire il
parere di qualcuno davvero esperto.
Prima di procedere preciso alcune cose. Ho istallato:
              1) AVP antivirus
              2) AVP system watcher
              3) Zone alarm (da soli tre giorni)
              4) Il NetBIOS e' disattivato
 
      Durante una sessione mi arriva una raffica di avvisi da Zone alarm
che mi informa di avre bloccato tentativi di connessione al mio PC
dall'esterno. Al termine della connessione esamino la sezione "internet
Alert" di Zone alarm che ha registrato una quarantina di tentativi: Vi
riporto un sunto qui sotto:
The firewall has blocked Internet access to your computer:
1) (ICMP Source Quench) from 195.248.174.168
   Occurred 3 time between 4.06.58 and 5.00.20
2) (NetBIOS Name) from 212,179.13.76
   Occurred 3 time between 4.09.46 and 4.41.14
3) (ICMP Source Quench) from 195.16.103.3
   Occurred 3 time between 4.30.26 and 5.01.12
-------------------------------------------------
4) (HTTP) from 151.4.47.3 (TCP port 1443)
   time: 4.34.38
5) (HTTP) from 151.4.47.3 (TCP port 1444)
   time: 4.34.38
 
6) (HTTP) from 151.4.47.3 (TCP port 4789)
   time: 4.54.08
7) (HTTP) from 151.4.47.3 (TCP port 1257)
   time: 5.00.20
8) (HTTP) from 151.4.47.3 (TCP port 1268)
   time: 5.00.40
.....etc. Altre 18 voci sempre dallo stesso
indirizzo (151.4.47.3) su porte differenti.
---------------------------------------------
27) (ICMP Time Exeeded) from 62.244.33.80
     Occurred 2 time between 5.16.26 and 5.21.56
28) (ICMP Source Quench) from 195.16.103.3
     Occurred 2 time between 5.19.48 and 5.45.18
29) (NetBIOS Name) from 207.112.162.140
     Time: 5.20.50
30) (ICMP Source Quench) from 195.248.174.168
     Occurred 4 time between 5.21.00 and 6.03.32
31) (ICMP Unreachable) from 210.166.109.2.
     Time: 5.28.40
32) (NetBIOS Name) from 212.179.13.76.
     Occurred: 3 times between 5.29.44 and 6.18.58
33) (ICMP Source Quench) from 195.16.103.3.
     Occurred: 3 times between 6.22.42 and 6.59.48
34) (ICMP Source Quench) from 195.248.174.168.
     Occurred: 3 times between 6.22.56 and 6.44.42
35) (NetBIOS Name) from 212.179.13.76.
     Time: 6.51.48
   Ora ho le seguenti perplessita':
1) Sono degli attacchi? (Non mi pare si possa pensare ad altro)
2) Non avrei mai immaginato che durante una sessione uno potesse
   subire cosi' tanti tentativi di attacco. Ma non e' forse vero
   che anche con tutte le porte spalancate se non c'e' un server
   sul computer ogni tentativo di intrusione e' destinato al fal-
   limento? Ma allora c'e' gente che ci prova a caso sperando di 
   trovare il server installato sul computer bersaglio? Ma le   
probabilità di riuscita non sono un po' bassine? Ma allora costoro   
che fanno, si divertono a tentare a vuoto? C'e' qualcosa che
   mi sfugge...
3) C'e' stato un tempo che navigavo senza alcuna protezione. E'   
possibile che in quel periodo qualcuno sia riuscito ad entrare nel
   mio PC? Preciso che non ho mai notato niente di strano durante le   
navigazioni. 
4) Quell'IP da cui sono arrivati una ventina di tentativi
(151.4.47.3)è    quello che mi preoccupa di piu'. Allora ho cercato di
saperne di piu'    con Whois. Ecco il responso:
 
inetnum:     151.4.47.0 - 151.4.47.255
netname:     PEGASO47
descr:       Internet Provider
country:     IT
admin-c:     LL397-RIPE
tech-c:      LL397-RIPE
status:      ASSIGNED PA
mnt-by:      AS1267-MNT
changed:     
hostm...@iunet.it
 19991122
source:      RIPE
route:       
151.4.0.0/16
descr:       INFOSTRADA
origin:      AS1267
mnt-by:      AS1267-MNT
changed:     
hostm...@iunet.it
 19991125
source:      RIPE
person:      Luca Landi
address:     XX Settembre 33/2
address:     16121 Genova
phone:       +39 10 5702395
fax-no:      +39 10 587918
e-mail:      
la...@pegaso-ip.it
nic-hdl:     LL397-RIPE
changed:     
cgia...@cgi.interbusiness.it
 19980129
changed:     
hostm...@nic.it
 19980130
source:      RIPE
   Ora, il mio Provider e' "King on line" ma so che si chiama anche
"Pegaso". Ha qualcosa a che vedere con quel "Pegaso47"? Forse non sono
attacchi ma "normali richieste" provenienti dal provider? Non ci capisco
niente, aiutoooo!
Vi ringrazio in anticipo.
Jacopous

niente, aiutoooo!
Per me hai gia' capito tutto... L'amministratore ha un' email
@
pegaso-ip.it
, quindi si tratta proprio del tuo provider.
 
Lapalissiano
ICQ 57269703

 ICQ 57269703
Ti ringrazio moltissimo per le risposte e cerco di approfittare
ancora un po' della tua gentilezza sprattutto per imparare qualcosa
di nuovo. Perchè il mio provider tenta di connettersi al mio PC?
E' normale?
Jacobous






E' normale?
Ti posso solamente che e' verosimilmente normale. Non ho le conoscenze
tecniche per aiutarti ulteriormente...
Manda il log di ZonAlarm al tuo provider e chiedi a loro se e' tutto
regolare e per quale motivo controlla se quelle porte sono aperte.
Lapalissiano
ICQ 57269703

Se ti viene un'altro dubbio potresti controllare la presenza di un trojan
con la seg. utility:
http://info-x.co.uk/default.asp?page=http://www.info-x.co.uk/nettools.stm
(Nella sezione trojan scanner)
E' uno script che controlla che le tue porte non contengano virus troiani.
Il database interno č abbastanza ampio.
Ciao