Newsgroup: it.comp.sicurezza.varie
Titolo: Black ICE e back trace

Salve NG,
ho visto in una recensione che black ice pc protection ha funzione di back
trace tramite dns lookup e netbios nodestatus.
Vorrei sapere se questa operazione ossia che va a ricercare info
sull'attacante sulla 137 udp č legale secodo voi? perchč pensandoci se
l'attakker č firewallato sicuramente vedra nei log quest'evento!
Che ne pensate?
---
Outgoing mail is certified Virus Free.
Checked by AVG anti-virus system (
http://www.grisoft.com
).
Version: 6.0.476 / Virus Database: 273 - Release Date: 24/04/2003

 Che ne pensate?
Che su internet i dati che si possono ricavare da una nodestatus request 
sono assai poco utili (salvo casi particolari). Io disattiverei la 
funzione di backtrace netbios.
Se ti interessa cercare una risposta piu' approfondita puoi provare
a postare su it.diritto.internet. Per maggiore chiarezza potresti
postare anche un esempio dei dati che si possono raccogliere con una 
node status request, perche' magari non tutti li sono perfettamente
al corrente di cosa sia.
Fabio

 al corrente di cosa sia.
L'unico problema è che non so da dove prenderlo un esempio! magari se mi
puoi aiutare in tal senso, posso fare un post su it.diritto.internet


 puoi aiutare in tal senso, posso fare un post su it.diritto.internet
c:\nbtstat -A <ip computer>
... dove <ip computer> potrebbe anche essere il tuo ip (se hai netbios
abilitato). Con nbtstat puoi ricavare anche altre informazioni ma quelle
che prende blackice sono quelle che si ricavano con la linea di comando 
di cui sopra.
Ti posto un esempio dell'output, che ovviamente puoi usare. Con // ho 
riportato un commento. E' solo un esempio, ovviamente: non tutti i 
valori potrebbero essere presenti, e alcuni possibili ne mancano. E'
una cosa che dipende dalla funzione del computer e dei servizi in 
esecuzione.
########################################################################
    Nome              Tipo   Stato
---------------------------------------
<nome computer> <00> UNIQUE  Registrato  // Servizio workstation attivo
<nome computer> <20> UNIQUE  Registrato  // Servizio server attivo
<nome computer> <00> GROUP   Registrato  // Nome dominio/gruppo
<nome computer> <1C> GROUP   Registrato  // E' un controller di dominio 
<nome computer> <1B> UNIQUE  Registrato  // E' master browser di dominio
<nome computer> <1E> GROUP   Registrato  // Partecipa elezioni mbrowser
<nome computer> <03> UNIQUE  Registrato  // Ha messenger attivato
<nome computer> <1D> UNIQUE  Registrato  // E' master browser del gruppo
..__MSBROWSE__. <01> GROUP   Registrato  // E' master browser del gruppo
INet~Services   <1C> GROUP   Registrato  // IIS
IS~NOME_NETBIOS.<00> UNIQUE  Registrato  // Utente anonimo IIS
<nome utente>   <03> UNIQUE  Registrato  // Ha messenger attivato
Indirizzo MAC  = 00-30-84-0E-1F-BF       // Indirizzo fisico scheda rete
########################################################################
Sono andato un po' a memoria e potrebbe anche esserci qualche errore
nelle descrizioni. Con google o direttamente sul sito microsoft dovresti
poter trovare velocemente le descrizioni corrette.
Fabio


Un'ultima cosa! e scusami per l'ignoranza, che cos'è "ID ambito"?


> Un'ultima cosa! e scusami per l'ignoranza, che cos'è "ID ambito"?
Una caratteristica poco conosciuta di netbios e' quella di poter creare 
degli "ambiti" di rete, isolati tra loro, in cui le macchine possono 
"vedersi" ma non vedere quelle degli altri ambiti. E' un po' come l'uso 
di subnet ip che condividono lo stesso segmento di rete, per scendere 
dal livello applicativo a quello di inoltro. E' una caratteristica che 
non verra' piu' supportata.
L'ambito di appartenenza passa in chiaro sulla rete e, quindi, non puo'
essere usato come strumento per garantire la confidenzialita' delle
comunicazioni.
Fabio