Newsgroup: it.comp.sicurezza.varie
Titolo: A chi posso segnalare tentativi di intrusione

Un idiota, mi ha lasciato qualcosa come quasi 2000 e passa tentativi di 
intrusione sul server con attacco a dizonario (penoso tra l'altro non so 
come facciano ad usare simili idiozie con utenti che vanno da pippo a admin 
ecc...) a chi potrei segnalare questi attacchi?
Inserisco una microscopica parte degli attacchi ricevuti da registro di 
sistema:
"2954","1","2008-07-19","08:46:59","jobs","212.46.139.77","---","---"
"2953","1","2008-07-19","08:46:58","job","212.46.139.77","---","---"
"2952","1","2008-07-19","08:46:56","foxboy","212.46.139.77","---","---"
"2951","1","2008-07-19","08:46:55","acegolf","212.46.139.77","---","---"
"2950","1","2008-07-19","08:46:54","wszyscy","212.46.139.77","---","---"
"2949","1","2008-07-19","08:46:53","tomek","212.46.139.77","---","---"
"2948","1","2008-07-19","08:46:52","ploter","212.46.139.77","---","---"
"2947","1","2008-07-19","08:46:51","kopia","212.46.139.77","---","---"
"2946","1","2008-07-19","08:46:49","informatyk","212.46.139.77","---","---"
"2945","1","2008-07-19","08:46:48","grupy","212.46.139.77","---","---"
"2944","1","2008-07-19","08:46:47","grupa","212.46.139.77","---","---"
"2943","1","2008-07-19","08:46:46","grafik","212.46.139.77","---","---"
"2942","1","2008-07-19","08:46:45","firma","212.46.139.77","---","---"
"2941","1","2008-07-19","08:46:44","ekspert","212.46.139.77","---","---"
"2940","1","2008-07-19","08:46:43","beata","212.46.139.77","---","---"
"2939","1","2008-07-19","08:46:42","tomaso","212.46.139.77","---","---"
"2938","1","2008-07-19","08:46:40","skaner","212.46.139.77","---","---"
"2937","1","2008-07-19","08:46:39","seba","212.46.139.77","---","---"
"2936","1","2008-07-19","08:46:38","miro","212.46.139.77","---","---"
"2935","1","2008-07-19","08:46:37","marek","212.46.139.77","---","---"
"2934","1","2008-07-19","08:46:36","marcins","212.46.139.77","---","---"
"2933","1","2008-07-19","08:46:35","maciek","212.46.139.77","---","---"
"2932","1","2008-07-19","08:46:34","jedrek","212.46.139.77","---","---"
"2931","1","2008-07-19","08:46:33","jacek","212.46.139.77","---","---"
"2930","1","2008-07-19","08:46:31","gustav","212.46.139.77","---","---"
"2929","1","2008-07-19","08:46:30","gosia","212.46.139.77","---","---"
"2928","1","2008-07-19","08:46:29","ania","212.46.139.77","---","---"
"2927","1","2008-07-19","08:46:28","angel","212.46.139.77","---","---"
"2926","1","2008-07-19","08:46:27","agnieszka","212.46.139.77","---","---"
"2925","1","2008-07-19","08:46:26","wizard","212.46.139.77","---","---"
"2924","1","2008-07-19","08:46:24","provawm","212.46.139.77","---","---"
"2923","1","2008-07-19","08:46:23","federico","212.46.139.77","---","---"
"2922","1","2008-07-19","08:46:22","dixell","212.46.139.77","---","---"
"2921","1","2008-07-19","08:46:21","brancher","212.46.139.77","---","---"
"2920","1","2008-07-19","08:46:20","mourad","212.46.139.77","---","---"
"2919","1","2008-07-19","08:46:19","milou","212.46.139.77","---","---"
"2918","1","2008-07-19","08:46:18","gaspard","212.46.139.77","---","---"
"2917","1","2008-07-19","08:46:16","damien","212.46.139.77","---","---"
"2916","1","2008-07-19","08:46:15","cecile","212.46.139.77","---","---"
"2915","1","2008-07-19","08:46:14","userdetest","212.46.139.77","---","---"
"2914","1","2008-07-19","08:46:13","stagiaires","212.46.139.77","---","---"
"2913","1","2008-07-19","08:46:12","netlogon","212.46.139.77","---","---"
"2912","1","2008-07-19","08:46:11","mailcop","212.46.139.77","---","---"
"2911","1","2008-07-19","08:46:10","fabiend","212.46.139.77","---","---"
"2910","1","2008-07-19","08:46:08","fabien","212.46.139.77","---","---"
"2909","1","2008-07-19","08:46:07","emile","212.46.139.77","---","---"
"2908","1","2008-07-19","08:46:06","conchi","212.46.139.77","---","---"
"2907","1","2008-07-19","08:46:05","bruno2","212.46.139.77","---","---"
"2906","1","2008-07-19","08:46:04","aurelien","212.46.139.77","---","---"
"2905","1","2008-07-19","08:46:03","alwek","212.46.139.77","---","---"
"2904","1","2008-07-19","08:46:02","niko","212.46.139.77","---","---"
"2903","1","2008-07-19","08:46:00","tox","212.46.139.77","---","---"
"2902","1","2008-07-19","08:45:59","tomasz","212.46.139.77","---","---"
"2901","1","2008-07-19","08:45:58","rrogozinski","212.46.139.77","---","---"
"2900","1","2008-07-19","08:45:57","rogozinski","212.46.139.77","---","---"
"2899","1","2008-07-19","08:45:56","pnowik","212.46.139.77","---","---"
"2898","1","2008-07-19","08:45:55","nowik","212.46.139.77","---","---"
"2897","1","2008-07-19","08:45:54","pawel","212.46.139.77","---","---"
"2896","1","2008-07-19","08:45:53","madi","212.46.139.77","---","---"
"2895","1","2008-07-19","08:45:51","katek","212.46.139.77","---","---"
"2894","1","2008-07-19","08:45:50","michal","212.46.139.77","---","---"
"2893","1","2008-07-19","08:45:49","lexus","212.46.139.77","---","---"
"2892","1","2008-07-19","08:45:48","halina","212.46.139.77","---","---"
"2891","1","2008-07-19","08:45:47","gucio","212.46.139.77","---","---"
"2890","1","2008-07-19","08:45:46","gracikowska","212.46.139.77","---","---"
"2889","1","2008-07-19","08:45:44","bozena","212.46.139.77","---","---"
"2888","1","2008-07-19","08:45:43","aneta","212.46.139.77","---","---"
"2887","1","2008-07-19","08:45:42","filip","212.46.139.77","---","---"
"2886","1","2008-07-19","08:45:41","adminet","212.46.139.77","---","---"
"2885","1","2008-07-19","08:45:40","instale","212.46.139.77","---","---"
"2884","1","2008-07-19","08:45:39","vik","212.46.139.77","---","---"
"2883","1","2008-07-19","08:45:38","leela","212.46.139.77","---","---"
"2882","1","2008-07-19","08:45:37","krish","212.46.139.77","---","---"
"2881","1","2008-07-19","08:45:35","xp-server","212.46.139.77","---","---"
"2880","1","2008-07-19","08:45:34","tech","212.46.139.77","---","---"
"2879","1","2008-07-19","08:45:33","sheldon","212.46.139.77","---","---"
"2878","1","2008-07-19","08:45:32","shares","212.46.139.77","---","---"
"2877","1","2008-07-19","08:45:31","reception","212.46.139.77","---","---"
"2876","1","2008-07-19","08:45:30","nichole","212.46.139.77","---","---"
"2875","1","2008-07-19","08:45:29","kirk","212.46.139.77","---","---"
"2874","1","2008-07-19","08:45:28","keith","212.46.139.77","---","---"
"2873","1","2008-07-19","08:45:26","garrett","212.46.139.77","---","---"
"2872","1","2008-07-19","08:45:25","austin","212.46.139.77","---","---"
"2871","1","2008-07-19","08:45:24","accounting","212.46.139.77","---","---"
"2870","1","2008-07-19","08:45:23","webapps","212.46.139.77","---","---"
"2869","1","2008-07-19","08:45:22","nathan","212.46.139.77","---","---"
"2868","1","2008-07-19","08:45:20","nfsroot","212.46.139.77","---","---"
"2867","1","2008-07-19","08:45:19","young","212.46.139.77","---","---"
"2866","1","2008-07-19","08:45:18","kerry","212.46.139.77","---","---"
"2865","1","2008-07-19","08:45:17","viora","212.46.139.77","---","---"
"2864","1","2008-07-19","08:45:16","maku","212.46.139.77","---","---"
"2863","1","2008-07-19","08:45:15","falcon","212.46.139.77","---","---"
"2862","1","2008-07-19","08:45:14","bercik","212.46.139.77","---","---"
"2861","1","2008-07-19","08:45:12","win02","212.46.139.77","---","---"
"2860","1","2008-07-19","08:45:11","win01","212.46.139.77","---","---"
"2859","1","2008-07-19","08:45:10","server_admin","212.46.139.77","---","---"
"2858","1","2008-07-19","08:45:09","ginny","212.46.139.77","---","---"
"2857","1","2008-07-19","08:45:08","circ","212.46.139.77","---","---"
"2856","1","2008-07-19","08:45:06","blitzcat","212.46.139.77","---","---"
"2855","1","2008-07-19","08:45:05","sysadmin","212.46.139.77","---","---"
"2854","1","2008-07-19","08:45:04","storm","212.46.139.77","---","---"
"2853","1","2008-07-19","08:45:03","toiawase","212.46.139.77","---","---"
"2852","1","2008-07-19","08:45:02","htdocs","212.46.139.77","---","---"
"2851","1","2008-07-19","08:45:01","marilena","212.46.139.77","---","---"
"2850","1","2008-07-19","08:45:00","luciano","212.46.139.77","---","---"
"2849","1","2008-07-19","08:44:59","elena","212.46.139.77","---","---"
"2848","1","2008-07-19","08:44:57","diego","212.46.139.77","---","---"
"2847","1","2008-07-19","08:44:56","annalisa","212.46.139.77","---","---"
"2846","1","2008-07-19","08:44:55","simona","212.46.139.77","---","---"
"2845","1","2008-07-19","08:44:54","rodolfo","212.46.139.77","---","---"
"2844","1","2008-07-19","08:44:53","riccardo","212.46.139.77","---","---"
"2843","1","2008-07-19","08:44:52","mexal","212.46.139.77","---","---"
"2842","1","2008-07-19","08:44:50","malessio","212.46.139.77","---","---"
"2841","1","2008-07-19","08:44:49","maddalena","212.46.139.77","---","---"
"2840","1","2008-07-19","08:44:48","giulia","212.46.139.77","---","---"
"2839","1","2008-07-19","08:44:47","giorgio","212.46.139.77","---","---"
"2838","1","2008-07-19","08:44:46","comune","212.46.139.77","---","---"
"2837","1","2008-07-19","08:44:45","anto","212.46.139.77","---","---"
"2836","1","2008-07-19","08:44:44","alessia","212.46.139.77","---","---"
"2835","1","2008-07-19","08:44:43","vmail","212.46.139.77","---","---"
"2834","1","2008-07-19","08:44:42","virusalert","212.46.139.77","---","---"
Grazie.
-- 
Due di Nano:
Si ma con la sicurezza che cazzo c'entra?
mauro:
La sicurezza della tua solita risposta scema, fesso. 

 ecc...) a chi potrei segnalare questi attacchi?
Alla Polizia Postale, anche se molto probabilmente l'IP mittente, 
registrato in UK, sara' forgiato, per cui non ci si potra' fare nulla.
La cosa IMHO migliore e' adottare un programmino che intercetti gli 
attacchi brute-force come il tuo, mettendo l'IP mittente in quarantena 
per un po'.
Ciao
Luca

 Luca

 storia all'italiana ( Sfogo personale )
Beh, in questo caso no. Generalmente gli attacchi portano un IP 
mittente fasullo, per cui la storia all'italiana c'entra ben poco: in 
queste condizioni, nessuno potrebbe risalire all'autore.
Le difese AFAIK possono consistere come detto in qualche script che 
analizzi il log e imposti qualche regola di iptables al volo, oppure in 
firewall layer-7 in grado di individuare questo tipo di attacchi e 
agire di conseguenza.
Sull'SSH naturalmente valgono sempre le solite regolette: solo SSHv2, 
niente root login, e magari restringere il login ad un solo user con 
password molto complessa.
Ciao
Luca

 password molto complessa.
Non so se mi è eprmesso fare questo... ho un server Qnap 109 pro 

 evitare un mucchio di rotture di zebedei :D
Ho dato un' occhiata a Wiki per capire di cosa parlavi :) come si realizza 
questa cosa? tieni conto che ho il tutto su un nas server dedicato, un qnap 
109 pro, non so se si possa fare...


 Non so se mi è eprmesso fare questo... ho un server Qnap 109 pro
Non conosco l'implementazione SSH del server. Ma non avevi detto di 
aver gia' provveduto a installare un programma di monitoraggio del log?
In alternativa, cosi' sui due piedi mi verrebbe in mente un firewall 
con Zeroshell, che e' layer-7.
Ciao
Luca
-- 
Luca Sasdelli
Microsoft MVP - Enterprise Security

 Zeroshell, che e' layer-7.
:-) whats? 

 :-) whats?
Puoi usare un hardware embedded (es. 
www.pcengines.ch
), o anche un PC 
di recupero, con sopra ZeroShell (
www.zeroshell.net
), firewall con 
controllo del traffico a livello di applicazione.
Ciao
Luca

 del traffico a livello di applicazione.
Mmm...ti faccio una domanda: come si fa a limitare l'ingresso al server alla 
sola utenza italiana? posso inserirlo sul nas server ma non so come mettere 
gli indirizzi, così taglio la testa al toro e gli altri i attaccano, o al 
limite basta che mi dai un link così me lo studio, grazie mille :-)
P.s. Praticamente c'è una sezione che si chiama controlli accessi host dove 
puoi dire chi può entrare e chi no, dall'ip singolo alla selezione della 
netmask 

 sola utenza italiana?
Non e' un gran bel sistema ... credo sia molto piu' sicuro inserire un 
firewall come suggerito.
Guarda su 
www.zeroshell.net
, scarica la iso e installala su una 
macchinetta con due schede di rete; nel setup devi abilitare le sole 
porte che ti servono. Puoi anche usare un pacchetto come m0n0wall 
http:/
m0n0.ch
: entrambi sono installabili su flash.
Ciao
Luca

 firewall come suggerito.
Hai ragione ma il discorso è che non ho spazio... se per caso aggiungessi 
un'altra macchina in casa prenderebbe il mio posto, mia madre mi caccia 
fuori :-/
Come si fa a limitare l'accesso alla sola utenza italiana? e possibile 
secondo te?
...



Eh, ma poi come lo sai se l'attacco ha avuto successo? Se cambio l'indirizzo 
mittente, la risposta arriva all'indirizzo fasullo, che risponde con un bel 
RST, visto che di SYN non ne ha mandati.
Per poter fare questo lavoro E ricevere la risposta dovresti essere su un 
router nel mezzo del tragitto dei pacchetti di risposta -- che non e' 
necessariamente lo stesso per tutti i pacchetti.
Ciaotutti,
* 

 No, e' sufficiente modificare l'header dei pacchetti IP.
Un po' difficile che, ammesso che un pacchetto spoofato
riesca a passare dai router del tuo provider, ti torni
qualcosa indietro, no?