Newsgroup: it.comp.sicurezza.varie
Titolo: Probabile attacco al firewall

Salve,
dal log del mio firewall zyxel individuo i seguenti messaggi:
Firewall session time out, sent TCP RST
Peer TCP state out of order, sent TCP RST
potrebbero essere tentativi di attacco? Se si, come posso fronteggiarli?

Se si, come posso fronteggiarli?
Lo sta gia' facendo il firewall: spedisce indietro un RST. Si puo'
ordinargli di droppare tutto, ma a te cambia poco, e rischi poi di
avere malfunzionamenti nelle applicazioni legittime.
Leonardo
-- 
While ordinarily valid that being widespread does not make a statement
true, I feel that the diffusion of anti-evolutionary beliefs does pose
a strong argument for Darwin having been, indeed, sorely mistaken.

 Peer TCP state out of order, sent TCP RST
Esistono alcuni casi in cui e' normale inviare reset in risposta ad un
pacchetto fuori sequenza, anche se non sono molto frequenti. Potrebbe,
ovviamente, essere un sofisticatissmo attacco o un esoterico tentativo
di fingerprinting... ma sono piu' portato a pensare che si tratti d'un
errore nel testo messaggio o di un comportamento anomalo del firewall.
Purtroppo i zyxel non loggano con sufficiente dettaglio per poter fare
considerazioni piu' approfondite.
Fabio

> Peer TCP state out of order, sent TCP RST
... per curiosita', l'ip coninvolto e' 212.239.41.101?

considerazioni piu' approfondite.
Io ho questo problema (Peer TCP state out of order, sent TCP RST) su
uno Zywall2+, l'errore si presenta quando una macchina su un lato
della vpn si connette a una macchina sull'altro lato.
E in pratica non funziona un accidente, o meglio funzionano alcune
cose ma in maniera sclerata: es. RPC va solo in una direzione, http va
solo nell'altra, smb va in entrambe le direzioni, SQL non funziona per
niente.
Sono in contatto con la Zyxel per una diagnosi.
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 ... per curiosita', l'ip coninvolto e' 212.239.41.101?
che roba è ste Red Sherif ?

 che roba è ste Red Sherif ?
Un'azienda, ora acquisita da Nielsen, che si occupa di tracking 
della navigazione tramite una sorta di applet-spyware. Quell'ip
e' quello del server per la raccolta dati. Spesso vedo quel log
citato dall'OP (sugli zyxel) relativo a traffico con questo ip.
Il traffico verso quel server e' un po' sospetto e non mi piace
del tutto: a volte e' cifrato con autenticazione del client (l'
applet), m'e' parso di notare tentativi di bypassare il proxy e
ultimamente ci sono stati tentativi di iniziare traffico su 139
e 445/tcp. E' quasi tutto spiegabile anche con bug dell'applet,
che buggata lo e' di sicuro in alcune release, ma purtroppo non
ho tempo di fare analisi piu' approfondite e quindi, per ora...
mi sono limitato a bloccarlo.
Fabio

 niente.
Oddio... a questo punto potrebbe essere che non sia un errore nel testo 
del messaggio, ma che zynos invii *veramente* un RST quando si presenta 
un pacchetto fuori sequenza. Io ho degli Zywall5 (ereditati da gestione
precedente) e sulle vpn non mi danno problemi mentre ho spesso quel log
nel caso di traffico http verso un particolare ip.
Fabio

nel caso di traffico http verso un particolare ip.
Ma verso l'esterno? A me lo fa da un capo all'altro della VPN.


 Ma verso l'esterno? A me lo fa da un capo all'altro della VPN.
Si', e' traffico verso l'esterno, principamente verso un ip (quello che
ho riportato nell'altro post).
Considera che tutte le mie vpn che coinvolgono gli zyxel hanno openswan
come secondo endpoint, una situazione potenzialmente diversa dalla tua.
Fabio

 che roba è ste Red Sherif ?
http://cexx.org/sheriff.htm
http://www.castlecops.com/t29991-Redsheriff_tracker.html
http://www.velocityreviews.com/forums/t186235-red-sheriff-tracking-cookie.html