Newsgroup: it.comp.sicurezza.varie
Titolo: SCANSIONE PORTE IN LINUX: Come evitarla?

Chiedo come sia possibile limitare il più possibile la scansione delle porte in ambiente LINUX e quali
strumenti
si possono utilizzare.
Grazie anticipatamente :)

"Orion" <message@NOSPAM_integra-sistemi.com> ha scritto nel messaggio
news:EfGV7.359082$sq5.17...@news.infostrada.it...

Ritengo che l'intercettazione delle porte sia fondamentale in quanto si
presume che possa anche essere
il preludio per un attacco in grande stile.....detto questo i principali
metodi si basano su programmi di
IDS, come NFR...Strumenti già pronti possono essere SCANLOGD di Solaris
oppure PortSentry...
Ricordati che molti firewall non riconoscono in modo automatico le scansioni
di tipo FIN ma solamente
quelle di tipo SYN.
Vedi un po tu, ciao Carlo

 Ritengo che l'intercettazione delle porte sia fondamentale in quanto si
============== C&P ==============
NNTP-Posting-Host: 151.29.193.100
============== C&P ==============
Ora ti rispondi da solo?
Altro indirizzo e-mail, altro nome?
Non ho parole.
-- 
Saluti
Leonardo
Per rispondermi in privato: 
leon...@firenze.linux.it

 
Sono io che non ho parole......non ti č venuto in mente che magari siamo in 
tanti su questa rete?
naa....ed io ci discuto pure....
-- 
By Orion of INTEGRA Sistemi

 
Già....andiamo a berci un caffè mi sa che è meglio....:)


 Non ho parole.
La sindrome da troll lo ha oramai preso del tutto, povero idiota..
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 tanti su questa rete?
*
.....??? no, sono io che mi chiedo:
caso 1: ti rispondi da solo ?
caso 2: se non sei lo stesso [ip], non facevi pima ad alzarti e chiedere al
tuo collega???
[ip] per chi non ci arriva... ip inteso come stesso ip stessa macchina
stesso utente, ece,ecc.....
--
"CIoe', se ci sono 17 k al posto di 17 c e' un 100% (lo so, mi spiego da
cani...)"

 tanti su questa rete?


 tuo collega???
... dimenticavo, se non avevi voglia di alzarti potevi usare altri stumenti,
tipo posta interna, netsend, winpopuppo, sms, ecc,ecc.......



Al ridicolo non c'è mai fine......pare che tu ti sita postando sa solo :)
Ma oggi è natale... 


 Ma oggi è natale...
e si, è vero !
--



Ovvero....invece che imbastire una polemica che cmq, non avrebbe mai
fine, continuate imperterriti.....
Dal canto mio ho già messo in lista nera un bel po di
gentaccia.......poi fai tu
ciao

 gentaccia.......poi fai tu
dai, smettila.
-- 
http://werted.cjb.net
icq # 145246107

 gentaccia.......poi fai tu
prova a seguire il ng senza scatenare flame e litigare con nessuno vedrai
che forse le cose cambieranno.......
chiudo qui!
saluti


strumenti si possono utilizzare.
Evitarla non si puo' (a parte sconnettendo fisicamente l'host da qualsiasi
sottorete).
E' possibile pero' in primo luogo individuarla e in secondo luogo fare si'
che la scansione non produca risultati utili.
L'individuazione potrebbe apparire banale, finche' non ci si domanda cosa,
esattamente, sia un "portscan". Gia' un'occhiata al "banner" di nmap ci fa
capire che c'e' modo e modo di fare un portscan.
E inoltre esistono metodi subdoli quali il "dumb host scan" che consentono
di effettuare la scansione TCP da una serie d'indirizzi civetta sfruttando
le caratteristiche implementative di protocollo TCP (e alcune peculiarita'
dell'host civetta).
Un programma di "portscan detect" quindi deve individuare contatti strani,
effettuati in sequenza o fuori sequenza, da hosts non ipso facto ostili, e
con tempi incogniti.
Puoi provare "scanlogd", o fare un salto su 
www.whitehats.com
 appena sara'
di nuovo in piedi.
+++
Personalmente, seguo una politica un tantino diversa, ovvero: non mi tange
piu' che tanto sapere chi sta tentando un portscan completo e chi tenta un
set di connessioni standard (8080, 80, 3128 tanto per dirne una popolare).
Anche perche' il numero completo di costoro non e' troppo elevato
	wc -l < denieds
		485
	head -n 1 < denieds | cut -b-15
	Dec  5 17:16:51
(esclusi i PING, che sono in "icmps" e oggi non m'interessa quanti sono)
Questa roba la posso ottenere facilmente da ipchains o iptables, usando il
firewall di MrShark.
Poi guardo i logs e controllo quali "scansioni" sono piu' numerose. Giusto
per esempio:
Dec 11 17:03:40 17 
208.32.12.111:137
 137 L=78 I=52007 F=0x0000 T=114
Dec 11 17:03:40 17 
172.16.101.50:137
 137 L=78 I=52006 F=0x0000 T=114
Dec 11 17:03:41 17 
208.32.12.111:137
 137 L=78 I=52619 F=0x0000 T=114
Dec 11 17:03:41 17 
172.16.101.50:137
 137 L=78 I=52618 F=0x0000 T=114
Dec 11 17:03:43 17 
208.32.12.111:137
 137 L=78 I=53199 F=0x0000 T=114
Dec 11 17:03:43 17 
172.16.101.50:137
 137 L=78 I=53198 F=0x0000 T=114
Dec 11 17:04:16 17 
172.16.111.60:137
 137 L=78 I=48566 F=0x0000 T=114
Dec 11 17:04:16 17 
208.32.12.121:137
 137 L=78 I=48822 F=0x0000 T=114
Dec 11 17:04:18 17 
172.16.111.60:137
 137 L=78 I=10939 F=0x0000 T=114
Dec 11 17:04:18 17 
208.32.12.121:137
 137 L=78 I=10683 F=0x0000 T=114
Dec 11 17:04:19 17 
172.16.111.60:137
 137 L=78 I=54467 F=0x0000 T=114
Dec 11 17:04:19 17 
208.32.12.121:137
 137 L=78 I=54723 F=0x0000 T=114
Dec 11 17:58:25 17 
208.32.12.101:137
 137 L=78 I=65062 F=0x0000 T=114
Dec 11 17:58:25 17 
172.16.101.2:137
 137 L=78 I=65061 F=0x0000 T=114
Questo tipo di connessione e' innocua. Allora mi creo una regexp che possa
riconoscerla:
	" 17 $IP:137 137 L=78 I=$WORD F=0x0000 T=114"
dove per es. IP="[1-9][0-9]*\.[0-9][0-9]*\.[0-9][0-9]*\.[1-9][0-9]*", solo
che se mi fido di ipchains posso anche scrivere "[0-9\.]*".
Con questo filtro passo da 485 a 458 records e passo alla voce successiva
Dec 11 09:03:25 6 
206.71.92.214:4912
 515 L=60 I=56348 F=0x4000 T=44 SYN
...del tipo
	6 $IP:$PORT 515 L=60 I=$WORD F=0x4000 T=$TTL SYN
Questo e' un attacco da parte di un worm per Linux, quindi posso decidere,
per esempio, che a ogni mezzanotte gli IP "attaccanti" siano dati in pasto
a whois, e le informazioni relative ad abuse@ estratte e usate come mail a
cui spedire le parti rilevanti dei logs, unendo un testo standard che dica
cos'e' successo.
Lo stesso accadra' (con un testo diverso) agli utonti di MultiProxy
Dec  7 18:55:33 6 
62.11.25.77:2547
 3128 L=48 I=19554 F=0x4000 T=117 SYN
Dec  7 18:55:36 6 
62.11.25.77:2547
 3128 L=48 I=44130 F=0x4000 T=117 SYN
Dec  7 18:55:36 6 
62.11.25.77:2546
 3128 L=48 I=44386 F=0x4000 T=117 SYN
mentre gli utenti di traceroute (protocollo 17, T=1, porte superiori a 33K
e pacchetti di lunghezza potabile)
Dec  7 15:46:44 17 
159.213.32.230:33734
 33456 L=48 I=60922 F=0x4000 T=1
li posso ignorare (forgive, not forget). Anche perche' questo mi sa che l'
ho fatto io, e pestarmi i calli da solo sarebbe un po' da babbaloni.
La gente che volle, sempre volle, fortissimamente volle un server FTP
Dec  7 19:47:42 6 
194.165.250.3:2396
 21 L=60 I=36450 F=0x4000 T=47 SYN
Dec  7 19:47:44 6 
194.165.250.3:2396
 21 L=60 I=36452 F=0x4000 T=47 SYN
Dec  7 19:47:47 6 
194.165.250.3:2396
 21 L=60 I=36454 F=0x4000 T=47 SYN
Dec  7 19:47:50 6 
194.165.250.3:2396
 21 L=44 I=36456 F=0x4000 T=47 SYN
Dec  7 19:47:53 6 
194.165.250.3:2396
 21 L=44 I=36457 F=0x4000 T=47 SYN
Dec  7 19:47:56 6 
194.165.250.3:2396
 21 L=44 I=36459 F=0x4000 T=47 SYN
Dec  7 19:48:02 6 
194.165.250.3:2396
 21 L=44 I=36463 F=0x4000 T=47 SYN
Dec  7 19:48:14 6 
194.165.250.3:2396
 21 L=44 I=36471 F=0x4000 T=47 SYN
Dec  7 19:48:38 6 
194.165.250.3:2396
 21 L=44 I=36492 F=0x4000 T=47 SYN
...la lascerei stare, anche se prima o poi un server FTP lo trova - e quel
giorno io francamente 'un vorrei essé loro. D'altra parte, il whois sembra
di gente comprensiva:
route:        
194.165.224.0/19
descr:        SE-UMDAC
descr:        In case of improper use originating from our network,
descr:        please mail customer or 
ab...@swip.net
e quando uno chiede per favore, dé. Sicche' mail anche questo.
Abbiamo poi i cacciatori di SubSeven da Infostrada
Dec  9 17:10:11 6 
151.38.236.205:2077
 1243 L=48 I=65330 F=0x4000 T=123 SYN
e una quantita' 'mpressionante di Gnutellisti, solo che costui di pacchetti
me n'ha mandati trentatre' di fila, eccheccazzo.
Dec 12 14:26:27 17 
212.58.224.61:45125
 6970 L=586 I=15067 F=0x4000 T=248
Quindi anche questo e' stato segnalato difilato al suo abuseman.
Abbiamo poi lo spammer da Flashnet
Dec 16 10:55:33 6 
194.247.160.44:47838
 25 L=60 I=17962 F=0x4000 T=54 SYN
Dec 16 10:55:36 6 
194.247.160.44:47838
 25 L=60 I=17963 F=0x4000 T=54 SYN
Dec 16 10:55:42 6 
194.247.160.44:47838
 25 L=60 I=17964 F=0x4000 T=54 SYN
(altri 25 pacchetti)
che fa la stessa fine.
Alcuni geni (collocati sulla terza copia del cromosoma 21)
Dec 20 14:02:49 6 
212.216.218.44:1058
 23 L=48 I=53761 F=0x4000 T=119 SYN
di BBB Easy IP, che scoprono le discutibili gioie del telnet.
Poi una cosa piuttosto buffa
Dec 22 20:14:40 6 
209.242.126.140:45
 1390 L=40 I=0 F=0x4000 T=241
...un gran numero di pacchetti diretti da porte server alla porta 1390 d'un
processo che non esisteva. Come se IO stessi facendo dei portscan, solo che
in quel momento le porte effimere in uso erano dalle parti della 4310 e non
della 1390; e poi io non farei certo portscans da dietro un firewall che mi
accecherebbe nmap. Ne' lo farei su molti IP diversi.
Inoltre, non trovo i pacchetti generatori di quelle risposte (sono risposte
in quanto non hanno SYN) nel log dei pacchetti uscenti. Sicche' per qualche
motivo tutti quei servers si sono convinti che io stessi facendogli qualche
cosa che somiglia molto a un portscan. Se e' qualcuno che vuole mettermi in
mezzo, ha scelto un sistema ben strano, e degli host poco adatti... segnalo
comunque la cosa ai relativi abusemen, non si sa mai.
Questa e' la prima operazione "manuale" che devo fare, e in effetti ce n'e'
motivo.
La seconda operazione e' un server Red Hat che si comporta stranamente, per
esempio pingandomi ogni tanto, mandando UDP, ed altre cose. Penso che sara'
bene scrivergli una letterina cosi' per chiarire.
+++
Alla fine di questo improbo lavoro, avremo una serie di regole per:
* Connessioni di utonti, da ignorare (servizi automatici, porte del menga e
  altra fuffa)
* Connessioni annoying di utonti, da segnalare (come sopra, pero' con MOLTI
  pacchetti, <bofh>perlomeno uno</bofh>).
* Connessioni di lamerz, da segnalare (subseven, back orifice, IIS...)
Quello che avanza sara' poca roba - e vale la pena di farcene avvertire per
email. Nel caso qui visto, dal 5 dicembre ad ora avrei ricevuto ("avrei" in
quanto quella macchina non mi avverte, leggo io i logs) *DUE* mail in tutto
e tutte e due a proposito. Lavorare meno di cosi' e' difficile 8-D
Leonardo
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center

tanti su questa rete?
"Rete". Ora 'unn'esageriamo, via!
100.193.29.151.IN-ADDR.ARPA domain name pointer is...


sottorete).......
Di tutti pare che tu sia la persona più preparata.....bene......

Al ridicolo non c'è mai fine......pare che tu ti sita postando sa solo :)
Ahem... quello lo hai fatto tu poco prima...

 Dec 22 20:14:40 6 
209.242.126.140:45
 1390 L=40 I=0 F=0x4000 T=241
Forse eri l'ignara origine di un dumb portscan? Peccato che ipchains non
registri anche la coppia di flag SYN+ACK altrimenti sarebbe stato piů chiaro.
Comunque alcuni IP attorno a questo appartengono a macchine poco
raccomandabili (a parte i nomi goliardici: si vede che il dnsadmin gioca con i
PTR del suo reverse lookup). Non so se vuol dire qualcosa.
Fabio

 intervallo mentre quì si tratta di una porta molto alta. Inoltre io ho
qualche
Pardon: il trafico rtsp può venire anche da porte alte ed è diretto alla 6970
dell'ip di origine dei pacchetti che arrivano al server e quindi al router che
fa nat (che nel tuo caso probabilmente è il firewall stesso).
Fabio

PTR del suo reverse lookup).
for i in $( seq 130 150 ); do host 209.242.126.$i; done
130.126.242.209.IN-ADDR.ARPA domain name pointer .
131.126.242.209.IN-ADDR.ARPA domain name pointer .
132.126.242.209.IN-ADDR.ARPA domain name pointer .
133.126.242.209.IN-ADDR.ARPA domain name pointer .
134.126.242.209.IN-ADDR.ARPA domain name pointer .
135.126.242.209.IN-ADDR.ARPA domain name pointer .
136.126.242.209.IN-ADDR.ARPA domain name pointer .
137.126.242.209.IN-ADDR.ARPA domain name pointer .
138.126.242.209.IN-ADDR.ARPA domain name pointer .
139.126.242.209.IN-ADDR.ARPA domain name pointer .
140.126.242.209.IN-ADDR.ARPA domain name pointer 
obscure.grid.edu
141.126.242.209.IN-ADDR.ARPA domain name pointer .
142.126.242.209.IN-ADDR.ARPA domain name pointer
its.ok.jesusdoesntloveyou.com
143.126.242.209.IN-ADDR.ARPA domain name pointer 
failed.pornology.org
144.126.242.209.IN-ADDR.ARPA domain name pointer
happy.HANUKKAH.you.jewishnazi.net
145.126.242.209.IN-ADDR.ARPA domain name pointer 
ceo.heavensfantasy.com
146.126.242.209.IN-ADDR.ARPA domain name pointer
mayhem.afro-productions.com
147.126.242.209.IN-ADDR.ARPA domain name pointer
pussy.flavored.pezdispenser.org
148.126.242.209.IN-ADDR.ARPA domain name pointer 
afgayistan.com
149.126.242.209.IN-ADDR.ARPA domain name pointer
amateur.films.bigdaveproductions.org
150.126.242.209.IN-ADDR.ARPA domain name pointer 
blackflag.tv
Devo scambiarci due parole, con l'omino di quel DNS. E appena metto le
mani su un browser, visitare qualcuno di quei siti 8-DDD
Leonardo "cos'e' di preciso un pezdispenser?"

fa nat (che nel tuo caso probabilmente è il firewall stesso).
Yes. Ora, o qualcuno e' improvvisamente riuscito a installare RTSP-likes
bypassando varie policies E il firewall, o qualcosa non torna.
Il primo caso lo preferirei, risparmio sul trasporto mazzate.
Leonardo



Ma a quanto pare e' il secondo.
Intanto, nessuna delle sorgenti di questo strano traffico e' un server
RTSP. Secondariamente, non ci sono software RealPlayer-like su nessuno
dei clients.
In terzo luogo una "firma" simile e' comparsa su un altro firewall, di
un'altra rete che nulla c'entra con le mie.
+++
La cosa si fa interessante.
Ho cercato su Google e ho trovato varia gente lamentarsi di cose molto
simili (6970/udp), e in TROPPI casi (IMHO) sostengono quel che anch'io
sostengo, i.e., 
	(a) non c'e' nessuno DIETRO il firewall con RealPlayer,
	(b) l'altro endpoint NON E' UN REALSERVER.
Strane cose relative a questi pacchetti sembrano accadere
 
http://www.sans.org/y2k/051800.htm
Leonardo perplesso


Leonardo "cos'e' di preciso
un pezdispenser?"
E' un distributore di caramelle da tasca. Lo puoi
vedere in tutto il suo splendore sul sito 
www.pezdispenser.com
 (un vero
'mai piu' senza'). Ahime', sull'host al 209.242.126.147 non c'è il catalogo
dei gusti... alternativi :)
Fabio
--------------------------------
Inviato via 
http://usenet.iol.it
 

 dei gusti... alternativi :)
io lo avevo da bimbo, io lo avevo. quello con taz :))) e le caramelle
piu' schifose del mondo. ma per usarlo ne mangiavo molto.
mi regalarono anche 3-4 ricariche. erano caramelle parallelepipedari con
i bordi rialzati, una scritta al centro e di diversi colori, a seconda
del gusto.
un mayhem ed il mal di pancia.
--
Le cose che possiedi, alla fine, ti posseggono.

 del gusto.
Io dovrei ancora avere da qualche parte Bugs Bunny e Wile Coyote. Andro a
cercarli: dopo il post a leonardo ho fatto un giretto e ho visto che valgono
una fortuna.
Fabio

 
pussy.flavored.pezdispenser.org
Farle alla menta e frutti di bosco era troppo banale, si vede.
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

[Cut there]
[Cut up]
[Cut All]
...................... sono esterefatto..................
Neanche se pianto l'universita'  per approfondire questi argomenti potrei
arrivare ad una conoscenza simile.
(magari per certi e' normale amm. quotidiana, per e'.............. mumble
mumble.........non trovo le parole)
Vabbe torno sui quei bei siti con le donnine
Nude........................................

X-Complaints-To: 
ab...@libero.it
Ciao, !me.
