Newsgroup: it.comp.sicurezza.varie
Titolo: auto port scanning

Un saluto a tutti 
premetto che non mi occupo di sicurezza, mi ritrovo solo nel ruolo
ingrato di quella che in azienda "lavora con i computer", ovvero parla
con i programmatori, scrive qualche mail, usa photoshop e quindi, di
conseguenza, in caso di attacco hacker salira'al patibolo come Maria
Stuarda ;-)
Per dare qualche consiglio mirato al mio capo, pensavo di fare prima
uno scanning delle porte sulla macchina (tutta nostra, in housing) in
cui alloggiano i nostri siti (non e' pero' la stessa macchina da cui
io mi connetto per lavorare)
Sbirciando nei post di Icsv ho trovato l'indicazione a questo
software...
http://www.insecure.org/nmap/index.html#intro
Funziona? 
Esistono altri modi per effettuare uno scanning delle porte di un
numero Ip da parte  un altro numero Ip? Lo so, detto cosě suona come
un tentativo di hackeraggio...
Eventualmente per far coincidere ip scansionante e ip scansionato
potrei usare VNC da remoto...
Spero che qualcuno voglia  rispondere a una domanda che suona
terribilmente  banale (ma non per me ora...)
Grazie
Emanuela


E po ci lamentiamo perche' i server fanno pieta'... Scusami, ma la tua
azienda non potrebbe assumere un sysad che ha piu' conoscenze delle tue. Tra
l'altro con un semplice portscan non verifichi nulla.. Potrebbero esserci un
inifiita' di bug... La macchina e' IIS ? e' Apache ?.... wuftpd
....proftpd... ssl - ecc.....
bye bye
--
bismark
www.bismark.it
(Il primo Network Security Italiano)

 
http://www.insecure.org/nmap/index.html#intro
Nmap funziona ma forse non per quello che vorresti fare: ti dice quali porte
sono aperte ma non ti dice perchè, se sono inutili, se quello che sta dietro
quelle porte fa schifo o è configurato male, ecc.
Premesso che i risultati di qualsiasi scanner sono parziali e devono essere
interpretati (e per farlo occorre avere adeguate conoscenze) dovresti usare
altri strumenti.
Qualche suggerimento: cerberus scanner CIS (un po' vecchiotto) e LanGuard
network scanner sono facili da installare e da usare, nessus è per unix ed è
più difficile da installare ma più completo.
Ho volutamente ignorato altri buoni strumenti che hanno lo svantaggio di
essere a pagamento (molto a pagamento), difficili da usare o troppo specifici.
La sicurezza è una materia abbastanza complessa e vasta e non è con uno
scanner che risolvi tutti i problemi. Anzi: forse potrebbe creare inutili
paure o pericolose tranquillizzazioni.
Se usate macchine microsoft guarda 
www.microsoft.com/security
, segui i
suggerimenti e verifica di avere installato tutte le patch per i servizi che
usate.
Se usate macchine con altri so vai sul sito del produttore (o della
distribuzione, se usate linux) e verifica gli aggiornamenti e le patch
disponibili.
Vai su 
www.securityfocus.com
 e quarda ... tutto :), con particolre riferimento
a:
- il motore di ricerca delle vulnerabilità: inserisci i nomi dei server che
usate e verifica se avete tappato tutto;
- i tutorial.
Magari iscriviti alla mailing list bugtraq e a quelle sulla sicurezza dei
prodotti che usate.
Dovresti, comunque, cercare di spiegare che tu puoi fare qualcosina sin da
subito (vedi sopra) e magari qualcosa di più in futuro con una adeguata
formazione ma che per ora, probabilmente, non è sufficiente e dovreste
valutare attentamente l'ipotesi di rivolgervi a qualcuno di esterno. Considera
che avere macchine insicure è un problema non solo per voi ma anche per gli
altri.
Ciao
Fabio

 terribilmente  banale (ma non per me ora...)
Non e' banale la domanda, la questione e' che devi sapere cosa fai,
ancor di piu' perche' se succede qualcosa, chi ci va di mezzo, sei tu.
Inizia con il controllare se il sistema operativo e' aggiornato per lo
meno ad un livello decente (Service Pack, l'ultimo dovrebbe essere il
6a, piu' le centinaia di Hot Fix : ) .. sempre se ho indovinato ed il
server in questione e' un NT.
-- 
Saluti
Leonardo
Per rispondermi in privato: 
leon...@firenze.linux.it

 hai attivi su *quella* macchina..
Questa è l'unica cosa sensata che hai scritto :))
By Frantic...

 ....proftpd... ssl - ecc.....
già per il fatto che fai pubblicità io non ti assumerei mai come 
sysadmin...:))
By Frantic...

 Questa è l'unica cosa sensata che hai scritto :))
Personalmente è un affermazione che trovo superficiale: se hai un rootkit
installato col tubo che sai quali servizi sono in esecuzione sulla tua
macchina.
E quando cominci ad occuparti di macchine che erano già in funzione prima del
tuo arrivo non sai mai cosa ti aspetta.
Il confronto tra i risultati di un portscanner e quelli di netstat+'ps ax' ti
può dare informazioni importanti.
Fabio

 Stuarda ;-)
E per piazzarci la mia tipica banalita', considerando la situazione
d'emergenza in cui ti trovi: 
1) ammazza tutti i servizi che non servono, 
2) fai uno scandisk con un antivirus, anche se tirato giu' piratato da
qualche sito o con gnutella, meglio avere la coscenza sporca e la
macchina pulita che il viceversa 
3) backuppa quanto piu' puoi, su nastro su cd, o su altra macchina in
rete ma backuppa almeno i documenti e gli utenti.
Vivi un momentaccio ma tutto cio' che si impara col famoso "peverone nel
culo" poi si ricorda tutta la vita, l'importatnte e' cercare di non
pagare troppo quelle conoscenze... 
Stammi bene,
b.

 Fabio
Fabio, questa e' esattamente la situazione in cui mi trovo.
Sono arrivata che i giochi erano gia' stati fatti, il sistema di
gestione delle  macchine mi era del tutto estraneo se non
incomprensibile, ho dovuto reagire non appena ho saputo che tre mesi
fa abbiamo subito un pesante attacco,  attacco che ha portato al
consumo continuo (per 10 giorni) di circa 13 mega di banda ...
Suppongo che fosse per una porta lasciata aperta sul firewall (magari
ce  ne sono altre e non lo so) . Per questo mi sembrava importante il
port scanning, almeno posso dare qualche allarme concreto...
Mentre che cosa è netstat+'ps ax' ...? 
Ringrazio tutti quelli che hanno risposto...
(il SO del server è NT, per quel che ho capito esce fuori una patch
ogni tre per due, gli esperti di sicurezza non saranno mai
disoccupati!;-).
Grazie ancora a tutti
Emanuela

 wrote in message
news:6b332a6d.01121...@posting.google.com...

13 mbit ?...... Mahh secondo me... se mu ti dici che c'e' stato un consumo
eccessivo di banda penserai che vi hanno taggato il server :) . Praticamente
sono entrati in modo anonimo e ci hanno uplodato giochetti e robe varie...
Disabilitate l'fxp se attivo....e cmq di patch c'e' ne sono molte :)
IN bocca al lupo




Anche un controllo fra ps, pstree e /proc/[1-9][0-9]*; non tutti i rootkits
sono cosi' evoluti da blindare tutte le falle :-)
Leonardo
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center

 
Beh qualche tempo fa con gnutella per linux configurato opportunamente,
e lasciato a girare durante la notte, un tizio e' riuscito occupare una
banda di 8 mbit ed in pratica ad isolare un dipartimento. 
b.

 disoccupati!;-).
Se non ci fosse qualcosa di nuovo da imparare tutti i giorni cambierei lavoro
;)
Fabio

 IN bocca al lupo
bismark, potresti, per cortesia, cercare di tagliare un qualcosina del
post originale? la tua risposta sta in meno del 10% delle linee.... e'
abbastanza fastidioso cercare la parte che ti riguarda...
Grazie in anticipo
HappyCactus
-- 
HappyCactus - Registered Linux User #209744
Cannot delete files, disk full. Try to delete some file.
rm -fr /bin/laden

 
E` una soluzione che funziona, al contrario di NT4 + IIS.
Non  e`  l'unica  soluzione,  ovviamente,  ma  e`  sicuramente  la  piu`
economica.
-- 
Renato "Hitman" Salzano / 
http://spazioweb.inwind.it/hitman
IHGGer #778 / NapolICErs # 2 / GdGnocca #6 / Now from Debian 3.0
"Giusto, non pensare. Pensare fa male, e se Dio avesse voluto che 
 pensavi, Bill Gates ti avrebbe venduto un cervello" (Obelix)