Newsgroup: it.comp.sicurezza.varie
Titolo: Firewall defunti [lungo]

Un cliente gestisce il collegamento fra tre stabilimenti tramite tre 
macchine linux (RH 7.1) firewall/vpn. Questa infrastuttura è installata 
e gestita dall'azienda per cui lavoro ma non da me direttamente, in 
pratica io seguo quel cliente per altri argomenti.
Una bella mattina mi reco nello stabilimento centrale e mi accorgo che 
il firewall è bloccato dalle 1 di notte al boot di linux, precisamente 
ad un certo punto del fs check. Chiaramente non avevo alternativa 
immediata che riavviare la macchina che parte regolarmente. Chiamo il 
capocentro e mi dice che era già successo di recente, quindi allerto la 
mia azienda (ovviamente come avviene nel mondo reale non può mai essere 
fatto un intervento immediato...). 
Va detto che in quella azienda può capitare che durante la notte ci 
siano interruzioni/sbalzi di energia elettrica, quindi la prima cosa 
ovvia è che il gruppo di continuità sia partito, sebbene altri 2 server 
collegati allo stesso gruppo sono rimasti in vita senza problemi (mah).
La mattina dopo cvd la situazione si è drammaticamente complicata. Nel 
senso, questa volta la macchina linux non ha avuto alcuna intenzione di 
ripartire... praticamente durante il bootstrap la macchina si resettava 
nuovamente, da quello che ho capito in momenti diversi del boot stesso. 
La cosa è stata catalogata istantaneamente come problema hardware, anche 
perchè in quel momento non c'era altra soluzione che preparare 
all'istante una macchina gemella e consegnarla al cliente (due 
stabilimenti praticamente fermi). E comunque, anche se non era un prob 
hardware suonava molto come un "danno" del tipo: rebootta oggi, rebootta 
domani, il filesystem è andato a puttana.
E fin quì tutto normale (si fa per dire). La cosa "strana" è questa: la 
mattina dopo, in uno dei due stabilimenti, a 50 km di distanza e in un 
ambiente completamente diverso, avviene la stessa cosa. Il firewall 
fermo e non riparte, allo stesso modo.
Personalmente la coincidenza di modi e tempi mi fa suonare un 
campanellino di allarme. 
Chiedevo a questa platea: secondo voi, per una situazione del genere può 
essere plausibile come ipotesi (da indagare) un dos dovuto ad un 
"attacco" dall'esterno?

 "attacco" dall'esterno?
Personalmente, ma non sono la persona più qualificata al proposito, mi
sembra difficile che un DOS possa "avariare" un file system (a meno di
possibili bug del kernel), tuttalpiù potrebbe essere l'effetto di 
un'intrusione. Un'occhiata ai log però, se possibile, la darei comunque.
Prova a controllare marca e modello degli hard-disk, magari con una
ricerca in rete scopri che sono difettosi (vedi ad esempio, qualche
tempo fa, una serie sfigata di IBM deskstar, mi pare, e, più 
recentemente, una qualche milionata di fujitsu ad alta mortalità).
Se fosse stata una sola macchina si potrebbe pensare anche alle
periferiche ( mouse e tastiera, se andati a male, potrebbero causare
comportamenti anomali), ma su due server mi sembra una coincidenza
improbabile.
Facci sapere
Ciao,
Andrea

 Log niente?
Nel momento in cui una di queste era in vita, l'unica cosa che ho 
constatato dal log di sistema era l'avvenuto avvio della macchina.
Personalmente non ho constatato altro (e non ho nemmeno analizzato altro, 
per essere sinceri). In questo momento non so se è più  possibile 
analizzare.

 Facci sapere
Ah, mi sono dimenticato di specificare una cosa importante. Le due macchine 
"saltate" sono stessa marca e stesso modello, due IBM netvista tipicamente 
usati per desktop. Lo so, lo so, non sono assolutamente le macchine più 
adatte, è una vecchia storia e comunque era un fatto conosciuto a noi e al 
cliente. 
Il fatto curioso ovviamente è che le due macchine si sono "schiantate" allo 
stesso modo e praticamente nello stesso momento, il che mi farebbe davvero 
sorprendere della alta qualità della produzione IBM (cavolo, 
riproducibilità incredibile... :-))

 "I server IBM si riparano da soli". <beg>
Allora avverto di là, non vorrei che ci stessero mettendo le mani... :-)

"I server IBM si riparano da soli". <beg>
ma rotfl.
-- 
Good pings come in small packets.
Maurizio - Tannoiser - Lemmo
Founder Member of ERLUG (Emilia Romagna Linux User Group)
http://erlug.linux.it

 "I server IBM si riparano da soli". <beg>
Ricordo anche un "Ecco come Linux e IBM risistemeranno la tua azienda"
A.
icq# 18752702
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 elementi sono portato ad optare piu' per un problema hardware.
Un paio di anni fa nel giro di un paio di settimane si ruppero le macchine
di *TRE* miei clienti. Tre hard disk a puttane, tre macchine identiche
(Acer), a pochi giurni di distanza l'una dall'altra. E venne poi fuori che
Acer aveva fatto uscire un'intera partita di macchine con i dischi usciti
fallati di fabbrica (non mi ricordo che marca di hd montavano).
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SETI@home: 157WU/8614hrs now on Athlon 2.2+ :-)
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/