Newsgroup: it.comp.sicurezza.varie
Titolo: libero e iunet: protocollo IP sconosciuto

Salve!
E' tuttta la mattina che BlackICE mi sengala ogni decina di secondi questo:
Unknown IP Protocol
IP: 151.5.160.62
DNS: 
rm1ie02u.iunet.it
il protocollo sconosciuto in questione č il 103 (103 PIM, Protocol
Independent Multicast)  Qualche idea su cosa possa essere?
PS (iunet č il dialup di libero: č il primo pc su ogni trace)
Grazie!
GiacK!

Idem! pero' un server di genova della iunet... anzi una novitą!
Iunet dovrebbe essere il reparto di Infostrada che si occupa dell'utenza
internet commerciale.
Ogni 15 16 minuti un loro pc prova a collegarsi con il mio... la cosa mi
stupisce e preoccupa pero' posso pensare che sia legato ai loro servizi...
ma da ieri sera la connessione in questione č sparita ed č comparsa questa:
10.10.10.1
di:  Internet Assigned Numbers Authority
   Information Sciences Institute
   University of Southern California
   4676 Admiralty Way, Suite 330
   Marina del Rey, CA 90292-6695
Ora mi preoccupa un po' di piu'!
Con tiscalinet la connesione in questione avviene (da un pc della tiscali)
ogni minuto.
Chissą-...
Ciao
ALe

A questo punto c'è da chiedersi... i firewall fanno schifo in genere oppure
BlackICe è troppo allarmista?
Libero questa sera non funzionava ed ho deciso di ricollegarmi con
tiscali... eccola lì la connessione... un server tiscali che continua a
collegarsi al mio pc. Decido quindi di bloccare tale connessione per
verificare se cio' accadeper garantirmi il servizio e se è  qialcos'altro.
SORPRESONE!!!! Bloccando questo IP il mio collegamento internet non cade
affatto. Stof acendo un download e il flusso dati è a palla quindi non
c'entra niente quel server là con il mio collegamenteo....
MA.... INSOMMA.... ALTRO SORPRESONE... blackICE mi dice:
 
ns.tiscalinet.it
 DNS spoof succesful
Ma come? Che ca... sta capitando allora bloco anche quell'IP, ma ecco che
reagisce:
UDP port probe
Insomma sembra di essere di fronte ad una attacco! Continuo a scaricare a 8K
quindi sono a fondo banda praticamente e tiscali continua a martellare con
queste due operazioni ancora ora... ora allora non capisco piu'!
Qualche suggerimento?

BlackICe è troppo allarmista?
I firewall, come gli F2 Lightning, sono attrezzi che "vogliono vedere
l'uomo in viso" (1). Colgo l'occasione per esortare i fedelissimi del
newsgroup a stendere una "Required Reading Guide" e magari con titoli
anche in italiano.
Leonardo
(1) frase déttami dall'istruttore mentre, fradicio, pesto e umiliato,
    mi arrabattavo a risalire sulla barca-appoggio (1990).
".signature": bad command or file name


........ sia 224.0.0.x sia 10.0.0.x sono degli indirizzi riservati
aill'utilizzo del MULTICAST.
In realtà sono attribuiti ai router (
ALL-ROUTER.MCAST.NET
, etc.) di ogni
dominio che ne faccia uso.
Vi è spuntato l'indirizzo di I.A.N.A. perchè hai fatto quella richiesta di
risoluzione allo I.A.N.A, e lo I.A.N.A. ti ha risposto che possiede quel
tale indirizzo su di sè. In realtà il router con quell'indirizzo che vi
inviava quei bei pacchettini ICMP, apparteneva al vostro ISP.
In parole povere Infostrada sta già facendo le prove generali di MULTICAST.
Saluti.
Salvo

inviava quei bei pacchettini ICMP, apparteneva al vostro ISP.
vero, ma non ICMP, bensi' IGMP od al massimo PIM.
invy 
-----BEGIN GEEK CODE BLOCK-----
Version: 3.1
GSS/TW/O>AT d?(dx) s+:+, s: a-->a- C++(C+++) UL+++>UL++++ P+ L+++>L++++
E-- W(W-) N++ K? w-- O- M- V- PS++ PE Y+ PGP++ t++@ 5 X+ R+(R++) tv b+++
DI+++@ D+ G>G++ e++ h r+(r-) y++*
------END GEEK CODE BLOCK------

Ciao :)
OK... non mi scandalizzo se server di libero o iunet cercano di fare
qualcosa col mio PC quando sono collegato con loro così come non mi stupisco
se 
ns.tisclinet.it
 fa lo stesso quando sono con Tiscali.
Mi chiedo pero' perchè ho potuto dire al Firewall di bloccare connessioni da
questi IP senza che la mia connessione ne subisse delle conseguenze.
Con tisceli l'altro giorno stavo scaricandoa 8.2Kb con ISDN su un singolo
canale. Non penso che io possa pretendere di meglio!!!! :P Un server tiscali
ha tentato di "connettersi" al mio pc ed io gli ho negato l'autorizzazione.
Dopo pochi istanti 
ns.tiscalinet.it
 ha eseguito uno scanning delle mie porte
e spoofing dei miei dati, finchè ho bloccato pure quel DNS.
Ho continuato a scaricare alla stessa velocità ed è lì che mi sono stupito
perchè ho capito che quelle "connessioni" segnalate da BlackIce come
pericolosi attacchi in realtà non mi fornivano un servizio.
Qualcuno mi ha risposto che i provider cercano di carpire informazioni su
cosa facciamo, ma anche questo mi sembra strano poichè i miei dati passano
dai loro modem quindi non avrebbero bisogno di altre tecniche per spiarmi!
Saluti
ALe