Newsgroup: it.comp.os.linux.iniziare
Titolo: log apache

Qualcuno può per favore e/o per pietà darmi un parere su questo log di
accesso ad apache?
qualcuno misa che voule farmi le scarpe ad iniziare con lo scan delle
porte(ultima riga)
ma quello che non riesco a capire nella mia infinita ignoranza è il
pacchetto seguente:
60.36.128.196 - - [09/Apr/2008:14:56:58 +0200]
"\x8a01\xe0\x9f\xc9\x93\xa0\xb1\xdb\xcbv\x96I\xb5\xad\xab@\xa2\xf2G\xcb\xff\x13\xc
vi sarei immensamente grato di un parere non è che sono molto esterno ho un
piccolo sistema home
che utilizzo soprattutto per test, quindi sono autodidatta grazie....
87.2.240.3 - - [06/Apr/2008:09:20:47 +0200] "OPTIONS * HTTP/1.0" 200 - "-"
"-"
85.17.141.27 - - [07/Apr/2008:07:34:55 +0200] "GET /index.html" 200 1751 "-"
"-"
85.17.141.27 - - [07/Apr/2008:07:34:56 +0200] "GET /index.html" 200 1751 "-"
"-"
89.163.182.62 - - [07/Apr/2008:15:27:10 +0200] "OPTIONS * HTTP/1.0" 200 -
"-" "-"
89.106.91.8 - - [08/Apr/2008:14:28:59 +0200] "OPTIONS * HTTP/1.0" 200 - "-"
"-"
78.85.53.92 - - [08/Apr/2008:15:44:19 +0200] "OPTIONS * HTTP/1.1" 400 302
"-" "-"
60.36.128.196 - - [09/Apr/2008:14:56:58 +0200]
"\x8a01\xe0\x9f\xc9\x93\xa0\xb1\xdb\xcbv\x96I\xb5\xad\xab@\xa2\xf2G\xcb\xff\x13\xc
7" 501 313 "-" "-"
203.94.228.43 - - [09/Apr/2008:17:24:26 +0200] "OPTIONS * HTTP/1.0" 200 -
"-" "-"
92.240.68.153 - - [10/Apr/2008:13:40:20 +0200] "CONNECT 
195.175.37.70:8080
HTTP/1.0" 405 300 "-" "-"
92.240.68.153 - - [10/Apr/2008:13:40:21 +0200] "CONNECT 
159.148.96.222:80
HTTP/1.0" 405 299 "-" "-"
92.240.68.153 - - [10/Apr/2008:13:40:22 +0200] "GET
http://www.hi.lv:80/counter1.php
 HTTP/1.0" 404 269 "-" "-"
92.240.68.153 - - [10/Apr/2008:13:40:22 +0200] "GET
http://www.hi.lv:80/counter1.php
 HTTP/1.0" 404 269 "-" "-"
79.8.179.40 - - [10/Apr/2008:16:22:59 +0200] "GET / HTTP/1.0" 200 1748 "-"
"-"
79.8.179.40 - - [10/Apr/2008:16:47:54 +0200] "GET / HTTP/1.0" 200 1748 "-"
"-"
79.8.179.40 - - [10/Apr/2008:18:09:24 +0200] "GET / HTTP/1.0" 200 1748 "-"
"-"
79.8.179.40 - - [10/Apr/2008:18:25:02 +0200] "GET / HTTP/1.0" 200 1748 "-"
"-"
85.214.62.249 - - [11/Apr/2008:10:39:03 +0200] "GET
/w00tw00t.at.ISC.SANS.DFind:) HTTP/1.1" 400 302 "-" "-" 

 -- Steve Pavlina 

 
IMHO mettere un IP in firewall ogni volta che arriva un attacco
significa solo passare la vita ad allungare la lista, senza perciò
aumentare significativamente la sicurezza. Infatti gli attacchi
arrivano quasi sempre da nuovi IP.
Il server deve essere messo in sicurezza e basta, e che attacchino
pure da qualunque IP. Inutile ritrovarsi con un firewall che blocca
mezza internet ed essere ancora vulnerabili dall'altra mezza.

 cui non hai alcun controllo?
Ok, la lista la tiene aggiornata uno script. Ma qual'è la
probabilità che un attacco arrivi da un IP da cui era già arrivato
in precedenza un altro attacco? Credo che sia insignificante. Per
questo mi pare un esercizio inutile, tutto qui.
Sarebbe bello avere uno script con tutti gli indirizzi IP di tutte
le botnet. :-)
Per quanto riguarda i programmi scritti coi piedi, concordo con te,
è una battaglia persa. Ma false sicurezze da liste inutili non
aiutano. Se il server è bucabile, sarà bucato. :-(
L'unica lista utile IMHO sarebbe un whitelist di IP a cui è concesso
connettersi, ammesso che sia una lista ragionevolmente breve, e
nella speranza che anche quelle macchine siano sicure. Se il
servizio è a disposizione del pubblico, ovviamente questo approccio
non è possibile.

 ha scritto nel 
messaggio news:ftv4kb$3ii$1...@aioe.org...


 per fortuna, almeno imparo qualche cosa...
Non capisco se è una cosa di lavoro (spero vivamente di no, viste le
premesse) o un semplice passatempo.
Nel primo caso, cerca di valutare quale sarebbe il danno economico
se ti bucassero di brutto, defacciassero, rubassero dati riservati
eccetera. Contatta un professionista la cui parcella sia congruente
con quanto hai valutato. Non improvvisare nulla.
Nel secondo caso, impara divertendoti e vivi sereno. Tieni una copia
di tutto e reinstalla da zero se ti bucano. Di server bucati non è
mai morto nessuno (ma licenziato sì! >:-) ).
Al


questo è il mio caso per fortuna, ogni tanto provo una cosa nuova solo per 
passione
anche se sicuramente presterò molta attenzione nell'apprendere le techniche 
di sicurezza,
leggo sempre tutti i manuali ufficiali e non e cerco di applicare quello che 
leggo ecco cosa
faccio, adesso tornando ad apache, come potrei procedere secondo te?
premetto che la mia rete è una rete casalinga di poche pretese e soprattutto 
con pochi fondi a disposizione
per il momento è cosi strutturata:
Router dsl624t dlink
Serverino(lamp--samba--mldonkey--asterisk--bind9--exim4--courier-imap)("toericamente" 
muletto
sempre connesso)(fa da dns quando connesso il router non ha loopback mi 
serve solo per un indirizzo)
ogni client a poi le varie gui o interfacce per usare i servizzi (in realtà 
per il momento il uso solo io e forse sarà sempre cosi, causa mancanza di 
fondi e seguito la mia piccola lan credo rimarrà a lungo cosi)
Naturalmete con il tempo vorrei avere una configurazione ben diversa.....(se 
trovo lavoro!!!)
Adesso a livello di router credo posso fare ben poco:
aggiornare il fw
cambiare le passwd predefinite
wep per il wireless (64bit statica il resto mi sembra oneroso in quanto a 
richieste, giusto per chiudere)
dhcp con associazione indirizzi -- MAC ip contati...
opzioni nel firewall abilitate scansioni attacchi null,syn,Xmas eccetera....
ho dato un'occhiata ma ash non mi consete cambiamenti tanto immediati per il 
momento(busybox senza editor per capirci)
certo potrei usare openwrt ma dopo dovrei ricominciare da zero ancora non è 
il caso, la rete la usa anche mia sorella e non vorrei creare grosso 
disaggio
Per le porte che ho aperte ho messo anche l'opzione map nel router (per 
quello che possa valere)
Nel serverino collegato non ho catene attive nel firewall ma a breve voglio 
impratichirmi anche con iptables....
ssh non è accessibile dall'esterno della lan ovviamente e non a root 
certamente
un solo utente ha acceso al comando su
gli altri utenti non fanno parte di gruppi priviliggiati
ho solo pochi tentativi per l'accesso con denyhost
mldonkey che è accessibile dall'esterno lo devo un po ritoccare ma ho 
installato la versione da sorgeti più aggiornata e non il pacchetto debian
stesso di scorso per astrerisk compilato da sorgenti e per il momento chiuso 
all'esterno, volevo farmi un centralino
ma non avendo tanti fondi a disposizione niente schede zaptel per il momento 
e poi h323 non sono riuscito a compilarlo
ho solo sip
samba andrebbe migliorato come per gli altri software controllo spesso i 
manuali e cerco di chiudere le interfaccie ai miei solo ip quando possibile
exim e courier funzionano e non sono accessibili dall'esterno
CHE PUOI SUGGERIRMI APPARTE APPARTE METTERE MANO AL PORTAFOGLIO?
grazie per ogni suggerimento....