Newsgroup: it.comp.os.linux.sys
Titolo: Rilevare tentativi di intrusione

Sono (felicemente) passato da WIN a Suse dove essenzialmente sviluppo PHP.
Sapete indicarmi un buon "monitor" di sistema che mi avvisi di eventuali
azioni di port scan e eventi simili?
Grazie,
Ale



iptables modulo psd.
Max


E poi quand'anche sai che ti hanno fatto un portscan, cosa te ne fai?
Se il sistema è configurato bene, le porte esistenti sono protette in
modo adeguato, e da fuori possono scannare tutto quello che vogliono ma
non otterranno niente.
Se il sistema non è configurato a dovere, che tu lo sappia o no, sei
comunque a rischio.
-- 
Massimo Bacilieri AKA Crononauta 
ICQ:4005815

 E poi quand'anche sai che ti hanno fatto un portscan, cosa te ne fai?
Ficchi l'IP nel firewall e/o mandi una letterina al provider.
Davide
-- 
If it's too good to be true, it's probably a rigged demo.
Any sufficiently advanced technology is indistinguishable from a rigged
demo.

 Ficchi l'IP nel firewall e/o mandi una letterina al provider.
Ah beh vendette trasversali ;-)
capisco...!


 E poi quand'anche sai che ti hanno fatto un portscan, cosa te ne fai?
Dunque... Arrivo fresco fresco da WIN e lavoro molte ore collegato a Fastweb
dove il discorso sicurezza è piuttosto delicato...
Sviluppo php e devo necessariamente avere diversi servizi aperti per poter
lavorare.
Il mio è solo un dubbio... Su WIN avevo un firewall che almeno una decina di
volte al giorno mi rilevava portscan. Ero però tranquillo, avevo un sistema
ben firewallato.
Ora non so. Sono un newbie di linux e temo di non aver configurato a dovere
il tutto.
Tutto qui.
Mi piacerebbe avere qualcosa che mi "suoni un campanello" di allarme e mi
dica che lo stronzo di turno non è "passato".
...Forse è solo una questione di tranquillità psicologica...
E' strano? 

 E' strano? 
Sì. O meglio, è tempo perso.
In Linux la questione è molto più diretta rispetto a windows, perché non
è un porcaio di letame dove non si sa cosa giri, quali diavolerie di
backdoor ci siano installate a favore di CIA, FBI, amici di Bill Gates
et similia.
Qui sai esattamente cosa gira (o meglio: hai la possibilità di
saperlo!), quali servizi sono attivi, e cosa fanno.  
Agendo sui loro file di configurazione in primis, su /etc/hosts.allow e
deny per i servizi che dipendono dalle libwrap e in ultima battuta sul
firewall per discriminare l'accesso ai rimanenti servizi, hai
praticamente blindato tutto.
Poi, se vuoi tenere d'occhio la cosa, un periodico tail /var/log/syslog
e auth.log usualmente è più che sufficiente per stare tranquilli!
(se poi vuoi essere informato, basta che fai loggare al kernel tutto ciò
che blocca, e ti fai mandare una mail da un cronjob, solo che lo vedo
sinceramente come un bailamme inutile data la quantità *mostruosa* di
macchine windows con su qualche rumenta che intasano la rete di
schifezze...)


Alessandro Peretti wrote:

google -> netfilter/iptables
hint: studiati un po' di tcp/ip prima.
-- 
bunker
+++++++++++[>++++++>++++++++++++++++++++++++++++++++
+>++++++++++<<<-]>.>++++++++++.>.<----------.>---------.<+++++++.

 Sì. O meglio, è tempo perso.
Un po' semplicistica, come sintesi, non trovi?
-- 
"Io mi sarei aspettato un intervento più misurato dall’assessore Ascoli, 
nel senso che, ospite in questo paese, poteva avere maggiore rispetto..."
(Giannotti di Forza Italia all'assessore Ascoli, ebreo italiano)
http://snipurl.com/antisemitafi

 Un po' semplicistica, come sintesi, non trovi?
Semplicistica sì, inesatta non direi.
Chiaro che non è che possiamo fare un trattato sulla sicurezza delle
reti qui in un messaggio...
Ma dalla situazione che descriveva lui, nel caso specifico, la sintesi
mi sembra abbastanza realistica.
