Newsgroup: it.comp.os.linux.sys
Titolo: Intrusione sul pc

Salve a tutti,
vi propongo una questione un pò strana.
Qualcuno tenta delle intrusione nel mio pc d'ufficio.
La tecnica è la seguente: durante la mia assenza viene acceso il pc ed il 
mdem, il monitor no (infatti le prime volte non me ne sono accorto ed hos 
pento il pc....) e nemmeno gli altri accessori.
Secondo me l'intruder ritiene troppo rischioso lavorare nel mio ufficio e 
quindi tenta ( o fa tentare ) un accesso dalla rete.
La mia domanda quindi è questa: con il computer acceso ma login non avvenuto 
(è questa la situazione che trovo) è possibile accedere dalla rete alla 
macchina? con che tipo di attacco, una brutale forzatura delle password? Se 
un sistema unix like non è in questo modo forzabile lo è un sistema windows 
(l'intruder potrebbe conoscere bene winzozz ma non linux...) ?
Il fatto che trovi il pc ancora acceso è indicativo di un fallimento 
dell'attacco?
Ancora, in /var/log/failog non c'è nulla, nemmeno quando io stesso provo degli 
accessi fasulli: è forse questo indicativo che iul sitema è già stato forzato 
ed hanno installato un root toolkit?
Ancora, se l'intruder accede al mio pc con una distro tipo knoppix, può 
sicuramente vedere cosa c'è nel mio hd (ed anche modificarlo, smontando le 
partizioni e rimontandole in rw invece che in ro), e di questa intrusione non 
rimane traccia alcune nei log (il sitema non è mai partito!!): se formatto 
tutto ed installo un filesystem criptato, sono al sicuro?
Tecnicamente aggiungo che sulla macchina incriminata è installata una suse 
9.0, il pc fa parte di una lan di una quindicina di macchine ed ha un accesso 
internet singolo con modem 56k, non sono abilitati i server web, ma è 
abilitato il file server, il database (Mysql) e ovviamente samba.
Ringrazio chiunque possa rispondermi, perchè, comprensibilmete il problema mi 
innervosisce molto.
Saluti.

 tutto ed installo un filesystem criptato, sono al sicuro?
Se e' il tuo PC dell'ufficio lamentati con la security. Non e' compito
tuo provvedere alla security delle macchine, a meno che tu non sia
il responsabile della security. Ma se il tuo pc fa' da server, perche'
e' spento? Non sara' che qualcuno lo riaccende perche' ha bisogno di
lavorare e poi lo lascia acceso?
Davide
-- 
| This is an air conditioned room -- do not open Windows! 
| 

metti una password nel bios e se sospetti ci sia un rootkit reinstalla.
crea una pw di root e dell' utenti che usi complicata ( tipo tr433:o;ls ) e
disabilita tutti i servizi che non ti servono , soprattutto telnet e ftp.
ciao.
-- 
"Un aforisma non dice mai la verita', ma nel migliore dei casi contiene
una verita' e mezza, e in media solo mezza."

 quindi tenta ( o fa tentare ) un accesso dalla rete.
Prima di pensare al peggio, sei sicuro che non sia qualcuno di quegli 
utiliiiiiiissimi dispositivi tipo wake-on-lan, wake-on-modem, 
wake-on-donnina-delle-pulizie-che-batte-sulla-tastiera?
Sai mai... :-)
ciao!
-- 
Fabrizio "Hermooz" Ermini

Il Wed, 07 Jan 2004 09:30:35 +0000, Alexia ha scritto:
bios -> wake on modem!
prova a spegnere il modem e vedrai che non troverai più il pc acceso ;-)

 
A me se accendo il modem si accende anche il computer da solo !

eugenio wrote:

Bingo!
sul bios c'è il wake on modem. Ma me lo ritrovo anche bloccato da una
password che io non ho mai messo. Quindi questo fa più luce sul tipo di
intrusione.
Qualcuno sa dirmi se il fatto che su /var/log/failog non ci siano segni di
log falliti (nemmeno i iei fatti apposta) è segno di manomissione del
sistema?
Rispondo ad altri dicendo che il server è spento quando gli uffici sono
chiusi.
Grazie comunque a tutti.