Newsgroup: it.comp.os.linux.sys
Titolo: Ping sospetti [lungo, forse OT]

Ciao a tutti,
da qualche mese, in ditta, abbiamo fatto installare una nuova linea ADSL di
Telecom, da 1.3Mbit/s in downstream e 256Kbit/s in upstream, provvista di 8
indirizzi IP statici, in aggiunta alle 2 linee (640/128Kbit/s)
preesistenti; pochi giorni dopo l'attivazione (premetto che funziona
benissimo ed è veloce) ho iniziato a notare uno strano comportamento: in
pratica mi arrivano, ad intervalli regolari, delle raffiche di ICMP Echo
Request (ping) ad una velocità impressionante e da IP sorgenti che cambiano
in continuazione (in pratica arrivano 5-600 ping da un indirizzo, poi
magari una pausa, dunque ancora 1-200 dallo stesso e poi l'indirizzo
cambia.... questo è quanto mi dice l'output di tcpdump).
E' palese che non sono normali "ping", il cui omonimo comando invia con
frequenza ben inferiore!
Preciso che l'IP destinazione di questi pacchetti è quello di rete assegnato
alla ditta (es. 192.168.1.0), col risultato che tutti i server che ho
connesso a questa linea (per ora 2) vengono sollecitati a rispondere con
infinite serie di "Echo Reply" intasando tutta la banda disponibile.
Considerando il fatto che, per quanto ne so, non posso evitare l'arrivo di
questi pacchetti strani, ho aggiunto una regoletta di iptables nei server
in oggetto per evitare che almeno rispondano... (sono tutte macchine
Linux).
Anche disconnettendo fisicamente i server l'alluvione continua... ed a
"succhiarsela" è il router (un Pirelli, mamma mia!!) che, ogni tanto,
sembra non gradirla e si blocca fino a che non lo riavvio a forza.
Questo succede a qualsiasi ora, di giorno e di notte.... 
Ah, dimenticavo: le altre 2 linee non hanno mai presentato questo problema!
Qualcuno di voi sa darmi una soluzione o, per lo meno, un consiglio? Vi
sarei davvero molto grato.
Grazie infinite,
ZEuS

 questi pacchetti strani
Si che si puo', basta configurare correttamente il firewall.
Davide


Questo non e' detto: per risparmiare potenza di calcolo, ben pochi router
controllano che l'indirizzo sorgente sia corretto, si limitano a verificare la
destinazione.
Quindi, e' possibilissimo ricevere un ping da un 
192.168.0.0/16
, e' la
*risposta* a questo ping che viene fermata al primo salto.
Ciaotutti,
*
--
Per scrivermi in email aggiungete un tag [PRI] al soggetto, altrimenti
il messaggio verra' automaticamente cassato.
To write me in private mail add a [PRI] to the subject, otherwise the
message will be automatically deleted.

 sembra non gradirla e si blocca fino a che non lo riavvio a forza.
Probabilmente lo scopo di chi emette certi ping e' proprio questo, cioe'
quello di provocare il mal di testa al pirelli, in modo da impedire la
navigazione.
Sei sicuro che quei pacchetti vengano dall'esterno? veramente sicuro?
Non e' c'hai gli utenti che giocano a fare gli akker?
Una cosa del genere mi fa pensare ad un attacco di tipo land,
praticamente l'attaccante emette un ping che ha come destinazione o un
indirizzo di broadcast o network, specificando come ip sorgente quello
della macchina da attaccare. Tutte le macchine che rispondono al
icmp_broadcast manderanno una echo replay alla vittima.
Mi lascia pero' perplesso il fatto che la destinazione sia 192.168.1.0.
Per raggiungere quella destinazione dall'esterno, bisognerebbe forgiare
un pacchetto con destinazione 192.168.1.0, ma indirizzarlo all'ip
pubblico del tuo router. Non sono sicuro sia possibile/fattibile creare
un pacchetto icmp e dirigerglo ad un host diverso da quello spedificato 
nella destinazione del pacchetto.
Sarebbe meglio se loggassi con iptables un po' di traffico in questione,
e poi postassi i log.
Ma qui si e' OT, io followapperi su it.comp.sicurezza.varie
Se vuoi possiamo continuare la discussione li, o su malinglist tipo
sikurezza.org
 o pluto-security (preferirei la seconda, perche' e' ha
poco traffico e non e' moderata, quindi non ci sono ritardi di
publicazione del messaggio)
CYA
Banana ed il mal di testa domenicale

Si che si puo', basta configurare correttamente il firewall.
E come posso fare ciň? Per la natura stessa del TCP/IP i pacchetti al
firewall arrivano lo stesso!!! Poi lui, ovviamente, non li fa passare, ma
purtroppo arrivano (e prima che a lui arrivano al router che,
diligentemente, risponde con i reply....aggiungiamo pure che ad esso,
essendo di Telecozz, non mi č consentito l'accesso!!!!).
Premesso questo, vorrei saperne di piů, ecco tutto!!
Rigrazio comunque per la risposta.
ZEuS.


Puoi anche fare segnalazioni di abuse per attacchi Dos (Denial of service)
bye G.L.
-- 
- Renaissance, aka Gian Luca Sole -
Cit. « E' assolutamente evidente che l'arte del cinema
 si ispira alla vita, mentre la vita si ispira alla TV »
                                        (Woody Allen)

 banda disponibile.
Guarda di non essere in qualche lista di smurf-amplifier.
Fabio

 Banana ed il mal di testa domenicale
Con sto problema io il mal di crapa ce l'ho tutti i giorni!!
Comunque grazie infinite, sei stato gentilissimo!
Ciao!
ZEuS.