Newsgroup: it.comp.os.linux.sys
Titolo: Sapete dirmi cos'è questo?

L'ho trovato oggi nei syslog:
Sep  8 22:38:45 local kernel: UDP: bad checksum. From
209.134.29.200:10258
 to 
213.82.56.71:161
 ulen 46
Mi sembra un tentativo di attacco verso un indirizzo IP che il mio
server offre in multicast, ma è andato a buon fine oppure no?
Grazie
-- 
Byz
          Pavanel Massimo 
          ICQ: 63077580

 server offre in multicast, ma è andato a buon fine oppure no?
A me non pare per nulla. Inoltre il multicastig non mi pare che abbia
quegli indirizzi.
Secondo me (come si evince chiaramente) si tratta molto semplicemente di
un pacchetto dove il cheksum ha riportato un errore nella trasmissione
del pacchetto stesso ... ovvero di un pacchetto arrivato male e che
pertanto verrà rifiutato.
-- 
      Massimiliano ADAMO
         ICQ# 103417788
  Yahoo!Messenger: quetzalco_it

 pertanto verrà rifiutato.
Quello che mi puzza era la porta 161 in UDP, cmq speriamo bene.
Considerando che il mio server è up da 2 anni non mi era mai capitato.


 Considerando che il mio server è up da 2 anni non mi era mai
capitato.
Due anni senza un tentativo di connessione alla 161: forse è un
record :)
Comunque l'invio di pacchetti con checksum sbagliato,
indipendentemente su quale porta arrivino, può essere usato per il
fingerprinting e, contemporaneamente per vedere se la porta di
destinazione è aperta: due piccioni con una fava.
Ma tu sulla porta 161 hai qualcosa? (cfr: hai snmpd che ascolta
sul tuo ip pubblico)?
Fabio

 
Da etc/services
snmp            161/udp                         # Simple Net Mgmt Proto
Posso disabilitare la porta secondo te?


 Posso disabilitare la porta secondo te?
devi saperlo tu se usi SNMP, mica possiamo saperlo noi :P
ma, come si dice sempre, visto che non sai cos'è, dubito che tu lo stia
usando.


 usando.
Mi cospargo il capo di cenere :)
In effetti non ho la minima idea di cosa faccia e cosa serva, ogni
spiegazione sarà benaccetta.


 spiegazione sarà benaccetta.
SNMP è un protocollo per il management remoto dei sistemi.
Collegandosi alla porta 161 di una macchina (router, computer,
stampante, ecc.) che fornisce servizi SNMP si possono recuperare
informazioni sul sistema o modificarne alcuni parametri di
configurazione. Prevede un sistema di autenticazione molto blando.
E' molto utile in un ambiente sicuro, preferibilmente da non
usarsi in ambiente insicuro, sicuramente da non usarsi se non se
ne ha bisogno.
Altre informazioni le troverai sicuramente in rete.
Fabio

 usarsi in ambiente insicuro
ciao, mi spiegheresti perchč ritieni l'autenticazione di snmp blanda?
Io lo uso x il management dei router, firewall e ras (tutti cisco) della ditta, e non mi sembra poi
cosě blanda l'autenticazione...
perň c'č sempre da imparare....
Grazie
Ciao
Manuel
--
ICQ 117744323

 della ditta, e non mi sembra poi così blanda l'autenticazione...
Non so se ricordi come si espandeva l'acronimo SNMP ai tempi in
cui si usava solo SNMPv1 (che era SNMP e basta):
"Security's Not My Problem " :)
In assoluto direi che un sistema di autenticazione basato
sull'invio di una sola keyword in chiaro o su acl legate agli
indirizzi IP possa essere considerato blando (SNMPv1).
Successivamente:
SNMPv2c ha migliorato un po' le cose ma i cambiamenti maggiori
sono stati nel MIB.
SNMPv2u e altri sono sicuri ma non sono mai diventati uno
standard.
SNMPv3 OK.
Certo: se devi amministrare solo apparecchiature recenti della
3com (o comunque della stessa casa) è più facile utilizzare
protocolli che prevedano un'autenticazione sicura ma in un
ambienti eterogenei (come ad esempio quello della mia azienda) è
difficile utilizzare protocolli diversi dal v1 o v2c, e
quest'ultimo molto raramente (1 caso su 13 devices, a breve
proverò a implementare v3 sui router basati su Linux).
Inoltre la risposta era riferita ad un'installazione chiaramente
di default di ucd-snmp su Linux: quindi v1 con
community-name=public. OK: così il mib è read-only, ma comunque
puoi acquisire informazioni sul sistema e a volte anche sulla
struttura della rete interna.
Poi ovviamente il livello di rischio a cui ci si espone, come
sempre, deve essere valutato in funzione dell'ambiente di rete in
cui si lavora: usare v1 o v2c in una piccola LAN aziendale in cui
si ha un ragionevole controllo sull'attività e sugli skill degli
utenti ritengo sia accettabile. Dove il rischio è maggiore occorre
usare protocolli sicuri (dove le apparecchiature lo consentono) o
valutare bene il rapporto rischi/benefici e usare strette policy
per la configurazione e l'infrastruttura della sicurezza in modo
da limitare gli eventuali danni.
Sempre IMHO ... come si usa dire in questi casi  :)))
Dimmi se ho scritto delle fesserie: non sono certo un'esperto di
SNMP (probabilmente lo conosci meglio tu).
Fabio

 SNMP (probabilmente lo conosci meglio tu).
ha ha non guardare me....


 Poi non sono un hacker, sicuramente il modo di entrare c'è
Anche io non sono un hacker: però mi occupo anche di sicurezza e
devo imparare come si entra per non fare entrare gli altri:) E il
fatto che qualcuno possa entrare non lo prendo mai molto alla
leggera.
Ciao
Fabio

 devo imparare come si entra per non fare entrare gli altri:)
Ecco, siamo in due che la pensiamo esattamente alla stessa maniera  ;-)
ciao
Manuel
--
ICQ 117744323