Newsgroup: it.comp.os.linux.sys
Titolo: Parere su mail log

Ciao a tutti,
Essendo la prima volta che scrivo, mi presento.
Mi chiamo francesco e sono un sys alle prime armi.
A dire il vero non e' poco che gestisco server web e di posta su linux, 
pero' so di avere ancora moltissimo da imparare.
Vorrei un parere da voi riguardo ad un log di sandmail trovato questa 
mattina.
Si tratta di una RedHat9 aggiornata quotidianamente, con iptables 
attivo (ok... sono pigro e uso guarddog) e i servizi attivi sono il 
minimo indispensabile (appunto web e posta).
Copio e incollo qui sotto uno stralcio del log in questione 
(opportunamente anonimizzato).
Sep 16 01:50:32 XXXXXX ipop3d[18140]: pop3 service init from 
172.176.XXX.XXX
Sep 16 01:50:32 XXXXXX ipop3d[17868]: Logout user=server 
host=
XXXXXXX.XXXX.aol.com
 [172.176.XXX.XXX]
Sep 16 01:50:32 XXXXXX imapd[18141]: imap service init from 
172.176.XXX.XXX
Sep 16 01:50:33 XXXXXX imapd[18142]: imap service init from 
172.176.XXX.XXX
Sep 16 01:50:33 XXXXXX ipop3d[18143]: pop3 service init from 
172.176.XXX.XXX
Sep 16 01:50:33 XXXXXX ipop3d[18143]: Logout user=??? 
host=
XXXXXXX.XXXX.aol.com
 [172.176.XXX.XXX]
Sep 16 01:50:34 XXXXXX imapd[18106]: Command stream end of file, while 
reading line user=administrator host=
XXXXXXX.XXXX.aol.com
 
[172.176.XXX.XXX]
Sep 16 01:50:34 XXXXXX ipop3d[18090]: Logout user=access 
host=
XXXXXXX.XXXX.aol.com
 [172.176.XXX.XXX]
Sep 16 01:50:34 XXXXXX imapd[18144]: imap service init from 
172.176.XXX.XXX
Sep 16 01:50:34 XXXXXX ipop3d[18128]: Logout user=backup 
host=
XXXXXXX.XXXX.aol.com
 [172.176.XXX.XXX]
Sep 16 01:50:34 XXXXXX imapd[18124]: Command stream end of file, while 
reading line user=sybase host=
XXXXXXX.XXXX.aol.com
 [172.176.XXX.XXX]
Sep 16 01:50:35 XXXXXX ipop3d[18145]: pop3 service init from 
172.176.XXX.XXX
Sep 16 01:50:35 XXXXXX imapd[18146]: imap service init from 
172.176.XXX.XXX
Sep 16 01:50:35 XXXXXX imapd[18074]: Connection reset by peer, while 
reading line user=backup host=
XXXXXXX.XXXX.aol.com
 [172.176.XXX.XXX]
Sep 16 01:50:35 XXXXXX imapd[18117]: Command stream end of file, while 
reading line user=server host=
XXXXXXX.XXXX.aol.com
 [172.176.XXX.XXX]
Sep 16 01:50:36 XXXXXX imapd[18147]: imap service init from 
172.176.XXX.XXX
Sep 16 01:50:36 XXXXXX ipop3d[18148]: pop3 service init from 
172.176.XXX.XXX
Sep 16 01:50:36 XXXXXX imapd[18149]: imap service init from 
172.176.XXX.XXX
Sep 16 01:50:36 XXXXXX ipop3d[18135]: Logout user=data 
host=
XXXXXXX.XXXX.aol.com
 [172.176.XXX.XXX]
Sep 16 01:50:36 XXXXXX imapd[18150]: imap service init from 
172.176.XXX.XXX
Sep 16 01:50:36 XXXXXX imapd[18116]: Connection reset by peer, while 
reading line user=admin host=
XXXXXXX.XXXX.aol.com
 [172.176.XXX.XXX]
Sep 16 01:50:37 XXXXXX ipop3d[18125]: Logout user=admin 
host=
XXXXXXX.XXXX.aol.com
 [172.176.XXX.XXX]
Sep 16 01:50:37 XXXXXX imapd[18151]: imap service init from 
172.176.XXX.XXX
La cosa e' andata avanti per un buon quarto d'ora con l'unica 
differenza di cambiare l'utente, ma essendo semrpe la stessa solfa, 
dovrebbe bastare la parte soprariportata.
Se ho omesso qualche info necessaria alla diagnosi, siate pazienti.
Dimenticavo... inutile sottolineare che nessuno degli utenti "tentati" 
e' presente sulla macchina.
Grazie gia' da ora
flytraps

Ciao,
a vedere dai log, forse qualcuno ha cercato di utilizzare il tuo server 
per inviare mail.
Poi si deve essere stufato e ha desistito...
Altro non so...
Ciao

 Altro non so...
E' quello che penso anche io.
Infatti di mail non ne sono partite e tutti i log sono integri e 
completi.
meglio cosi'.
ciao
flytraps

 dovrebbe bastare la parte soprariportata.
un utente di 172.176.xxx.xxx ha tentato di utilizzare, usando diversi
account "classici" presenti su alcuni sistemi, o comuni nel loro
utilizzo, di autenticarsi sul tuo server pop/imap.
Ovvero un tentativo "guess" di trovare una coppia utente/password
valida, su un servizio evidentemente esposto. Nessuno ha dato frutti
positivi per i motivi che tu stesso hai intuito (utenti non esistenti).
Se offri servizi pop/imap verso _internet_ purtroppo, questo accade.
Se puoi limitare, ad esempio perche` conosci la classe di ip degli
utilizzatori di quei servizi, o perche` _non_ offri quei servizi, allora
puoi agire filtrando range di utilizzo o lo stesso servizio.
-- 
                         Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Is your homepage Y2K compliant? Pipe it through "tr 'yY' 'kK'" to make sure.

 puoi agire filtrando range di utilizzo o lo stesso servizio.
Purtroppo non posso chiudere piu' di cosi'.
Anche perche' gli utenti devono leggersi la posta anche da fuori sede.
Continuo con le antenne dritte ;-)
ciao
flytraps