Newsgroup: it.comp.os.linux.sys
Titolo: Come si individua un DoS Attack ???

Espongo al gruppo tutto un dubbio:
Martedi' verso le 14.30 mi segnalano che uno dei siti internet che
dovremmo gestire e' down. Dato che quella macchina del cavolo regge
JRun, Dynamo, MySQL e sa dio che altro, tutto su un PII con 512 Mb di
Ram e JRun e Dynamo non sono proprio la cosa piu' stabile dell'universo,
non mi sono posto troppi problemi ed ho riavviato entrambi i servizi.
Dopo 5 minuti mi segnalano che "il sito e' ancora irraggiungibile".
A questo punto mi sono messo a guardare meglio e mi sono accorto che
la macchina era piuttosto lenta, la memoria era occupata al 99% e
lo Swap al 32%. Top mi indicava una caterva di processi httpd attivi.
Riavvio Apache e le cose paiono migliorare. 
Poi sono arrivate le 17, ora di andarsene... poi sono arrivati i due 
pisquani sulla Golf che mi hanno tamponato e sbattuto giu' dalla moto... 
Poi e' arrivato Giovedi'.
Arrivo in ufficio e trovo una pila (letteralmente) di Post-It sulla mia
tastiera con messaggi progressivamente allarmati tutti relativi a
quella fetenzia di macchina di cui sopra...
Mi collego, lurko un po' e che ti vedo ??? 598 connessioni tutte in
'WAIT' e tutte dallo stesso IP....
Aggiungo una regola di IPChain e tutto sembra tornare a posto...
l'IP di cui sopra non risponde ai ping ed un traceroute si ferma al
primo "hops"...
Che fosse un DoS ?
Davide

 Che fosse un DoS ?
forse si, forse no
(e` strano che chi vuole farti un dos lo faccia con 600 connessioni tutte
dalla stessa macchina)
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 dalla stessa macchina)
E' quello che ho pensato anche io... ma mi pare che 600 connessioni dallo
stesso IP siano un po'.... anomale.
Davide

 Davide
cacciavite

 dipende, ospita per caso siti porno ;)
No purtroppo (senno' sarebbe molto piu' divertente la "manutenzione"...)
Davide
P.S. i siti porno qui' praticamente non esistono... che cavolo lo fai a 
fare se ti basta andare giu' all' Oudezijds Voorburgwal e vederle dal vivo ?

 ha scritto nel messaggio
news:ai0c60$101j0v$7...@ID-18487.news.dfncis.de...

Dove ti trovi? In Olanda? come si sta dal punto di vista del lavoro?
Ciao Cacciavite

 'WAIT' e tutte dallo stesso IP....
Per poter portare un attacco DoS a uno stato WAIT devi[1] usare indirizzi
ip esistenti e devi poter controllare la/e macchina/e a quegli indirizzi.
Oppure l'ip sorgente potrebbe essere stato spoofato ma, In questo caso, i
simpatici buontemponi dovrebbero aver portato l'attacco da una macchina o
collegata alla rete del server o alla rete cui appartiene l'indirizzo che
hai trovato.
Noti questi limiti, puoi cercare di scoprire:
1) se qualcuno dei tuoi vicini di ufficio ti vuole male;
2) a quale diavolo di rete appartiene quell'indirizzo ip per poi scrivere
   ad un contatto amministrativo per cercare di scoprire l'arcano.
Potrebbe anche trattarsi di qualche malconfigurazione di host o router da
cui proviene il traffico.
Sempre che lo stato WAIT che dici tu sia anche uno di quelli di cui parlo
io, ovviamente :) Ti stai riferendo ad uno degli stati FIN WAIT, vero?
Fabio
[1] predirre l'ISN per 600 connessioni richiede un volume di traffico che
    mi porterebbe ad escludere a priori un attacco "blind".


http://www.calogero.org/
Linux 2.4.18 on Slackware 8.0

 hai imparato l'olandese o ti basta comunicare in inglese per vivere li'?
Mijn Nederlandse is heel slecht maar genoug voor de dag naar dag leven zijn,
ik begon alles conversaties met een "spreekt uw engels ?"...
(trans: il mio olandese fa' cagare, ma e' sufficiente per la vita di
tutti i giorni, comincio tutte le conversazioni con un "parla inglese?"...)
Davide

 Dove ti trovi? In Olanda? come si sta dal punto di vista del lavoro?
Bene. Qualche volta meglio che in Italia.
Davide

 tutti i giorni, comincio tutte le conversazioni con un "parla inglese?"...)
ok, ho capito :)))


 tutti i giorni, comincio tutte le conversazioni con un "parla inglese?"...)
Mi pare, dalla mia breve esperienza da quelle parti,
che l'inglese sia piuttosto diffuso.
Tra che si prende la BBC, tra che non traducono i
telefilm americani...
bye,
-- 
  Piergiorgio Sartor

 Tra che si prende la BBC, tra che non traducono i telefilm americani...
Be' non tutti... qualcuno l'hanno tradotto (incubo: Starsky & Hatch in 
olandese !!!!)...
Davide

 olandese !!!!)...
Ma quanto ci hanno messo, 30 anni? :-)
bye,
-- 
piergiorgio

 Ma quanto ci hanno messo, 30 anni? :-)
Be', non dirmi che in Italia non ri-ri-ri-ri-danno ste' cose...
Davide

 io, ovviamente :) Ti stai riferendo ad uno degli stati FIN WAIT, vero?
Yup!
Davide

 
Hanno ricominciato da poco, su RaiTre :-)
-- 
ciao            |visita
                 |
http://www.sifor.it
gelty           |
http://www.sifor.com
-------------------------------------
Elimina toglimi. per le risposte
E' esplicitamente vietato usare l'indirizzo e-mail di questo messaggio
per fini diversi dalla risposta al messaggio stesso (Art. 10 DL. 171/98).

 Be', non dirmi che in Italia non ri-ri-ri-ri-danno ste' cose...
Si, ma in italiano dalla prima volta... :-)
bye,
-- 
piergiorgio

 bye,
Il concetto di seconda lingua in Olanda è molto più radicale, almeno da
quel che so io...
Ciao !
Nicholas

 quel che so io...
come in quasi tutto il nord europa, del resto...
