Newsgroup: it.tlc.gestori.fastweb
Titolo: Attacco?

Il mio firewall mi segnale che un utente interno a fastweb (dall'indirizzo
IP) cerca continuamente di connettersi ai miei computer... anche se il
firewall funzione, so anche che non c'è protezione che resista ad un attacco
fatto bene...
Che protrei fare? Rimanere passivo e subire? Io pensavo di comunicarlo a
Fastweb, ma non so se è una procedura "normale"...

Giga ha scritto:

manda una email a 
ab...@fastweb.it
 oppure vai su esegui e fai
net send "IP DESTINATARIO" e dopo ci scrivi quello che vuoi
esempio: net send 5.255.x.x vai a cagare stronzo
in questo modo se hai il pc acceso e non ha bloccato il servizio net 
send gli arriva un simpatico messaggio sul pc

 ha scritto nel messaggio
news:Sk6jb.37643$Zh.1...@tornado.fastwebnet.it...


 ha scritto nel messaggio
news:t46jb.37631$Zh.1...@tornado.fastwebnet.it...

ma sei sicuro che non sia solo un  PING ????
ciao

Giga wrote:

Secondo me è il server DNS.
Non saresti il primo a denunciare questo complotto messo in piedi da
fastweb..
Ma visto che i vecchi messaggi non li leggi, vai pure da fastweb e denuncia
il server dns..
poi però raccontaci cosa ti dicono :)

 IP) cerca continuamente di connettersi ai miei computer... 
Che genere di "attacco" e con quale modalità ? da quale ip ?
A me arriva un pacchetto IGMP al minuto se è per questo. E' 
semplicemente un router. E' normale.


 ... a parte che sarebbe pazzo, ma comunque... una volta che gli arrivasse ?
magari se è un bambino lamer che non ha nulla di meglio da fare si 
prende spavento e la smette

 computer
Prima di procedere potrebbe essere utile verificare prima sia tale IP
che la tipologia di connessione, per evitare di segnalare a FastWeb
eventuali abusi da parte e.g. della propria CPE/HAG o di un server DNS
MAN FW... -> se ci fornissi il log del tuo firewall (forse) potremmo
esserti piu' utili ;).
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|-<|> 
http://planynet.hypermart.net/fastweb
 <|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \-<|> * FAQ 1.5 ITGF it.tlc.gestori.fastweb <|
|_|  |_/_/ \_\___|___/-<|> * SITO: 
http://planynet.hypermart.net
 <|
|>Togli/Remove .INVALID<|> * NEWS: free.it.ingegneria.meccanica _<|

 fottetevene dei log.
bravo, pure io sostengo di non utilizzare firewall
tanto se vogliono entrare (e sono bravi) non c'è firewall software che 
tenga

 o, c'e' poco da fare, non entrano.
un mio amico mi ha detto che uno si può spacciare per l'autoupdate del 
firewall ed entrare in quel modo

Estratto di Log di Outpost
16/10/2003 15.50.14 Port scanned 23.19.xxx.yy TCP(135)
16/10/2003 15.50.14 Connection request 23.19.xxx.yy TCP(135)
16/10/2003 15.45.54 Connection request 
23.16.hhh.gg
 ICMP(2048)
Estratto di Log di ZoneAlarm
Packet sent from 23.19.xxx.yy (TCP Port 3038) to 
23.19.bbb.cc
 (TCP Port 135)
was blocked - Direction Incoming
Packet sent from 
23.16.hhh.gg
 to 
23.19.bbb.cc
 (ICMP Echo Request ('Ping'))
was blocked - Direction Incoming
Descrizione di ZoneAlarm del primo evento:
ZoneAlarm blocked traffic to port 135 on your machine from port 3038 on a
remote computer whose IP address is 23.19.216.81. This communication attempt
may have been a port scan, or simply one of the millions of unsolicited
commercial or network control messages that are routinely sent out over the
Internet. Such unsolicited messages are often called Internet background
noise.
Mi sembrerebbe tutto ok se non fosse che la rete di fastweb non č Internet,
quindi le Internet background noise dovrebbero diventare  Fastweb background
noise... non mi quadra molto... o sbaglio?
Evidentemente il secondo evento č un ping...
Esempi di dns
213.140.2.34 
beta.fastwebnet.it
213.140.2.51 
ms001msg.fastwebnet.it
213.140.2.42 
alfa.fastwebnet.it
213.140.2.50 
eta.fastwebnet.it
Connessione su fibra...
"Macs" <maxs...@despammed.com.INVALID> ha scritto nel messaggio
news:3F8D8316...@despammed.com.INVALID...


 Esempi di dns [...]
Quelli che hai indicato sono semmai server SMTP della batteria usata da
FastWeb per le sue utenze.


 (ved. capitolo sezione 2 delle FAQ citate in firma).
Quindi, quello dell'IP potrebbe avere un virus e non saperlo?

 Quindi, quello dell'IP potrebbe avere un virus e non saperlo?
un worm, non un virus

 ciao
Ao Alex

 Ah gli IGMP arrivavano dai router fw? 
Oddio ...
non č detto. Il protocollo IGMP č solitamente usato per "far sapere" 
agli host di una rete a quale gruppo di multicast appartengono. Non ne 
so piů di tanto di multicast, e non ho indagato piů di tanto.
Nel mio caso mi arriva un IGMP al minuto 24h/24 a cadenza esatta. Ho 
_supposto_ si trattasse semplicemente di una questione legata alle 
gestione di flussi multicast legati a determinati servizi 
(videostation?)... ripeto sono solo supposizioni, ho solo disabilitato 
il logging perchč i pacchetti mi riempivano i logs. Nessun danno, comunque.


Giga ha scritto:

Filtra tu la 135 che quasi sicuramente non usi
-- 
-----------------------------trip65---------------------------------
home : 
http://www.telelombardia.tv
radio : 
http://www.fastradio.net
 (only fw)
direct stream : 
http://stream.fastradio.net:8000/fastradio
 (only fw)
-----------------------------fastradio.NET--------------------------