Newsgroup: it.tlc.gestori.fastweb
Titolo: problema nel whois

 23.251.17.145
E' un IP riservato di quelli che FastWeb utilizza per le sue MAN private
e quindi non e' (x ora) visibile dall'esterno di tale rete -> nel caso
specifico si tratta di un utente appartenente alla MAN di Roma (come
Darko stesso).
Ulteriori informazioni in merito nelle FAQ-1.4 ITGF reperibili all'url
http://planynet.hypermart.net/fastweb
 .
Qualora il portscan avesse preceduto qualche danno (prelevamento o
corruzione di dati, etc.) si puo' segnalare l'accaduto allegando i log a
abuse(at)
fastweb.it
 , riservandosi anche la possibilita' di denuncia.
Dipende ovviamente tutto dall'entita' del danno subito = se si tratta di
un semplice portscan senza effetti e' sufficiente la segnalazione alla
casella abuse sopracitata assieme ad una configurazione di filtro per
tale indirizzo IP (o la subnet associata a tale utente).
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|-<|> 
http://planynet.hypermart.net
 ŻŻŻŻŻ<|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \-<|> 
http://pub44.ezboard.com/bplanynet
 <|
|_|  |_/_/ \_\___|___/-<|> NEWS: free.it.ingegneria.meccanica <|
|>Togli/Remove .INVALID<|> NEWS: free.it.tlc.provider.fastweb <|


Ok, manderò sicuramente la segnalazione. Ma dimmi una cosa, come posso
vedere i log degli accessi?
Me li da il firewall o devo usare roba tipo  "port explorer" et similia?
Grazie

 vedere i log degli accessi?
Dipende dalla soluzione firewall che usi = servirebbe qualche dettaglio
in merito (e.g. se hw o sw) per poterti aiutare meglio.



Ok, manderò sicuramente la segnalazione. Ma dimmi una cosa, come posso
vedere i log degli accessi?



Allora i log li ho trovati... ovviamente credo che devo mandare solo la
parte relativa al prot scan in questione?
Grazie ancora

 la parte relativa al prot scan in questione?
Ovviamente -> tieni cmq conto che quando l'abuse-desk (o perlomeno chi
ne consulta la casella email) ricevera' i tuoi log valutera' cosa fare
in seguito = se la tua segnalazione e' l'unica e non hai subito danni
(proprio per la presenza del firewall) dubito che vi sara' un seguito.
Se invece oltre alla tua ve ne sono almeno una decina e (soprattutto)
l'azione di portscan ha generato una situazione di allarme (ved. un
sovraccarico eccessivo sulla CPU dei router) allora e' plausibile che
l'utente venga almeno contattato da FastWeb, che provvedera' ad appurare
se l'azione sia volontaria (oppure effetto 
p.es
. di virus) ed in caso
positivo a richiamare/ammonire l'utente (la prima volta).


Allora, ho mandato l'email alla fastweb.
Inoltre, mi sono studiato meglio la situazione. Praticamente guardando i
log, ho visto che capita che, dopo tentativi di accesso, ci sono stati
tentativi di far usicre pacchetti e passaggi di pacchetti da un computer a
un altro.
Inoltre molte applicazioni (icq, messanger...) vengono usate da 23.156/16
anzi che dal localhost... e come se venisse usato da altri il mio computer
(questa č solo una sensazione). Ad essere piů precisi e come se quando
lancio una applicazione, questa viene duplicata ed eseguita sia dal mio pc
che da 23.156/16
Inoltre vengono aperti diversi processi *SYSTEM su varie porte.
Sono anche riuscito, grazie a indirizzi presi, come destinazione di uno
scambio pacchetti a rimediare un indirizzo in america e un ip della iol (?)
Che ne pensi?

Ovviamente prima intendevo 23.251/16
Aggiungo anche, che guardando ancoa meglio con un port scan sulle mie porte,
mi accorgo che ogni qual volta inizia un nuovo processo oltre a quello con
indirizzo locale 0.0.0.0 (127.0.0.1) me se ne duplica uno identico con
23.251/16

Che ne pensi?
Si tratta di un chiaro caso di IWF. Deinstalla quel programma e vivrai
molto più tranquillo.
-- 
ciao,
Marco

 molto più tranquillo.
Scusami... cosa intendi per IWF... che programma dovrei disinstallare?

 con 23.251/16
L'indirizzo IP da cui hai spedito il messaggio e' 23.251.173.110 (come
rilevabile dagli header del tuo messaggio) -> devi quindi verificare se
i pacchetti che ricevi non provengano da un indirizzo IP contiguo o
prossimo inferiore (con scarto di poche cifre nell'ultimo blocco). Se
cosi' fosse allora la tua soluzione firewall non farebbe altro che
spedirti falsi allarmi = si tratterebbe infatti della tua CPE/HAG ;) .
Se vuoi scoprire se effettivamente sia la tua CPE e' sufficiente fare 
una verifica al volo con un network scanner e.g. GFi LanGuard Network 
su 
http://www.languard.com/downloads/downloads.asp?pid=8&lid=1
 -> se ti
risulta associata a quell'IP una macchina indicata come su OS Linux con
aperte le porte TCP/UDP per BOOTP hai trovato la tua CPE.
Comunque non ci hai ancora detto quale sia la tua soluzione firewall ;).
Se per caso fosse un personal firewall [e.g. ZoneAlarm] non mi stupirei
dei falsi allarmi.
Comunque in caso di falso allarme dovresti ricevere una risposta
praticamente analoga dal servizio clienti FastWeb.


Scusami... cosa intendi per IWF... che programma dovrei disinstallare?
È un termine tecnico che usano gli addetti ai lavori per descrivere la
tua situazione. Intendevo dire che dovresti deinstallare il "firewall" e
non pensare più che tutto il mondo cerchi di attaccarti.
-- 
ciao,
Marco