Newsgroup: it.comp.reti.locali
Titolo: Intrusioni che fare?

Salve a tutti, sono ormai due giorni che ricevo tutta una serie di log 
dal mio router Zyxel 660HW contenenti messaggi di questo tipo:
No. Time                  Source IP              Destination IP 
Note
   1|11/03/2005 15:08:37  |
82.51.52.146:2299
     |82.xxx.xxx.xxx:80 
   |ACCESS BLOCK
End of Alert
oppure
No. Time                  Source IP              Destination IP 
Note
   1|11/03/2005 15:06:33  |
82.51.52.146:1621
     |82.xxx.xxx.xxx:80 
   |ACCESS BLOCK
End of Alert
Posso far qualcosa per capire cosa diavolo sta succedendo?
Porco Rosso

Porco Rosso ha scritto:

Questo tizio, se hai omesso come credo parte del logo, ti fa una 
scansione delle porta eventualmente aperte. Spesso non c'è malizia ma 
quando la cosa si ripete ...
Ora il tuo comportamente dipende da quanto ti va di rompere i c@@@@@i a 
questo signore. Per esempio per essere buono e comprensivo potresti 
bloccare dalla policies di accesso del router tutte le richieste 
provenienti da quell'indirizzo.
Se vuoi fare il bastardo come lui, devi fare una ricerca per sapere chi 
è il suo provider - ammesso però che l'ip che tri compare nel log sia 
veramente il suo. Se vuoi approfondire parti da 
http://www.arin.net
 o 
http://www.ripe.net/db/index.html
, se non ti dà risultati il suo motore 
ti dirà da quale continente arriva questo simpatico singore e ti darà 
l'indirizzo presso il quale effettuare ulteriori interrogazioni. Quando 
avrai trovato il provider, copi e incolli il log e glielo mandi. E 
potrai dire con orgoglio di essere veramente bastardo ma mai come chi va 
rompere i co@@@@i alla gente..:->
Ciao
Enrico

 Porco Rosso
Ciao
P.S. Porco Rosso, gran bel film. Sei un fan di Miyazaki?
-- 
Akira

 il router e lo switch della tua LAN.
insistisco, IPCop o M0n0... e allora si' che si divertira' a leggere i log
:)
Ciao

EmC ha scritto:

Ho fatto come mi hai detto ed ho ottenuto la seguente risposta:
This is the RIPE Whois query server #2.
% The objects are in RPSL format.
%
% Note: the default output of the RIPE Whois server
% is changed. Your tools may need to be adjusted. See
% 
http://www.ripe.net/db/news/abuse-proposal-20050331.html
% for more details.
%
% Rights restricted by copyright.
% See 
http://www.ripe.net/db/copyright.html
% Note: This output has been filtered.
%       To receive output for a database update, use the "-B" flag
% Information related to '82.50.0.0 - 82.51.255.255'
inetnum:         82.50.0.0 - 82.51.255.255
netname:         TELECOM-ADSL-4
descr:           Telecom Italia S.p.A. TIN EASY LITE
country:         IT
admin-c:         BS104-RIPE
tech-c:          BS104-RIPE
status:          ASSIGNED PA "status:" definitions
remarks:         ##########################################
remarks:         Pay attention
remarks:         Any communication sent to email different
remarks:         from the following will be ignored!
remarks:         Any abuse reports, please send them to
remarks:         
ab...@retail.telecomitalia.it
remarks:         ##########################################
mnt-by:          TIWS-MNT
source:          RIPE # Filtered
person:          BBBEASYIP STAFF
address:
address:         Via Val Cannuta, 250
address:         I-00100 Roma
address:         Italy
phone:           
+39 06 36881
e-mail:          
ripe-...@telecomitalia.it
nic-hdl:         BS104-RIPE
source:          RIPE # Filtered
% Information related to '
82.51.0.0/16AS3269
'
route:           
82.51.0.0/16
descr:           INTERBUSINESS
origin:          AS3269
mnt-by:          TIWS-MNT
mnt-routes:      INTERB-MNT
source:          RIPE # Filtered
% Note: This output has been filtered.
%       To receive output for a database update, use the "-B" flag
% Information related to '82.0.0.0 - 82.255.255.255'
inetnum:         82.0.0.0 - 82.255.255.255
netname:         RIPE-CIDR-BLOCK
descr:           Not allocated by APNIC
country:         AU
admin-c:         IANA1-AP
tech-c:          IANA1-AP
status:          ALLOCATED PORTABLE "status:" definitions
remarks:         ------------------------------------------------------
remarks:
remarks:         Important:
remarks:
remarks:         Details of networks in this range are not registered
remarks:         in the APNIC Whois Database.
remarks:
remarks:         Please search the RIPE Whois Database, which contains
remarks:         details of IP addresses allocated in Europe, the
remarks:         Middle East, and northern Africa:
remarks:
remarks:         website:      
http://www.ripe.net/perl/whois
remarks:         command line: 
whois.ripe.net
remarks:
remarks:         ------------------------------------------------------
mnt-by:          MAINT-APNIC-AP
mnt-lower:       MAINT-APNIC-AP
source:          APNIC # Filtered
role:            Internet Assigned Numbers Authority
address:         see 
http://www.iana.org
.
e-mail:          
nob...@apnic.net
admin-c:         IANA1-AP
tech-c:          IANA1-AP
nic-hdl:         IANA1-AP
remarks:         For more information on IANA services
remarks:         go to IANA web site at 
http://www.iana.org
.
mnt-by:          MAINT-APNIC-AP
source:          APNIC # Filtered
Ho mandato una mail con il log a: 
ab...@retail.telecomitalia.it
.
Ho fatto bene?
Sono stato abbastanza bastardo o posso infierire ancora?
Porco Rosso <--- si sono un fan del regista giappo e sono pure un pilota 
di aerei quindi doppio fan :)

Porco Rosso ha scritto:

puoi fare di meglio visto il tuo mestiere.


 puoi fare di meglio visto il tuo mestiere.
eh caro mio, mica sono un pilota militare :)
a parte gli scherzi, davvero posso fare qualcos'altro?
Porco Rosso

 qualcos'altro?
I portscan sono ormai diventati il "rumore di fondo"
di internet (come la statica alla radio :-D) e non c'č
veramente molto da fare, a parte inviare una email
all'abuse (ma anche in questo caso i risultati sono
scarsi se non nulli) o ignorare la cosa; tieni inoltre
presente che molto spesso i portscan non vengono
effettuati da persone in carne ed ossa ma da PC
infetti con worms/bots che cercano altre macchine
da infettare; nel tuo caso, piů che un portscan perň
sembrerebbe un tentativo di accesso alla porta 80
(HTTP) il che potrebbe anche essere causato dal
fatto che un'altra macchina avesse ottenuto l'indirizzo
IP che tu stai usando e che tale macchina fungesse
da webserver; prova a rilasciare/rinnovare l'indirizzo
IP; in questo modo, cambiando l'IP pubblico tali
tentativi dovrebbero cessare
Ciao

ObiWan ha scritto:

purtroppo ho provato a riciclare l'ip, ma i tentativi sono continuati.
Il bello č che non sono sotto nessun redirect o dynamic dns.
Tra qualche giorno dovrei ottenere una adsl ad ip fisso, e quindi sono 
un pň preoccupato perchč ciň mi renderebbe piů vulnerabile (anche se 
chiaramente preferisco averlo per i vantaggi che comporta).
Porco Rosso

 (anche se chiaramente preferisco averlo per i vantaggi che comporta).
preoccupato per cosa ?!? Il fatto che il firewall blocchi le richieste e
le logghi dovrebbe già essere un motivo di tranquillità; significa che
il firewall sta facendo il suo lavoro, nient'altro; inoltre, come ho già
scritto, tentativi di accesso, portscans ed altro fanno ormai parte del
rumore di fondo di internet; ignorali e vivi felice (questo ovviamente
non significa non controllare i logs :-D)
Ciao
-- 
* ObiWan
Microsoft MVP: Windows Server - Networking
http://www.microsoft.com/communities/MVP/MVP.mspx
http://italy.mvps.org
DNS "fail-safe" for Windows 2000 and 9X clients.
http://www.treewalkdns.com
Support and discussions forums/groups
http://forums.treewalkdns.com
news://
news.treewalkdns.com
408 XP/2000 tweaks and tips
http://www.treewalkdns.com/tq/index.htm

 non significa non controllare i logs :-D)
ehm ehm il bello è che il firewall del router è disattivato :) come si 
spiega sta cosa?
Porco Rosso

 spiega sta cosa?
Come disattivato ?!? Ed i logs allora da dove vengono fuori ?


Te lo giuro sulla mia motoretta!!!
Il firewall è staccato! C'è il firewall sull'unica macchina windows in 
rete, sull'altra (linux) non c'è firewall!!!
Non so davvero cosa gestisca i log a meno che non sia il "content 
filter" che alla voce trusted users ha il range di IP della mia rete 
interna abilitato e basta... ma se non erro quello funziona per i 
pacchetti in uscita non quelli in entrata oppure non c'ho capito niente?
Fammi Sapere che ne pensi
Porco Rosso