Newsgroup: it.comp.reti.ip-admin
Titolo: IP sotto attacco.

Salve a tutti, spero di non essere OT, visto che questo č il mio primo post 
:-)
Ho un "fantomatico" contratto ADSL Alice da 4 Mb che difficilmente supera i 
256 Kb;
sarebbero piů che sufficienti per i miei bisogni se non saturati dai 
continui tentativi di accesso.
Come posso protestare energicamente con Telecom visto che gli IP da cui 
provengono i
tentativi di accesso sono tutti i suoi ?
Ho installato un Logserver e posso fornire elenco.
Il problema nasce quando i tentativi superano i 9 al secondo, il mio 
(economico) firewall hardware si pianta
e devo resettare.
Saluti al gruppo
Rasputin
P.S.: ecco un estratto del log in tempo reale: al momento mi sembrano mogi, 
max 2 al secondo:
Tuesday December 19, 2006 16:42:01 Unrecognized attempt blocked from 
82.58.199.xxx:3138 to 82.58.xxx.xxx TCP:445
Tuesday December 19, 2006 16:42:17 Unrecognized attempt blocked from 
85.105.186.xx:50072 to 82.58.xxx.xxx TCP:135
Tuesday December 19, 2006 16:42:19 Unrecognized attempt blocked from 
82.58.81.xxx:4324 to 82.58.xxx.xxx TCP:135
Tuesday December 19, 2006 16:42:21 Unrecognized attempt blocked from 
82.58.81.xxx:4324 to 82.58.xxx.xxx TCP:135
Tuesday December 19, 2006 16:42:36 Unrecognized attempt blocked from 
82.239.190.xx:1171 to 82.58.xxx.xxx TCP:445
Tuesday December 19, 2006 16:42:38 Unrecognized attempt blocked from 
82.83.7.xxx:2637 to 82.58.xxx.xxx TCP:135
Tuesday December 19, 2006 16:42:39 Unrecognized attempt blocked from 
82.239.190.xx:1171 to 82.58.xxx.xxx TCP:445
Tuesday December 19, 2006 16:42:39 Unrecognized attempt blocked from 
82.58.66.xxx:2088 to 82.58.xxx.xxx TCP:139
Tuesday December 19, 2006 16:42:41 Unrecognized attempt blocked from 
82.83.7.xxx:2637 to 82.58.xxx.xxx TCP:135
Tuesday December 19, 2006 16:42:42 Unrecognized attempt blocked from 
82.58.66.xxx:2088 to 82.58.xxx.xxx TCP:139

 tentativi di accesso.
Un tentativo di accesso in genere comporta qualche pacchetto in 
entrambi i sensi e, a meno che non sia un attacco del tipo flooded, non 
usa gran che della banda. I tentativi che riporti sono piuttosto comuni 
e, come vedi dal log, riguardano porte TCP in uso da Windows (NetBIOS), 
ovvero si tratta quasi certamente di macchine infestate da worm che si 
autosparano.
Puoi raccogliere un po' di log e mandarli a telecom, eventualmente con 
due righe con le quali chiedi di badare ai loro Clienti, pena una 
qualche denuncia. Non si sa mai.
Ciao
Luca

 ha scritto nel messaggio 
news:mn.9c927d6c3...@sasdelli.it...

Ciao Luca,
ho verificato e la maggior parte sono porte note, dalla 0 alla 1023 
(
http://www.iana.org/assignments/port-numbers
).
Quasi tutte quelle dei servizi Windows 
(
http://business.msn.it/italy/pmi/sicurezza/sgc/articles/ref_net_ports_ms_prod.mspx
).
Possibile che Windows sporchi così la rete anche dietro a un router ?
Ecco le porte e le ricorrenze.
Ciao.
Rasputin
       # Porta        # record
      0 4
      21 5
      22 9
      23 7
      25 2
      42 1
      80 20
      135 2229
      137 18
      138 2
      139 329
      445 863
      1026 129
      1027 38
      1080 14
      1243 2
      1433 54
      1434 4
      2967 3
      3128 2
      3306 2
      3389 1
      4899 8
      5800 11
      5900 32
      5991 2
      8000 2
      8080 2
      12345 2
      12348 2
      19208 28
      26433 1
      27374 2
      31337 2
      38075 10
      40117 1
      48473 1
      52651 1
      59319 1
      59903 18
      60279 12
      60425 1
      60433 3
      61287 6
      62059 1
      62267 1
      62291 4
      62427 3
      62435 10
      62453 6
      62463 6
      62485 2
      62489 1
      62493 4
      62557 3
      62569 3
      62587 1
      62729 46
      63201 2
      64179 18
      64235 2
      64243 17
      64249 7
      64849 1

 Possibile che Windows sporchi così la rete anche dietro a un router ?
Altroche', anche perche' si tratta di router senza alcun blocco in 
uscita, per cui qualsiasi nodo LAN puo' lanciare sessioni su porte 
qualsiasi verso l'esterno. La presenza massiccia delle porte NetBIOS 
(135, 137, 138, 139 e 445) sta ad indicare la natura di infezione da 
worm, che tende a propagarsi su reti Microsoft.
Comunque, stai tranquillo; il firewall sta facendo il proprio lavoro e 
tutt'al piu' puoi presentare una richiesta a Telecom, anche se credo 
potrebbe cadere nel vuoto. Se vedessi i log dei nostri firewall 
(fastweb e interbusiness) ... :-)
Ciao
Luca