Newsgroup: it.comp.reti.ip-admin
Titolo: problema nel whois

Salve a tutti... ho un grosso problema, cč un tizo che sta facendo sul mio
computer ben piů di un portscan, dato che mi arrivano dallo stesso ip (o
meglio da due ip) ripetuti avvisi del firewall (fino a 30 al giorno).
Ripeto che l'ip č lo stesso, ho provato a fare una quey nei piů famosi
servizi di whois esistenti, ma tutti mi dicono che non riescono a trovarlo
nel loro database:
Ho provato: 
ripe.net
, 
arin.net
, 
apnic.net
 e 
internic.net
, ma niente.
C'č qualcuno che puň aiutarmi?
Grazie

 
Dacci l'IP!

23.251.17.145
Grazie
"Luigi 'Comio' Mantellini" <lmantellini@_NO_hotmail_SPAM_.it> ha scritto nel
messaggio news:YoNxa.58181$DN.14...@tornado.fastwebnet.it...


> 23.251.17.145
Ahia ... è quasi sicuramente spoofato
o cmq usato "a sbafo" si tratta di un'IP
appartenente ad un blocco riservato
http://www.dnsstuff.com/tools/whois.ch?ip=23.251.17.145
http://www.dnsstuff.com/tools/netgeo.ch?ip=23.251.17.145
ultimamente se ne vedono diversi da
quel range, soprattutto come origini di
invio spam ... o di DDoS ...

 23.251.17.145
E' un IP riservato di quelli che FastWeb utilizza per le sue MAN private
e quindi non e' (x ora) visibile dall'esterno di tale rete -> nel caso
specifico si tratta di un utente appartenente alla MAN di Roma (come
Darko stesso).
Ulteriori informazioni in merito nelle FAQ-1.4 ITGF reperibili all'url
http://planynet.hypermart.net/fastweb
 .
Qualora il portscan avesse preceduto qualche danno (prelevamento o
corruzione di dati, etc.) si puo' segnalare l'accaduto allegando i log a
abuse(at)
fastweb.it
 , riservandosi anche la possibilita' di denuncia.
Dipende ovviamente tutto dall'entita' del danno subito = se si tratta di
un semplice portscan senza effetti e' sufficiente la segnalazione alla
casella abuse sopracitata assieme ad una configurazione di filtro per
tale indirizzo IP (o la subnet associata a tale utente).
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|-<|> 
http://planynet.hypermart.net
 ŻŻŻŻŻ<|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \-<|> 
http://pub44.ezboard.com/bplanynet
 <|
|_|  |_/_/ \_\___|___/-<|> NEWS: free.it.ingegneria.meccanica <|
|>Togli/Remove .INVALID<|> NEWS: free.it.tlc.provider.fastweb <|

 origini di invio spam ... o di DDoS ...
In tal caso se gli header confermano l'invio da rete FastWeb si provvede
con la segnalazione ad abuse(at)
fastweb.it
 e poi si provvede ad apporre
appositi filtri per l'IP in questione (o per la subnet associata alla
utenza). In caso contrario si e' in presenza di IP spoofed -> chi non e'
utente FastWeb puo' quindi (x ora) provvedere a bloccare le subnet usate
per le MAN private.


 23.251.17.145
io ho trovato questo:
23 IANA (reserved) (NET-DDN-TC-NET) (RESERVED-23) 
ma si tratta di un dato un pò vecchio...
-- 
+-------
| Paolo opg
|
| janickg ( at ) hotmail ( dot ) com
+-------


E questo è già stato notato, segnalato e per quanto ne so si stanno
prendendo le opportune misure a livello di border routers (blackhole)
in modo da bloccare completamente il routing di tale ip block
Ciao
-- 
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

 ma si tratta di un dato un pò vecchio...
No, è così, il "blocco 23" è riservato IANA e non dovrebbe
essere usato salvo esplicita autorizzazione (leggi "lease")
da parte di IANA, il vero problema è che tale blocco viene
ultimamente utilizzato per Spam/DoS ed altro e a quanto ne
so dovrebbe venire "bloccato" (blackhole) a livello di main
routers in modo da evitarne l'uso non autorizzato; che poi
FastWeb lo usi "a sbafo" .. beh .. affari loro, il problema vero
è che i loro utenti si troveranno dall'oggi al domani ... senza
una connessione di rete funzionante ... ma così va la vita !

 per le MAN private.
Ciao ancora, potresti spiegarmi meglio questo fatto?
Cioč oltre alla segnalazione alla fastweb, posso tutelarmi anche bloccando
preventivamente tutti i tentativi di accesso da parte di una subnet
specifica? Come posso fare?
Grazie ancora a tutti

 accesso da parte di una subnet specifica? Come posso fare?
Impostando direttamente un filtro di blocco delle connessioni con gli
indirizzi della subnet tramite la soluzione firewall che stai usando. E'
sufficiente consultare la documentazione relativa per creare le regole
apposite -> purtroppo non sapendo quale soluzione tu stia usando (che
puo' essere hardware oppure software esterna tramite linux-box oppure
direttamente sul client con software personal firewall) non potrei
fornirti ulteriori info in merito.
