Newsgroup: it.comp.sicurezza.unix
Titolo: Tentativo di intrusione.

Ciao a tutti,
Scrivo per chiedere un parere.
Tutte le macchine che costituiscono il mio firewall hanno subito un
piccolo attacco da un altro host su internet (non entro nello
specifico).
Si e' trattato di una serie di tentativi di accedere attraverso l' SMTP,
il telnet e poco altro......
Voi come vi comportereste ?????
Voglio dire, avvertireste il suo provvider, cercereste di sapere almeno
la persona fisica che ha fatto questo (ritengo che sia un'host che ha
ottenuti un IP dinamicamante) o peggio ancora (avvertire il mio
responsabile per scatenare le possibili azioni di rivalsa legale)???????
E' un bel dubbio anche non so se la persona (nonostante l'accanimento)
ha fatto il tutto solo per gioco o con qualche secondo fine.
Per favore fatemi sapere il vostro parere.
Caio e grazie.
-- 
Maurizio Totti
ENEL S.p.A. SSI Firenze Via Campofiore, 22 50136 Firenze ITALIA
tel.	+39 55 655-3861/3811	fax	+39 55 655-2090
E-mail:	
m...@firenze.enel.it
	[interno]: m...@fi.si.enel

I tentativi non sono nulla ! Se fosse veramente entrato ... allora in caso
di dolo potresti
rivalerti legalmente !
Ma ricorda che :
1) i piu' bravi non usano mai il loro account !
2) Probabilmente il tuo sito e' una bella sfida e hanno fatto tutto per
gioco ! ( non tentarmi ! ) :-))
3) Se riuscissi veramente a capire chi e' e a spedirgli una lettera di
avvertimento ! o a farla spedire dal suo provider
    questo avrebbe l'effetto di spaventarlo e di fargli capire che sei
preparato ! eviterebbe guai seri a lui e aumenterebbe
    il suo rispetto nei tuoi confronti !
4) Sempre che non sia TIN il provider, si muove solo "per vie legali"
e infine non chiederci di trovarlo per te : non siamo netcops ! :))
PhoenYx

1) i piu' bravi non usano mai il loro account !
...se usassero il loro account non sarebbero neanche a 1/10 della
scala della bravura...
.......... Vittorio Bertola (v.bertola @ 
studenti.to.it
) .........
.. Per rispondermi eliminate .NO.SPAM dal mittente del messaggio .
http://www.polito.it/~bertola
 - //
www.poli.studenti.to.it/~bertola
*  Problemi? Leggi il manuale! Internet & Computing Italian FAQ  *
PGP Key Available ................. finger 
ber...@giove.polito.it

Io farei due premesse:
1) i log di per se' possono provare tutto e niente.  Nessuno ti
garantisce che le connessioni siano state stabilite effettivamente
dai siti registrati nei file di log.  Ci sono molteplici tecniche per
fare in modo che cio' non avvenga.  Blind e non-blind spoofing,
versioni buggate dei daemon... anche semplici attacchi DoS.
Invii cento richieste fasulle che riempiono i log e magari in mezzo
ce n'e' una ok.
In sostanza diffidare in genere di tutto cio' che e' log storico.
Soprattutto se c'e' stato un ingresso nel sistema.
2) potrebbe essere un'ottima occasione per affinare le tue conoscenze
in materia.  Io finora mi sono sempre regolato in questo modo e non me
ne sono mai pentito.  
Si tratta di giocare al gatto e al topo.  Non per fini puramente
ludici, ma per sfruttare al massimo l'occasione di apprendimento.
Ingegnati, studia qualche trapdoor, fingiti sprovveduto.... attiralo
nella trappola.  Poi, se riuscirai a catturarlo, potrai decidere se
perdonarlo o sbranarlo.   Dovrai valutare al momento, considerando la
pericolosita' del/degli autori, le motivazioni etc. etc.
Buon lavoro
P.S. per la cronaca i topi sono sempre finiti in trappola e solo in
un'occasione, visto che trattavasi di odiosa pantegana, ho proceduto
alla soppressione.