Newsgroup: it.comp.sicurezza.unix
Titolo: tolgo i servizi o mi fido di tcpd?

Mettendo a punto la sicurezza di un sistema linux, cerco di 
controllare l'accesso esterno ai servizi gestiti da inetd.
Mi chiedo perň se sia meglio togliere da inetd.conf i servizi 
"pericolosi" oppure fare gestire il tutto a tcpd editando
opportunamente i file hosts.deny e hosts.allow .
Forse il primo metodo č piů drastico, perň col secondo posso
fare delle verifiche e loggare il tutto.
Cosa mi consigliate?
--------------------------------~--------------------------------
 Paolo Scita               E-mail:   
paolo...@polaris.ciao.it
 I-43036 Fidenza - Italy   (togliere "ciao" per l'ind. corretto)
--------------------------------~--------------------------------

Cosa mi consigliate?
Usali entrambi. Togli tutti i servizi che non sono strettamente 
necessari e chiudi gli accessi anche a chi non deve entrare.
Eventualmente aggiungi anche un firewall per rigettare 
i pacchetti.
E non pensare che io sia paranoico :-))
Questi sono tutti i tentativi di connessione alla mia macchina
che si collega solo in dial-up la sera 
Sep 27 22:57:59 amd in.telnetd[2306]: refused connect from 212.216.82.208
Name:    
a-cr6-17.tin.it
Sep 29 18:35:29 amd in.telnetd[775]: refused connect from 212.216.203.251
Name:    
a-sa8-28.tin.it
Oct  1 18:52:44 amd in.telnetd[657]: refused connect from 212.216.44.223
Name:    
a-ro5-32.tin.it
Oct  2 18:13:32 amd in.telnetd[661]: refused connect from 212.216.205.210
Name:    
a-na27-19.tin.it
Oct  2 18:21:12 amd in.telnetd[664]: refused connect from 212.216.196.150
Name:    
a-sa4-23.tin.it
Oct  5 19:18:07 amd in.telnetd[705]: refused connect from 155.185.7.252
Oct  5 20:07:11 amd in.telnetd[722]: refused connect from 155.185.7.252
Name:    
chimo.unimo.it
Oct  6 22:32:37 amd in.ftpd[983]: refused connect from 62.10.17.158
Questo sembra venire da Tiscali. 
 
Come vedi c'e molta gente che non ha niente di meglio da fare
che scan della rete per cercare accessi lasciati incustoditi.
Marco
-- 
............................................
 
m.at...@flashnet.it
La prima delle Frequently Asked Question: 
dove sono le FAQ ?      it.faq

 opportunamente i file hosts.deny e hosts.allow .
Se quei servizi non ti servono, toglili.
Se la tua e` una macchina casalinga, lascia al piu` ident, il
resto non ti serve di solito.
-- 
CDreview: bello brand new day di Sting.                      _/Davide\_
                                                             \Alberani/

opportunamente i file hosts.deny e hosts.allow .
No, tcpd e` assolutamente sicuro.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *


mamma mia ragazzo ... giuro che a me una cosa del genere non e' mai successa
:-)
forse in un anno 1 volta sola , che era un mio amico idiota.
Ciao
Vrt

 fare delle verifiche e loggare il tutto.
Tutti i servizi che non servono, tipo pop-2, pop-3, talk, finger
ecc. vanno levati.
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=> CLIP HERE < =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
[root@durin /root]# sed '/^#/d;/^$/d' /etc/inetd.conf
ftp     stream  tcp     nowait  root    /usr/sbin/tcpd  in.ftpd -l -a
telnet  stream  tcp     nowait  root    /usr/sbin/tcpd  in.telnetd
shell   stream  tcp     nowait  root    /usr/sbin/tcpd  in.rshd
login   stream  tcp     nowait  root    /usr/sbin/tcpd  in.rlogind
smtp stream tcp nowait qmaild /usr/sbin/tcpd /var/qmail/bin/tcp-env /var/qmail/bin/qmail-smtpd
auth   stream  tcp     nowait    nobody    /usr/sbin/in.identd in.identd -l -e -o
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=> CLIP HERE < =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 No, tcpd e` assolutamente sicuro.
Che sia sicuro (salvo bug e complicati spoofing) non ci piove, '
il problema e' che e' parziale...
Puoi gestire solo service che partono via inetd. I buchi piu' insidiosi
sono legati ad altri service, rpc, X e via discorrendo.
Molto meglio attivare con oculatezza un filtraggio a livello kernel
con ipfw, ipfilter o quanto altro...
-- 
Francesco P. Lovergine  f.lovergine AT 
iesi.ba.cnr.it


Sicuro di aver guardato bene ???
-- 
     XO

sono legati ad altri service, rpc, X e via discorrendo.
X e` chiuso di default, rpc almeno con debian e` chiudibile con il
wrapper.


forse in un anno 1 volta sola , che era un mio amico idiota.
Oct 12 23:12:19 amd in.telnetd[2243]: refused connect from 155.185.7.252
Name:    
chimo.unimo.it
Come vedi qualcuno all'universita' persevera :-))


 wrapper.
A parte la 6000, a seconda del wm usato e del s.o. ,X ha il brutto
vizio di aprire una caterva di porte, allora le soluzioni sono o disattivare 
tali servizi in toto oppure chiuderli con un filtro. 
E poi cosa intendi con 'chiuso di default'?
-- 
Francesco P. Lovergine  
f.lov...@iesi.ba.cnr.it
CNR-IESI                
http://www.iesi.ba.cnr.it
V.Amendola 166/5
I-70126
BARI BA (ITALY)

resto non ti serve di solito.
Grazie a tutti dei consigli!
(siete i soliti di it.comp.linux.*, però qui almeno "si respira", no?!)


Come vedi qualcuno all'universita' persevera :-))
Non mi meraviglierei se fosse bucata, unimo ha una storia di intrusioni.


E poi cosa intendi con 'chiuso di default'?
Che non puoi connetterti al display se non ti e` stato dato accesso con
xhost.



tranquillo ...... :-)

 xhost.
Ah va beh, se e' per quello non puoi entrare in telnet se non hai una
password :-) L'unico service sicuro
e' un service assente. Se proprio non lo si puo' levare, che almeno
sia unreachable dall'esterno, per cui meglio filtrare porta 6000
visto che i bug su X e dintorni sono all'ordine del giorno (tipo 
i 4 bug del CDE di recente comunicazione segnalati da cert e ciac).


 tranquillo ...... :-)
Allora sono io che li attiro...ogni giorno almeno 4 o 5 pellegrini
bussano
alle mie porte ;-)))
-- 
     XO

i 4 bug del CDE di recente comunicazione segnalati da cert e ciac).
Bug dei client, in molti anni non ricordo che l'implementazione dell'X
protocol abbia avuto problemi di sicurezza di questo genere.


E guarda un po` questi, solo in pochi giorni ...
Uno addirittura dalla Corea, che onore
quello che mi turba di piu` e`
TCP WRAPPER WARNING -
Thu Oct  7 10:07:09 MET DST 1999
Unauthorized connection attempt to popper from unknown!
Come e` possibile?
Paolo
-------------------------------------------------------
Unauthorized connection attempt to in.ftpd from 192.167.50.105!
TCP WRAPPER WARNING -
Mon Oct  4 20:04:43 MET DST 1999
Unauthorized connection attempt to in.ftpd from 192.167.50.105!
TCP WRAPPER WARNING -
Tue Oct  5 13:02:44 MET DST 1999
Unauthorized connection attempt to popper from 151.99.142.3!
TCP WRAPPER WARNING -
Thu Oct  7 10:07:09 MET DST 1999
Unauthorized connection attempt to popper from unknown!
TCP WRAPPER WARNING -
Thu Oct  7 14:57:53 MET DST 1999
Unauthorized connection attempt to imapd from
equant-208-212-202-63.iPass.COM
!
TCP WRAPPER WARNING -
Thu Oct  7 14:59:02 MET DST 1999
Unauthorized connection attempt to popper from
equant-208-212-202-63.iPass.COM
!
TCP WRAPPER WARNING -
Thu Oct  7 14:59:22 MET DST 1999
Unauthorized connection attempt to in.ftpd from
equant-208-212-202-63.iPass.COM
!
TCP WRAPPER WARNING -
Thu Oct  7 14:59:32 MET DST 1999
Unauthorized connection attempt to in.ftpd from
equant-208-212-202-63.iPass.COM
!
TCP WRAPPER WARNING -
Thu Oct  7 14:59:42 MET DST 1999
Unauthorized connection attempt to in.ftpd from
equant-208-212-202-63.iPass.COM
!
TCP WRAPPER WARNING -
Mon Oct 11 17:35:57 MET DST 1999
Unauthorized connection attempt to in.ftpd from
ppp-26-248-BOACP.iunet.it
!
TCP WRAPPER WARNING -
Mon Oct 11 17:36:07 MET DST 1999
Unauthorized connection attempt to imapd from 
ppp-26-248-BOACP.iunet.it
!
TCP WRAPPER WARNING -
Tue Oct 12 19:52:38 MET DST 1999
Unauthorized connection attempt to popper from 
web1404.mail.yahoo.com
!
TCP WRAPPER WARNING -
Wed Oct 13 22:08:14 MET DST 1999
Unauthorized connection attempt to popper from 
port19.fitad.it
!
TCP WRAPPER WARNING -
Sat Oct 16 01:30:16 MET DST 1999
Unauthorized connection attempt to in.ftpd from 210.221.89.42!
* Sent from RemarQ 
http://www.remarq.com
 The Internet's Discussion Network *
The fastest and easiest way to search and participate in Usenet - Free!