Newsgroup: it.comp.sicurezza.unix
Titolo: Come comportarsi essendo sicuri (al 99.9999999%) di essere stati "bucati" ?

Come da oggetto... Sono quasi certo..
Da sambalog:
[2000/09/27 19:02:11 pincopallo(aaa.bbb.ccc.ddd) connected to service
xxxxxxxxx as user xxxxxxxx .....
Chiaramente l'indirizzo aaa.bbb.ccc.ddd non appartiene alla mia rete, ma
guardacaso al range di indirizzi del mio provider....
A chi devo rivolgermi, ed in quale forma per denunciare un'intrusione?
Grazie
--
Giulio


Suppongo che la cosa migliore da fare sia segnalare il fatto al tuo ISP
con tutti i dati che hai rilevato nei log-files.

 Giulio
Un agente della polizia  telematica (che si occupa proprio di questo genere
di
crimini) di disse una volta che in questi casi e' bene denucniare la cosa
o presso di loro (
www.poliziadistato.it
) oppure presso la Procura della
Repubblica.
Stai per' attento a quello che fai: devi essere sicuro al 100% di quello
che
vai a dire, perche' potresti essere denunciato a tua volta per simulazione
di reato.
Ciao.


connettersi al samba non vuol dire bucare il sistema...

 guardacaso al range di indirizzi del mio provider....
La cosa piu' probabile e' che il tuo isp non abbia un filtro sul
netbios, e qualcuno, collegato in contemporanea a te abbia "sparato"
qualche pacchetto broadcast sull'ip pubblico che utilizava. 
La richiesta e' giustamente arrivata sulla tua porta samba che l'ha
mandata a stendere.
Secondo me non era un tentativo di intrusione, anche perche' non credo
proprio che un accesso ad una porta che OFFRE UN SERVIZIO. La 139 non e'
diversa dalla 80, dopotutto.
Cris.
P.S. Se ti succede di nuovo e te ne accorgi subito, collegati alla sua
porta, col il suo user e probabilmente ti ritroverai nel suo disco
condiviso al mondo.

 La 139 non e' diversa dalla 80, dopotutto.
Ecc. ecc.

Premesso che non sono d'accordo che bucare una porta non sia un reato.
E' come se qualcuno ti entri in casa senza che te ne accorgi. Non credo che
saresti contento....o sbaglio.
In seconda battuta non si sa mai cosa possa essere stato fatto. Ci sono
sempre informazioni "personali" su un computer.... Ed oggi come oggi... per
legge devono essere tenute riservate.
Quello che ho mostrato del log è solo una riga, me il file è lungo circa 120
Kb e scorrendolo si nota che questa "persona" è entrata nelle varie "dir".
Quindi ha avuto la possibilità di leggere o copiare qualcosa.
Si sono verificati dei piccoli disservizi. Può essere che siano dipesi da
qualche errore nei vari Sw mapotrebbero anche essere dipesi da altro...
Il tempo di una persona che si mette a verificare e rimettere in ordine il
server costa. Quindi come vedi un'intrusione "costa".
....
Tutto questo mi succede da quando sono abbonato a galactica. Prima non mi
era mai successo. Il server è lo stesso.
--
Giulio

 ordine il server costa. Quindi come vedi un'intrusione "costa".
un buon motivo per gestire meglio il sistema.
Buttha
-- 
* Per rispondere in email rimuovere la prima i dall'indirizzo
* 
http://members.xoom.it/buttha/
* Anche un orologio fermo segna l'ora giusta due volte al giorno
 (H. Hesse)

 un buon motivo per gestire meglio il sistema.
E su questo sono d'accordo... Infatti sto provvedendo.
--
Giulio

 Non arrampichiamoci sugli specchi.
Non e' arrampicarsi sugli specchi.
Tu chiedevi a chi rivolgerti per una denuncia. Non puoi denunciare chi
ha usato un servizio che TU hai offerto.
Tu parti da un log di samba, e trovi un accesso. lo denunci.
E i log dell'apache? Denunci chi si collega alla porta 80?
Se i servizi ci sono, se non ti ha danneggiato il sistema, allora non
puoi denunciare nessuno.
Ri-saluti. Un cris che dovrebbe denunciare cnetinaia di persone al
giorno.

 ad entrare.....
altra domanda da porsi:
l'"intruso", come faceva ad avere username/password validi?
Il caso meno grave e' quello che vede, come "intruso", un utente della
lan che si e' collegato da casa.
ciao
Buttha
-- 
* Per rispondere in email rimuovere la prima i dall'indirizzo
* PS:

Sono d'accordo con te, sto infatti verificando le impostazioni di samba e
cercando di capire quali sono i suoi problemi, cioè quali sono gli errori di
installazione che devo aver commesso.
Per quanto riguarda ipchains, ero convinto che i controlli fossero corretti,
in particolare contro l'IP spoofing (la mia rete è del tipo 192.168 mentre
chi è entrato aveva un indirizzo diverso) che sembra corretto, ma che
evidentemente non lo è.
E' impostato per non accettare ingressi dall'interfaccia che dà su internet,
ma evidentemente non molto bene, ed è impostato perché i pacchetti che
arrivano da internet non abbiano ip interno alla mia lan.
Date queste premesse pensavo che funzionasse... invece c'è qualcosa che non
torna.
--
Giulio

ah, dimenticavo....
Guest user = nobody
dovrebbe impedire l'accesso anonimo.... o sbaglio anche qui?
--
Giulio

Giulio wrote:

Questo lo abilita!!!

Quindi ha avuto la possibilità di leggere o copiare qualcosa.
So che ti dirò una cosa scontata, Giulio, ma Internet non è più quella di 10
anni fa. Ergo navigare senza, come minimo, un Personal Firewall, è, ora come
ora, un puro suicidio.
Non ti cito il proverbio "Chi è causa del suo mal non pianga sè stesso", ma
dovresti prendere provvedimenti. Su Linux Ipchains fa un lavoro splendido e
quindi dovresti come minimo usare quello, e non dimenticarti di togliere il
binding dei vari daemon dall'interfaccia ppp0.
Non è paranoia, è solo minima precauzione, tanto come quella di non girare a
Milano con un collier di diamanti al collo.
Pila
-----BEGIN PGP SIGNATURE-----
Version: PGP 6.5.8
iQA/AwUBOexBaZp5iFzMUCiJEQJ7fwCg2HYR/XnIC0BMB9W1y9nQtXpFE6wAn0/q
4Rw/6qt3UY+yETPjpCpvC6tI
=u+P3
-----END PGP SIGNATURE-----