Newsgroup: it.comp.sicurezza.unix
Titolo: Log

Hi All,
        ho   installato  un   firewall   con  ipchains,   ed
ultimamente vengono loggati questi  ip, che solitamente sono
sempre gli stessi (a parte il mio).  E' un semplice portscan
o è qualcosa di cui mi devo preoccupare?
Dec 23 10:30:09 shelly kernel: Packet log: input DENY ppp0
PROTO=103 
151.5.145.54:65535
 
224.0.0.13:65535
 L=30 S=0xC0
I=0 F=0x0000 T=1 (#41)
Dec 23 10:30:39 shelly kernel: Packet log: input DENY ppp0
PROTO=103 
151.5.145.54:65535
 
224.0.0.13:65535
 L=30 S=0xC0
I=0 F=0x0000 T=1 (#41)
Dec 23 10:30:43 shelly kernel: Packet log: input DENY ppp0
PROTO=6 
193.204.114.231:37
 
151.25.255.136:1031
 L=60 S=0x40
I=41458 F=0x4000 T=42 (#41)
Dec 23 10:31:07 shelly kernel: Packet log: input DENY ppp0
PROTO=2 
151.5.145.54:65535
 
224.0.0.1:65535
 L=28 S=0xC0 I=0
F=0x0000 T=1 (#41)
Dec 23 10:31:08 shelly kernel: Packet log: input DENY ppp0
PROTO=6 
193.204.114.231:37
 
151.25.255.136:1031
 L=60 S=0x40
I=41906 F=0x4000 T=42 (#41)
Dec 23 10:31:09 shelly kernel: Packet log: input DENY ppp0
PROTO=103 
151.5.145.54:65535
 
224.0.0.13:65535
 L=30 S=0xC0
I=0 F=0x0000 T=1 (#41)
Grazie in anticipo...
-- 
	     .
 ____      _ |   UIN:82766812  
|_\|_)  /o( -*-. Fiat500Web: 
http://www.poli.studenti.to.it/~f.sirna
 
|  \ \|\||_) |   mailto: farnis(at)libero(dot)it 
------------ .   On a 486DX/133 with Linux Debian 2.2 (Woody)

I=41458 F=0x4000 T=42 (#41)
193.204.114.231
: questo ho scoperto che  è il server del IEN
al quale mi collego per ricevere  l'ora esatta e che mi sono
dimenticato di filtrare nel firewall :-)
Pero'  l'altro  (
151.5.145.54:65535
)  non  sono  riuscito  a
capire cos'è :-( La 65535 non è un BO?
Grazie ancora in anticipo...


 capire cos'è :-( La 65535 non è un BO?
No. Ti stanno arrivando dei pacchetti multicast dal tuo provider, cioe'
pacchetti facenti parte del protocollo IGMP.
224.0.0.x e' un tipico indirizzo riservato a quel protocollo.
Pare sia di gran moda, ultimamente, ricevere questi pacchetti: succede
con telecom, succede con tanti altri provider.
ciao
Buttha
-- 
* Per rispondere in email rimuovere la prima i dall'indirizzo
* L'età più pericolosa è il periodo tra la nascita e la morte.
  (Elgozy)

con telecom, succede con tanti altri provider.
Capisco che sia di moda, ma se non li richiedo, perchè me li mandano?
Riguardo alla sicurezza...
Che faccio per evitare che i file di log si riempiano di questo 'fastidio'?
Lascio entrare questi pacchetti non richiesti?


 pacchetti facenti parte del protocollo IGMP.
pero' a lui ipchains dice proto=103? che robba e'?
io in /etc/protocols 103 non ho nulla, tra l'altro igmp = 2 ?
mah
ps buon natale (in ritardo... ma prima stavo mettendo a posto il picci)

 Lascio entrare questi pacchetti non richiesti?
Puoi anche bloccarli e non loggare.
Buttha
-- 
* Per rispondere in email rimuovere la prima i dall'indirizzo
* Sono felice di essere nata donna, cosě non corro il rischio 
  di prendere moglie. (Ann Margret)

 io in /etc/protocols 103 non ho nulla, tra l'altro igmp = 2 ?
Copy&Paste di due post di it.comp.os.linux.sys:
<---------------------------------->
$ cat /etc/protocols | grep 103
pim     103     PIM             # Protocol Independent Multicast
E' un protocollo di routing per pacchetti multicast (l'MBone e' 'la'
rete multicast).  La maggior parte dei mortali, se proprio deve
routare pacchetti multicast, lo fa tramite tunneling
multicast-in-unicast, e dunque al piu' deve abilitare il protocollo 4.
<---------------------------------->
Buttha
-- 
* Per rispondere in email rimuovere la prima i dall'indirizzo
* Unix E' user-friendly, solo che e' un po' selettivo su chi sono i
  suoi amici.

 pim     103     PIM             # Protocol Independent Multicast
ahh c'ho il services arretrato ;)
ma e' possibile che siano errori nelle configurazioni di qualche provider o
sono fenomeni voluti/necessari?
chi puo' dirlo eh?
thanks

Puoi anche bloccarli e non loggare.
In che modo?  Sono proprio a zero in questo campo ed ho iniziato da poco
a dimenarmi fra tcp udp ipchains e compagnia bella...
Cmq sono abbastanza soddisfatto di quello che sono riuscito a tirare su :)
-- 
	     .
 ____      _ |   UIN:82766812  
|_\|_)  /o( -*-. Fiat500Web: 
http://www.poli.studenti.to.it/~f.sirna
 
|  \ \|\||_) |   mailto: farnis(at)libero(dot)it 
------------ .   On a 486DX/133 with Linux Debian 2.2 (Potato)

 a dimenarmi fra tcp udp ipchains e compagnia bella...
direi che se inserisci una rule prima della #41 (quella che ti
logga), qualcosa tipo
/sbin/ipchains -A input -i ppp+ -p 103 -s 
224.0.0.13/32
 65535 \
   -d tuo_ip 65535 -j REJECT 
a) sono digiuno e reduce da 2 grappine (e solo solo le 8.41) quindi
senz'altro sparo ca**ate (e domani sara' peggio ...)
b) credo sia meglio REJECT perche' siamo sotto natale...
-- 
nebbia

b) credo sia meglio REJECT perche' siamo sotto natale...
in che senso? Deny, non va bene?


 ha scritto nel messaggio
news:5t6g29...@bifrost.niflheim...

sono necessari nel senso che se io mi compro na classe C ho il mio AS
(authonomous system) e uso il bgp per unirmi alla nuvola del mio isp allora
quel multicast e' "solo" cio' che mi fa esistere. a te potrebbe essere
abbastanza indifferente.
non ho esperienza in merito per dire se si puo' dire aaad un router di
multicastare solo attraverso una interfaccia o no.
un mayhem che con ospf decido io ma con il resto boh!
--
La strada dell'eccesso porta al palazzo della saggezza. O.W.
(
www.openwall.com
)

 perdonato :))
la grappa di prima mattina mi uccide
-- 
nebbia

> ipchains: can only specify ports for icmp, tcp or udp
Non funge lo stesso...nemmeno se tolgo il -p 103..
Ho provato alcune combinazioni, ma nulla...


 Ho provato alcune combinazioni, ma nulla...
boh, da me un semplice
ciemme:~ # /sbin/ipchains -A input -i ppp0 -p 103 -j REJECT
oppure
ciemme:~ # /sbin/ipchains -A input -i ppp0 -p 103 -s 
224.0.0.13/32
-d 0/0 -j REJECT
funzionano, (credo) infatti 
ciemme:~ # ipchains -L
Chain input (policy DENY):
target  prot opt    source   destination ports
[...]
REJECT  103 ----  anywhere    anywhere   n/a
REJECT  103 ----  224.0.0.13  anywhere   n/a 
[...]
Chain forward (policy REJECT):
Chain output (policy REJECT):
sinceramente non l'ho provato, ma direi che se inserisci questa riga
prima della regola che ti logga tutto, dovresti evitare di vedere il
protocollo 103 in 
kern.info
 ;)
-- 
nebbia