Newsgroup: it.comp.sicurezza.windows
Titolo: Strane segnalazioni di Zone Alarm

Premessoo che la mia connessione ADSL è protetta da un firewall zyxel sul
quale sono state chiuse tutte le porte dalla wan alla lan, non riesco a
spiegarmi questo fatto.
Da qualche giorno ho installato Zone Alarm  che con una certa frequenza
(alcune volte in un ora), mi segnala di aver bloccato un'accesso al mio
computer su una porta UDP che cambia sempre partendo intorno a 1000 a
salire.
L'indirizzo IP di origine è il DNS primario del mio provider.
A parte il fatto che non sò se sia normale che il DNS del proprio ISP mandi
dei pacchetti UDP, ma quello che non mi spiego è come facciano a passare il
Firewall zyxel.
Dato che sono connesso Wirless ( WPA/PSK TKIP con IP statico senza DHCP e
con controllo del MAC e AP nascosto), mi è venuto il dubbio che qualcuno
nelle vicinanze (vedo circa 10 reti senza fili), sia in grado di mandarmi
pacchetti forgiati.
C'è qualcuno che sà dirmi se stò dicendo stupidate e di che portata?
Grazie
Roberto

 
Mah... tutta la fatica di trapanarti la chiave di sicurezza WPA per poi
mandarti solo qualche pacchetto DNS forgiato?
Controlla meglio le impostazioni di Zone Alarm, e cerca di verificare se
i pacchetti sono correlati con le tue navigazioni (es. quando chiedi un
nuovo sito web, o scarichi la posta).
-- 
Mario 'Reliant' Pascucci
http://www.ismprofessional.net/pascucci/

Ciao Mario e grazie per la risposta.
Mi manca un pò di RTFM per quanto riguarda il protocollo TCP/IP.
Cercherò di scoprire qual'è il servizio windows che fa le query al DNS.
Ma non mi spiego una cosa: se su un firewall (hardware) tutte le porte WAN 
to LAN sono chiuse come fà il DNS a rispondere alle query?
Ciao
"Mario 'Reliant' Pascucci" <m.pas.n...@libero.it.invalid> wrote in 
message news:1165684524.2961.9.camel@defiant...


 to LAN sono chiuse come fà il DNS a rispondere alle query?
Questo avviene perchè il firewall conosce il concetto di stato delle
connessioni:
http://it.wikipedia.org/wiki/Firewall
 (vai su stateful inspection)
La prossima volta quota bene! 
http://wiki.news.nic.it/QuotarBene
Gufo
-- 
  ,___,          Armageddon means never having to say you're sorry.
  (9v9)
  (_^((\		    .: May the owl be with you :.
-^-"-"-\\-^-                  
http://gufo.dontexist.org

 
Probabilmente è Windows update o qualche altro, ovviamente sei anche tu
che le generi quando navighi o leggi la posta, non sempre perché XP ha
un meccanismo di caching delle richieste DNS (non chiede ogni volta la
stessa domanda, insomma).
Per quanto riguarda il firewall (che sia hardware o software non fa
differenza alcuna: quelli hardware sono computer con un programma di
firewall all'interno) il meccanismo è questo (più o meno):
* tu mandi una query dns al server
* il firewall intercetta questo pacchetto (UDP) e capisce che fra poco
ne arriverà uno di risposta dall'indirizzo IP di destinazione (ossia
quello del server)
* il server riceve e risponde
* il firewall intercetta il pacchetto di risposta e "smette di
aspettare"
Detto in modo molto impreciso, ma per farti capire, è come se il
firewall tenesse aperta una porta SOLO per il pacchetto di risposta alla
tua domanda, e solo dopo la tua domanda.
Ovviamente se non c'è risposta entro un certo tempo il firewall smette
comunque di attendere risposta. 
Per un po' di infarinatura su come funzionano i firewall ed un po' di
protocollo IP, prova a dare uno sguardo alla mia (vecchia) guida:
http://www.ismprofessional.net/pascucci/?p=17
in particolare ai capitoli 2 e 3.
Magari ti torna utile.


 Questo avviene perch il firewall conosce il concetto di stato delle


 E scusate per l'errore di quote...forse stavo postando in HTML....
Mmmmmmmmmm...recidivo!
Non stavi postando in html, solo che devi tagliare le parti di messaggio
non importanti ai fini della risposta e *non* top postare.
Rinnovo l'invito a spendere 5 minuti per leggere le linee guida ;-)


message news:1166283910.2968.18.camel@defiant...


 Rinnovo l'invito a spendere 5 minuti per leggere le linee guida ;-)
Ricevuto!  Grazie! ;)