Newsgroup: it.comp.sicurezza.windows
Titolo: Intrusione....

Ho Internet da poco e quindi non sono molto esperto su certe cose. Da 2
giorni ho installato un firewall (Zone Alarm), e questo programma, ad ogni
connessione, mi segnala che c'è una intrusione... sempre della solita
persona. Cosa posso fare per farla smettere? Qui sotto riporto (con i dovuti
asterischi) quello che mi segnala Zone Alarm.
Scusate per la lunghezza del thread e per la domanda da totale inesperto.
*******************************************
Detailed information about 213.21*.***.58, the IP address of the computer
that caused the alert you received from Zone Alarm, is provided in the Whois
Report below.
The Whois Report includes the name, address and contact information for the
Internet Service Provider (ISP) who administers the block of IP addresses
that includes 213.21*.***.58. The report probably does not list the actual
administrator of the computer whose IP address is 213.21*.***.58. You should
not assume that individuals listed in this report are responsible for the
alert you received on your computer.
NETWORK: 213.21*.***.58 [8]
inetnum:      213.21*.***.56 - 213.21*.***.63
netname:      TODAY-NET-1
descr:        TODAY S.r.L.
descr:        Rome, Italy
country:      IT
admin-c:      MO2094-RIPE
admin-c:      TC164-RIPE
tech-c:       GF7444-RIPE
tech-c:       FDC4-RIPE
status:       ASSIGNED PA
rev-srv:      
ns.it.colt.net
rev-srv:      
ns2.it.colt.net
mnt-by:       COLT-IT-MNT
changed:      
gera...@colt-telecom.it
 20011227
source:       RIPE
Ciao.______________________________
Marco........................................Torino

 alert you received on your computer.
non è ke usi programmi di file sharing ke sfruttano le konnessioni UDP e
quindi sono rilevabili kome intrusioni?
magari l'ip ke kontinua a insidiarti altro non è ke un user di qualke server
ke tenta di prenderti un file da te kondiviso...
Ale


Ho WinMx, ma comunque č spento. Cioč, quando non scarico da questo programmo
chiudo il server. Tra l'altro ricevo parecchie intrusioni (anche da ip
diversi) in un solo giorno... Non so se sia normale ciň...
Ciao!
Marco

 ha scritto nel messaggio
news:ae5g2v$3uomf$1...@ID-147728.news.dfncis.de...



No...
Marco

 connessione, mi segnala che c'? una intrusione... sempre della solita
Sicuro sicuro che sia una intrusione?
Che tipo di intrusione ti segnala ZA?
-- 
          |Save our planet!
   Ciao   |Save wildlife!
  roberto |For your E-MAIL use ONLY recycled Bytes  !!
          |roberto poggi   
rpo...@softhome.net

diversi) in un solo giorno... Non so se sia normale ciň...
In linea di massima e' normale, non sono intrusioni ma tentativi. Hai
letto le securfaq? 
www.securfaq.usenet.eu.org
-- 
Lapalissiano
Icq 57269703

 Che tipo di intrusione ti segnala ZA?
Riporto quello che mi ha scritto l'ultima volta...
********The firewall has blocked Internet access to your computer (FTP) from
208.2.***.9 (FTP) [TCP Flags: S].*******************
Mi arrivano msg di questo tipo ogni 40 - 50 minuti... Mah...

 Icq 57269703
L'ho letta ora...
Grazie.

Mi arrivano msg di questo tipo ogni 40 - 50 minuti... Mah...
li ricevo in continuazione anche io... ho rinunciato a capire cosa
siano...
quelli che mi lascino piu' perplesso sono i tentativi di accesso
tramite netbios... ho letto un po' di post passati in proposito ma non
ci ho capito nulla...
ciao...
Filippo
ICQ# 70258187
http://web.tiscali.it/myaustralia

 non ci ho capito nulla...
Purtroppo non vuol dire niente, se non specifichi quale sia la porta
di destinazione. Il traffico in ingresso sulla porta 137/udp, quando
proveniente dalla stessa porta, e' indice di una tentata risoluzione
inversa del tuo indirizzo ip fatta da server web basati su windows e
mal configurati (di solito iis), sistemi di logging degli accessi su
macchine windows, uso di programmi p2p su macchine windows, ecc.
Fabio

 Mi arrivano msg di questo tipo ogni 40 - 50 minuti... Mah...
1,[11/Jun/2002 22:13:24] Rule 'Netbus': Blocked: In TCP, 
212.210.***.38:4113->localhost:12345, Owner: no owner
1,[11/Jun/2002 22:13:28] Rule 'Netbus': Blocked: In TCP, 
212.210.***.38:4113->localhost:12345, Owner: no owner
1,[11/Jun/2002 23:33:44] Rule 'Netbus': Blocked: In TCP, 
212.210.***.38:3699->localhost:12345, Owner: no owner
1,[11/Jun/2002 23:33:46] Rule 'Netbus': Blocked: In TCP, 
212.210.***.38:3699->localhost:12345, Owner: no owner
1,[12/Jun/2002 01:09:26] Rule 'Netbus': Blocked: In TCP, 
212.210.***.38:4121->localhost:12345, Owner: no owner
1,[12/Jun/2002 01:09:30] Rule 'Netbus': Blocked: In TCP, 
212.210.***.38:4121->localhost:12345, Owner: no owner
Se ti puo' esser di consolazione...;)
Questo stronzo scannava probabilmente un range di indirizzi IP alla 
ricerca di server netbus in esecuzione ed ad intervalli regolari 
ripartiva il giro.
Che triste vita e' quella dei lamerz...
-- 
maFF has left the building...
*L'unico computer sicuro e' quello spento, ma se decidiamo di 
accenderlo, prima montiamo il cervello*

The firewall has blocked Internet access to your computer (HTTP) from 203.54.48.158 (TCP Port 3071) [TCP Flags: S].
Poi ci sono i tentativi tramite NetBus, adesso aspetto qualche minuto
e di sicuro il firewall mi blocchera' qualche accesso di quel tipo...
 :)))))))))))
Parlando ancora di server vulnerabili vorrei chiederti cosa intendi
per server vulnerabile?
thanx e ciao...


 per server vulnerabile?
Server (http, ftp, ssh, dns, smtp, imap...) che per una cattiva,
o approssimativa, configurazione o per la presenza di bug, danno
la possibilita' di guadagnare un accesso alla tua macchina senza
pasare attraverso i canali di accesso/autenticazione previsti.
Fabio

netbus in esecuzione il pacchetto verrebbe bloccato ugualmente.
capisco pure qui...
grazie delle spiegazioni...


 successo dopo i tentativi di accesso da scanner e da worm?!
Se avessi avuto in esecuzione un server http il worm avrebbe tentato
sfruttare delle vulnerabilta' o misconfigurazioni del server, con lo
scopo di insediarsi. Vedi codered o nimda. Se tu non hai, come penso
io, nessun server http in esecuzione, o se tu lo avessi ma non fosse
vulnerabile, allora non sarebbe successo niente (qualche riga dentro
i file di log).
Se avessi avuto in esecuzione un server sshd lo scanner avrebbe solo
preso, probabilmente, il banner del tuo server, in modo da creare un
elenco di coppie ip+versione_sshd da usarsi al momento opportuno. Se
come penso, tu non hai nessun server sshd in esecuzione, non sarebbe
successo niente.
Fabio
PS: e' possibile, ovviamente, che vengano efettuate scansioni per la
    cattura di banner sulla porta 80 e che esistano worm che usano i
    protocolli ssh e vulnerabilita' dei server sshd per propagarsi.