Newsgroup: it.comp.sicurezza.windows
Titolo: lsass.exe e firewalling

Ciao a tutti.... ho il Norton Internet Security che ogni tanto mi segnala un
tentativo di connessione da parte di un sistema remoto a questo file,
appartenente alla Microsoft... č tutto regolare? Che faccio, consento o lo
blocco? Posto qua di seguito il msg di errore... Grazie ancora per le
risposte!
Data: 22/09/2002 Ora: 22.22.24
Questa volta l'utente ha scelto di comunicazioni "bloccare". Dettagli:
Pacchetto UDP in entrata
Indirizzo locale, servizio (0.0.0.0,isakmp(500))
Indirizzo remoto, servizio (218.55.100.172,isakmp(500))
Nome processo "C:\WINDOWS\system32\lsass.exe"

 Indirizzo remoto, servizio (218.55.100.172,isakmp(500))
                             ^^^^^^^^^^^^^^^^
inetnum:      218.50.0.0 - 218.55.255.255
netname:      HANANET
descr:        Hanaro Telecom Co.
descr:        Kukje Electornics Cneter Bldg. 1445-3 Seocho-Dong Seocho-Ku
descr:        ************************************************
descr:        Allocated to KRNIC Member.
descr:        If you would like to find assignment
descr:        information in detail please refer to
descr:        the KRNIC Whois Database at:
descr:        "
http://whois.nic.or.kr/english/index.html
"
descr:        ************************************************
country:      KR
admin-c:      IS37-AP
tech-c:       SH243-AP
mnt-by:       MNT-KRNIC-AP
mnt-lower:    MNT-KRNIC-AP
changed:      
hostm...@apnic.net
 20011122
status:       ALLOCATED PORTABLE
source:       APNIC
person:       Inyup Sung
address:      Hanaro Telecom Co.
address:      Kukje Electornics Cneter Bldg. 1445-3 Seocho-Dong Seocho-Ku
address:      SEOUL
address:      137-070
country:      KR
phone:        +82-2-106
fax-no:       
+82-2-6266-6483
e-mail:       
in...@hananet.net
nic-hdl:      IS37-AP
mnt-by:       MNT-KRNIC-AP
changed:      
hostm...@nic.or.kr
 20010523
source:       APNIC
Dovresti chiedere a questi signori cosa volevano dal tuo kerberos...
Hai amici in Korea?
A.
icq# 18752702
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 Nome processo "C:\WINDOWS\system32\lsass.exe"
Bloccalo pure, se non stai usando ipsec. Guarda che tu non abbia
dei criteri ipsec impostati sulla tua macchina. Probabilmente la
causa e' un tentativo di connessione con qualcuno che usa ipsec,
eventualmente con il fallback ad una connessione normale. Non ti
e' noto quell'indirizzo? Stai usando qualche software di sharing
di file p2p?
Fabio

 chiavi per ipsec)
Yep.
Vero.
Cannato clamorosamente ;-(
A.


 di file p2p?
In effetti stavo utilizzando emule, un client per la rete edonkey.... dici
che sia per quello? Cmq ho notato che anche bloccandolo non succedeva niente
(nessun errore da parte di emule)...
Grazie per la risposta!

 Vero.
Ehmn... quindi? :) Dici che č meglio impostare una rule sul blocco completo?

 (nessun errore da parte di emule)...
Probabilmente quel tizio usa ipsec sulle porte di emule e ha il fallback
ad un protocollo in chiaro in caso di errore nel stabilire una sessione
ipsec. Oppure semplicemente non si e' instaurata la sessione e tu non te
ne sei accorto perche emule e' passato ad un peer successivo. 
Fabio