Newsgroup: it.comp.sicurezza.windows
Titolo: Problema Firewall

Salve,
da qualche giorno il firewall ha preso ha segnalarmi un numero incredibile
di tentativi di intrusione (più di 200 in 15 minuti di connessione), cosa
che non è mai successa fino ad ora.
Ho fatto scansioni antivirus e anti ad-ware ma hanno avuto tutte risultati
negativi.
Ho paura che, avendo a quanto pare un ip fisso, sia finito in qualche
lista o qualcosa del genere.
Ma il firewall non avrebbe dovuto mascherare il mio ip verso l'esterno?
E soprattutto, non posso risolvere il problema in nessun modo?
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 E soprattutto, non posso risolvere il problema in nessun modo?
No no... per il resto leggi quello che ha detto due di nano nell'altro
post...
Ciao da Stefano

 cosa si tratta) non hai nulla da temere.
Uso l'ultima versione di zonealarm, mi rendo conto che un software free da
poche garanzie, perň fino ad ora non ho avuto grossi problemi, magari
adesso vedo di passare ad altro.
Ho capito che secondo te se il firewall blocca le intrusioni, non č
necessario fare altro. Ma ad  ogni modo sarebbe possibile fare qualcosa?
In una decina di ore circa sono arrivati a piů di 1500 tentativi di
intrusione, non mi sembra una cosa normale visti i numeri che ho osservato
fino ad oggi.
Ma poi che senso avrebbe continuare incessantemente a provare ad accedere
visto che i tentativi vanno a vuoto?


 connessioni "strane" dall'interno verso l'esterno.
Perņ, se si tratta di trojan potrebbe anche starci una connessione verso
l'interno.
-- 
Mangiafuoco

 che non č mai successa fino ad ora.
Prova a chiudere le porte 135 e 445.
-- 
Mangiafuoco

Mangiafuoco ha scritto:



-- 
questo articolo e` stato inviato via web dal servizio gratuito 


> > Prova a chiudere le porte 135 e 445.
Effettivamente la maggior parte delle intrusioni coinvolge queste porte,
che ora dovrebbero essere sotto controllo. 
La cosa che mi sembra ancora più strana è che pensavo di avere un ip fisso
(l'avevo scritto in altri post) perchè per diversi giorni da quando avevo
cominciato a effettuare i controlli non era mai cambiato, oggi però ho un
ip diverso ma la situazione non è migliorata.
Inoltre il 65% circa (li ho contati.. su centinaia) dei tentativi
provengono da tanti ip diversi ma che hanno il mio stesso provider
(atlanet) e questo prima non mi era mai successo...
a questo punto posso pensare che sia semplicemente cambiato qualcosa a
livello di traffico del mio provider e quindi (spero) sia una cosa
innocua..
boh


 ne sento parlare.
Non è da escludere nemmeno una simile eventualità, ma non era quello che
intendevo: certamente saprai che tanti trojan sono niente altro che
applicazioni client/server che parlano fra loro.
-- 
Mangiafuoco

 innocua..
Non credo, registro gli stessi attacchi pure io quando mi connetto alla
rete, quelle porte sono solitamente oggetto di particolari attenzioni.
-- 
Mangiafuoco

 sfugge qualcosa?
Direi di si. Se contatti altri fratelli avrai una connessione uscente, ma
ne avrai una entrante quando un tuo fratello deciderà di contattare te.
-- 
Mangiafuoco


Due di Nano,touché! :-P




Ma le due cose sono indipendenti. Se entro, pulito, in una rete impestata,
i worm sulle altre macchine tenteranno di contattare o impestare la mia, e
in entrambi i casi il firewall fara' fallire il tentativo, e resto pulito.
Viceversa, se sono impestato io, mi connettero' ad altri - oppure rimarro'
in attesa, tipicamente su canali IRC buffi, per zombie network, usando una
connessione uscente - e in tutti i casi il firewall "à la XP" rimane zitto
perche' non controlla le connessioni uscenti.
Se poi sono l'unico infetto della mia rete ci faro' un casino di tentativi
di connessione uscente, ma non ci sara' mai un tentativo entrante.
Riassumendo: il traffico entrante sul firewall _difficilmente_ e' connesso
ad uno stato di pulizia o infestazione della macchina (diverso il discorso
per i programmi P2P), ovvero, dall'uno difficilmente si puo' indovinare l'
altro.
Leonardo e i suoi .024 EUR (IVA compresa)
-- 
Microsoft divulghera' le tue informazioni personali senza previa notifica,
se richiesto per legge o nella ferma convinzione che tale azione sia
necessaria per [...] proteggere e difendere i diritti [...] di Microsoft.
                             Accordo di Licenza di Microsoft Messenger 6.1

 precedente post in cui parlo di firewall configurato bene.
Va beh sei già alle cazzate. Forse ti riferisci a quando scrivevi "se hai
il firewall configurato bene non corri rischi" oppure "metti outpost al
posto di zone alarm"? Ma ROTFL!!!! Profondi interventi tecnici degni di
it.uncinetto. Basta così, per adesso ho letto abbastanza idiozie da parte
tua in questo thread.
-- 
Mangiafuoco

 Ma le due cose sono indipendenti.
Non le troverei così indipendenti se l'una è in risposta all'altra e dai
per scontato che il firewall blocchi sempre le connessioni dall'esterno.
Per il resto sono d'accordo con quel che scrivi nel tuo messaggio. 
Però in questo caso Salvatore in testa al thread lamenta un elevato numero
di connessioni entranti nonostante il suo firewall. Non vedo come si possa
dire, nel caso di Salvatore, che questi tentativi di accesso dall'esterno
non possano dipendere da un problema interno (i.e. trojan e compagnia
bella).
-- 
Mangiafuoco

 sega.
Quindi tu sei nel tuo stesso killfile?
-- 
IBM: Iconoclastic Bilateral Monopoly
News 2000 [v 2.06] / StopDialer / PopDuster - 
http://www.socket2000.com
Akapulce portal: 
http://www.akapulce.net

per scontato che il firewall blocchi sempre le connessioni dall'esterno.
Be', dovrebbe. Nel caso specifico l'unica spiegazione e' che il firewall
sia configurato male, ovvero sia stato disattivato.
Personalmente, vista la diffusione di XP, penso sia solo questione di un
po' di tempo prima che compaiano i primi virus che ti disattivano "quel"
firewall... magari piu' o meno di nascosto... e aprono le share verso l'
esterno.
Leonardo
-- 
In nessun caso Microsoft, o i suoi fornitori, saranno responsabili per
[...] omissione di rispetto di obblighi, incluso quello di comportarsi
in buona fede o ragionevole diligenza
                                     -- Contratto di Licenza Microsoft

innocua..
Si' e no. Come ha detto giustamente Mangiafuoco, quelle porte sono molto
gettonate.
Se tu non avessi firewall e patch di sistema, t'avrebbero aperto come la
proverbiale cozza. Diciamo che e' innocua come una sparatoria - non c'e'
motivo di preoccuparsi, a patto di rimanere nell'autoblindo :-)
Probabilmente e' l'ennesima ondata di virus/worm che si sta diffondendo.
http://www.dshield.org/


 E soprattutto, non posso risolvere il problema in nessun modo?
Dunque ringrazio tutti per il loro aiuto, innanzitutto e mi scuso per
essere sparito nel nulla senza ringraziare ma ho avuto diversi problemi
con la connessione (ahimè) in questi giorni.
Dunque il problema sembra apparentemente risolto, e dipendeva
probabilmente da più fattori concomitanti:
1)Ho scoperto di avere un trojan (non trovo più il log se no dicevo anche
quale-- "qualcosa"tech..) che tra tutti i software antivirus e antispyware
mi ha rilevato solo sbybot search & destroy e che ho rimosso, non so se
avesse però qualche responsabilità diretta, perchè il firewall non hai mai
segnalato nessun tentativo in uscita..
2)-dopo aver passato questi giorni a studiare per capirci qualcosa in più
e aver sentito diversi pareri ho scoperto di aver in qualche modo (che mi
sfugge) attivato alcune applicazioni a corredo della mia scheda di rete
che mi tenevano aperte e in listen DECINE di porte contemporaneamente e
quindi il flooding di tentativi di intrusione da parte di indirizzi ip
provenienti dal mio stesso provider era probabilmente un infezione di
worms o simili già presenti in qualche pc della mia subnet che
improvvisamente hanno iniziato a fare lo scan delle mie porte fino ad
allora chiuse
Il problema è che queste applicazioni non si palesavano in maniera
evidente  e a pc appena connesso, chiudendo tutto quello che trovavo
aperto non riuscivo a capire chi tenesse ste benedette porte aperte e
ovviamente quella fetecchia dello zonealarm non mi hai mai avvisato di
niente.
finchè 
3)non ho buttato nella monnezza zonealarm e mi sono installato il sygate
(versione free)- non c'è paragone - che mi ha fatto vedere TUTTO ma
proprio tutto quello che voleva accesso alla rete o che teneva porte
aperte, chiudendo questi, il flooding è magicamente sparito.
Ora mi rendo conto che per molti avrò scritto delle banalità, ma il
sottoscritto - ignorante -  partendo da zero per farsi una idea chiara ci
ha messo qualche giorno!
Grazie per le dritte.
