Newsgroup: it.comp.sicurezza.windows
Titolo: ADSL + BlackIce + attacchi da IP strano...

Non sapendo quale sia il gruppo piu' indicato invio questo messaggio a
tutti e due i gruppi.
Mi hanno installato da qualche giorno la teleconomy adsl, e ne sono
parecchio soddisfatto.
Per quello che puo' servire, essendo connesso per molto piu' tempo, ho
installato un firewall, BlackIce.
Ebbene, sin dal primo minuto di connessione BlackIce segnala dei
presunti attacchi di tipo sconosciuto ("Unknown IP protocol") sempre
dal seguente IP: 151.99.28.20 e con una frequenza di uno ogni pochi
secondi.
Facendo una ricerca su un WhoIs 
http://www.ripe.net/index.html
 ottengo
il risultato che riporto in coda al messaggio.
Sapreste dirmi di che si tratta?
Come faccio a saperne di piu'?
Lo devo considerare davvero un attacco o un qualcosa legato al
funzionamento della stessa ADSL? Prima quando usavo una normale flat
Aruba con isdn o pstn BlackIce non dava mai questo tipo di messaggi.
Grazie di tutto e a presto!
Ciao
Nonno Paolo
********************************************
segue risultato del who-is
inetnum:      151.99.0.0 - 151.99.127.255
netname:      INTERBUSINESS-BACKBONE
descr:        InterBusiness Backbone
country:      IT
admin-c:      CD2-RIPE
tech-c:       LT363-RIPE
tech-c:       FG82-RIPE
tech-c:       GLM2-RIPE
status:       ASSIGNED PA
notify:       
net...@cgi.interbusiness.it
mnt-by:       INTERB-MNT
changed:      
cgia...@cgi.interbusiness.it
 19980922
source:       RIPE
route:        
151.99.0.0/16
descr:        INTERBUSINESS
origin:       AS3269
notify:       
net...@cgi.interbusiness.it
mnt-by:       INTERB-MNT
changed:      
cgia...@cgi.interbusiness.it
 19990209
source:       RIPE
person:       Camillo Di Vincenzo
address:      Telecom Italia S.P.A.
address:      Direzione Rete
address:      Via Val Cannuta, 250
address:      I Roma
address:      Italy
phone:        +39 6 36885588
fax-no:       +39 6 36885661
e-mail:       
camillo.d...@telecomitalia.it
nic-hdl:      CD2-RIPE
changed:      
mauro.c...@telecomitalia.it
 20001031
source:       RIPE
person:       Luca Tommasi
address:      Telecom Italia spa
address:      Divisione Clienti Business
address:      Via Oriolo Romano, 257
address:      I Roma
address:      Italy
phone:        +39 6 36879293
fax-no:       +39 6 33659922
e-mail:       
tom...@cgi.interbusiness.it
nic-hdl:      LT363-RIPE
changed:      
cgia...@cgi.interbusiness.it
 19980326
source:       RIPE
person:       Fabio Ginocchi
address:      Telecom Italia
address:      Mercato Italia Clienti Top
address:      Customer Care
address:      Via Oriolo Romano, 257
address:      I Roma
address:      Italy
phone:        +39 6 36879293
fax-no:       +39 6 33659922
e-mail:       
gino...@cgi.interbusiness.it
nic-hdl:      FG82-RIPE
mnt-by:       INTERB-MNT
changed:      
net...@cgi.interbusiness.it
 20000217
source:       RIPE
person:       Gian Luca Mattu
address:      Telecom Italia SpA
address:      WS.T.SITD.CNA
address:      Via Oriolo Romano, 257
address:      I-00189 Roma (RM)
address:      Italy
phone:        +39 6 36871
fax-no:       +39 6 36879182
e-mail:       
ma...@cgi.interbusiness.it
nic-hdl:      GLM2-RIPE
changed:      
dom...@cgi.interbusiness.it
 20010112
source:       RIPE

netname:      INTERBUSINESS-BACKBONE
Sono probabilmente dei ping provenienti dalla dorsale interbusiness, a
naso credo che semplicemente si accerti che la tua linea sia attiva.
In pratica, vorresti chiudere fuori la tua linea...
Io ribadisco sempre che è meglio informarsi in giro e capire bene il
meccanismo di dialogo di porte e indirizzi coi servizi/client di
sistema, prima di installare a capocchia programmi inutili senza
sapere cosa vogliano dire solo perché "m'ha detto mio cuggggggino che
con questo non mi guardano le foto porno che ho sull'hard disk", e che
puntualmente poi sono fonte di casino.
-- 
Massimo Bacilieri AKA Crononauta
ulib...@libero.it
 ; ICQ UIN: 4005815
"Se tutto è sotto controllo, stai andando troppo piano"
(Mario Andretti)


come giŕ ripetuto piů volte i firewall sono delle belle cose che perň
bisogna conoscere e saper utilizzare perchč se mal configurati fanno piů
male che bene al contrario una volta che si conosce come lavora lo specifico
firewall offre funzioni che possono essere usate a scopi diversi dal
semplice firewall
forse mi sbaglio (anzi sicuramente) ma penso che chi sconsiglia i firewall
siano poi quelli che si divertono con portscan e "divertimenti" simili
ciao
Airwolf

 secondi.
Probabilmente, la solita schifezza multicasting.


non per essere polemico ma a da quello che ho capito sei in ADSL con telecom
(li considero dei totali incapaci) io con tiscali ricevo "vistite" sulla
porta 111 o portscan ecc... da tutto il mondo ma non da indirizzi tiscali
sconosciuti, comunque a parte questa mia opinione personale ho verificato
che l'ip che ha scritto non è un loro DNS anche se fa parte del loro blocco
di IP (non ho approfondito la ricerca) quindi non avendo la certezza di cosa
sia proverei a bloccarlo per un giorno verificando se a livello di
navigazione, posta ecc... ci siano dei problemi, se non ci sono
problemi....... è giusto che quell'indirizzo non tenti e non acceda al tuo
computer
ciao
Airwolf

computer
Parli di "accedere", ma devo ricordare una volta di più che uno ti può
mandare 5 milardi di pacchetti da dove vuole, ma se sul tuo sistema
*non c'è* un servizio che risponda a quei pacchetti, è automaticamente
_come_ avere il firewall.
A parte che non ci ha detto verso quale porta era diretto, il fatto
che fosse "protocollo ignoto" fa capire che *non* era un tentativo di
intrusione, dato che per veicolare i dati che voglio trafugare avrei
*a maggior ragione* necessità di un protocollo di trasporto.
Più probabilmente, per come la penso io, è il programma che ha male
interpretato chissà cosa, oppure è stato configurato coi piedi, oppure
è una porcheria di programma.


 bisogna conoscere
Gia'.
Infatti, Black Ice _non e'_ un firewall.

siano poi quelli che si divertono con portscan e "divertimenti" simili
No, è solo gente che sa come lavora e a cosa serve un firewall. E
dell'altro giorno un lungo thread sull'argomento, non ripeterò tutto.
Posso mettere in rete il mio win98, che ha poco più della
configurazione di default, e tu puoi passare le giornate a fare
portscan, tentivi di intrusione e altro, senza minimamente riuscirci.
Non puoi entrare per una porta che non esiste, volerci mettere a tutti
i costi un firewall davanti è una cosa senza alcun fondamento tecnico.
Il firewall ha senso solo se sei su una rete, hai dei servizi, e vuoi
discriminare l'accesso ai servizi del tuo sistema a seconda degli
indirizzi di provenienza; oppure, meglio, se devi fare da filtro e
gateway tra due reti (es. tra LAN e WAN). Non sono certo problemi che
riguardano chi ha Win98 e sta chattando.
Se poi chatti con un Win98 che fa da "server" di rete, non ti vorrei
mai come amministratore della mia LAN...



Spiegati meglio, se non è un firewall che cosa è?? è un software atto a
difendere un pc o una rete da intrusioni non autorizzate; che poi non dia
una sicurezza del 100% è un'altro paio di maniche

 Spiegati meglio, se non è un firewall che cosa è?? 
Una sorta di intrusion detection.
Un firewall e' ben altra cosa.


il programma fa ciò che gli è stato detto di fare quindi......
Per chiudere l'argomento non sono quì a dire che i firewall sono perfetti,
infallibili o cose simili, sono programmi utili che danno certe informazioni
che obbligatoriamente vanno verificate con altri sistemi, al termine di
queste verifiche allora si può trarre le conclusioni e agire di conseguenza.
ciao
Airwolf

 Un firewall e' ben altra cosa.
sono interessato, dammi la tua definizione??

 riguardano chi ha Win98 e sta chattando.
non uso ormai da due anni win98, non chatto e neanche io vorrei che tu
amministrassi la mia rete, al limite dell'assurdo è molto più sicura una
rete su cui non devono mai esserci disservizi; quindi raramente si possono
fare esperimenti che compromettano la sicurezza.
airwolf


Di firewall?
http://netfilter.kernelnotes.org
 
<G>


Su questo sono d'accordo.
Cmq questa pratica non esiste solo sotto Windows ma anche sotto Linux dove
conosco _molte_ persone che configurano maniacalmente IPCHAINS, lasciando
aperto il server FTP nella versione suscettibile ad exploit palesi.
Essere paranoici è sbagliato essere previdenti no. Non trovi?
Saluti,
Luca

 secondi.
Una volta accertato che questo attacco č un falso allarme, basta dire a
Black Ice di ignorarlo, cosě non sarai piů disturbato da segnalazioni
inutili!
Ciao

queste verifiche allora si può trarre le conclusioni e agire di conseguenza.
In definitiva, onde evitare di usare un programma configurato con i
piedi e quindi occupare inutilmente il prezioso spazio dell'hard disk,
vi do qualche altra informazione sul famoso "attacco" segnalato da
BlackIce e Vi chiedo nel contempo qualche dritta su come dovrebbe
essere fatta una corretta configurazione dello stesso.
Le uniche notizie che posso aggiungere a quelle date in precedenza,
sempre ammesso che siano utili, sono le seguenti:
- Attack: Unknown IP protocol
- Parameter(s): protocol=103
- Attack ID: 2000002
- Severity: 79
I dati restanti sono quelli relativi a orario, IP della vittima, IP
dell'intruder etc.
Purtroppo non ho altro, e BlackIce non dice quale sarebbe la porta
interessata.
Vi ringrazio anticipatamente, soprattutto per i consigli che vorrete
darmi sulla corretta configurazione di BlackIce.
Mille grazie e a presto!
Nonno Paolo

   103     PIM         Protocol Independent Multicast
Sembrerebbe effettivamente un multicast
http://www.isi.edu/in-notes/iana/assignments/protocol-numbers


 cosa te ne fai di un computer senza nulla sopra, bel soprammobile
Senza __nessun__servizio__ sopra, c'e' differenza. Lui probabilmente ha
molte cose sul suo computer, ma nessun servizio, ergo dall'esterno non
ci si entra.
-- 
Abrogato l'art. 21 della Costituzione Italiana:
 
http://punto-informatico.it/petizione.asp
SecurFaq             : 
http://members.nbci.com/gouldukat/
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

fare esperimenti che compromettano la sicurezza.
Tali esperimenti non andrebbero mai fatti, e basta.
Altrimenti tieni un computer da "macello" sul quale provi di tutto e
vedi che accade.
Ma non andare in giro a dire che con BlackIce ora il tuo windows è più
sicuro, perché è una balla. Lo è tale e quale come senza, con la
differenza che ora puoi agevolmente prenderti infarti ogni volta che
uno prova a vedere sei hai - che so - netbus.
Ora, rispondimi: da un punto di vista di sicurezza, sono forse diversi
questi casi:
a) tentativo di connessione sulla porta 12345tcp, caduta perché sul
tuo sistema non ci sono servizi che girano sulla porta 12345tcp;
b) come "a", ma in compenso l'utente viene avvisato che uno ha tentato
l'accesso;
c) tentativo di connessione su 12345tcp, caduto perché un software di
sistema ha rigettato il pacchetto in arrivo, e l'utente viene avvisato
che detto pacchetto è stato cassato.
La differenza non esiste, cambia solo che ti *sembra* di essere sicuro
perché ora il sistema ti avvisa che sta rigettando qualcosa che prima
sarebbe stato rigettato ugualmente, ma in silenzio.


protegge
La domanda č: QUALI ATTACCHI? Da cosa ti proteggerebbe? Da tentativi
di intrusione su porte che non esistono? Da tentativi di attacco a
servizi inesistenti? Da portscan che comunque non troverebbero porte
utilizzabili? Da cosa??? 
-- 
Massimo Bacilieri AKA Crononauta
ulib...@libero.it
 ; ICQ UIN: 4005815
"Se tutto č sotto controllo, stai andando troppo piano"
(Mario Andretti)

 >fare esperimenti che compromettano la sicurezza.
forse non hai capito il senso del mio discorso: su una rete, non devono
esserci dei problemi, non di può installare e disinstallare programmi a
piacere al contrario su un pc personale lo si fa molto spesso (CD con le
riviste che utenti inesperti installano disinvoltamente) è questo che può
mettere in crisi la sicurezza.
aggiungo una cosa che ho letto tempo fa, su cui non ho un'opinione
personale, nessun firewall hardware sarà mai all'altezza di uno
software.......
per concludere una questa sterile discussione, visto che io ho la mia
opinione e tu la tua, io non ho mai consigliato di usare un firewall ho
semplicemente evidenziato i possibili vantaggi, al contrario tu lo hai
categoricamente sconsigliato, forse sei tu in errore???
ciao airwolf

categoricamente sconsigliato, forse sei tu in errore???
Io, agli utenti di Win9x/ME, continuo a suggerire di lasciar perdere
gli inutili firewall, che ai più inesperti fanno solo confusione e
danni, e di dotarsi di un buon antivirus, visto che i rischi per quel
sistema operativo sono solo di quel tipo.



amministratore di reti e beta tester, pensa come sei messo bene, io che
testo il futuro spingo verso una soluzione che tu arbitrariamente sconsigli.
(Win Xp ha una sorta di firewall integrato).

testo il futuro spingo verso una soluzione che tu arbitrariamente sconsigli.
"arbitrariamente"? A me  sembra di avere giustificato più  che bene i motivi
per i quali un firewall su un sistema solo client è una cagata.
Poi un "amministratore di rete"  che reputa un firewall software preferibile
a uno hardware... beh, si qualifica da solo.


 a uno hardware... beh, si qualifica da solo.
forse non sai leggere non è una mia opinione e NON ho voluto esprimerla
apposta, ma ho riportato la testimonianza di persone esperte di sicurezza, e
io al contrario di te ascolto e prendo in esame i pareri di chi ne sa più di
me.......... senza offendere più o meno velatamente le persone.
confermo che le tue motivazioni sono all'80% infondate, dovresti
approfondire di più l'uso dei software; i tuoi consigli sono ARBITRARI!!!!
quindi spero che le persone valutino con la propria testa i pro e i contro.
ho risposto alle tue provocazioni, anche se avevo considerato chiuso il
discorso, perchè mi sono sentito offeso, ma d'ora in poi non risponderò più
qualsiasi offesa o presa per il c**o tu mi voglia rivolgere.

approfondire di piů l'uso dei software; i tuoi consigli sono ARBITRARI!!!!
Ok, continua a usare i tuoi giocattoli.
Nel kill filter ho spazio.
plonk
-- 
Massimo Bacilieri AKA Crononauta
ulib...@libero.it
 ; ICQ UIN: 4005815
"Se tutto č sotto controllo, stai andando troppo piano"
(Mario Andretti)

 apposta, ma ho riportato la testimonianza di persone esperte di sicurezza
Voglio i nomi di chi affiderebbe la sicurezza di una rete semiseria a
Black Ice.
Poi ne riparliamo, eh?
--
Inviato il mar 15 mag 2001 15:14:55 CEST da 212.177.57.193
[212.177.57.193]
http://www.neuromante.net/