Newsgroup: it.comp.sicurezza.windows
Titolo: "Attack detection" con Outpost 1.0

Ciao a tutti e compliementi per come partecipate con sincerita' e
disponibilita' a questo bel newsgroup!
Ho una domanda da profano da farvi: da qualche tempo ho installato sul mio
pc di casa Outpost ed ho impostato i criteri di restrizione massima, ho
abilitato ad uscire solo alcuni programmi che uso piů spesso quando son
connesso come Winmx, OE (per le mail e i nwsgrp), IExplorer e basta (mi
pare), in questi giorni ho "scoperto" andando a vedere la sezione "Attack
detection" di Outpost che son soggetto a numerosissime richieste sulle porte
TCP e qualcuna su altri protocolli, ho provato a fare il "tracert" di questi
indirizzi i.p. ma tutti tranne il 127.0.0.1 (che mi dice "localhost", mi sa
che cerco di "attaccarmi" da solo!?) non sono mai raggiungibili.
E' normale questa cosa?
Possono essere altri utenti come me che stanno facendo girare dei "pacchetti
di rete" che passano da me come passano da tutti gli altri?
Oppure sono dei veri e propri "attacchi"?
Se sě: Outpost oltre a dirmi che ci sono, mi salva anche dal fatto che si
possano collegare e far danni (o spiare)?
Dato che ho impostato Outpost alle restruzioni massime, il mio i.p.address
non dovrebbe essere "invisibile"? Se s' come fanno sti "invasori" a sapere
che ci sono?
Grazie 1000 in anticipo a chi mi chiarira' un po' le idee.

Dimenticavo: come sistema operativo ho W98SE.

 i.p.address non dovrebbe essere "invisibile"?
non puo' mai essere invisibile e il tuo firewall in questo non centra un
tubo qualsiasi siano le sue impostazioni. dal tuo post ad esempio si vede
che scrivi da un pc con ip 10.102.41.51 nella sottorete di 158.102.161.26
p.s. nel tuo caso particolare e' possibile anche risalire all'indirizzo
dell'ente da cui scrivi, problema che certamente non avrai da casa tua se
usi provider piu' convenzionali
-- 
per leggere e postare su free.it.*:
http://infofreeit.altervista.org/polacco.zip

mi salva anche dal fatto che si possano collegare e far danni (o spiare)?
Direi di' si'. Ti segnala i tentativi di attacco (non andati a buon
fine ovviamente)
--
Ciao | Napoli, Italy |
Bye! | Win2k+RHLinux | 


Va bene "scoprire" facilmente il provider da cui posto sulle usenet (ci son
riuscito anche dal whois 
http://www.ripe.net/db/whois/whois.html
 , che ho
visto citato un una replica di msg proprio qui), ma come hai fatto ad
arrivare all'i.p. della macchina (quello in classe 10)? ...A parte intuirlo
dal nome DNS dato al pc, chiaramente ripoortato negli header del msg ....
La mia č solo curiosita' e voglia di aumentare un po' la mia (sotto)cultura
nel campo della sicurezza informatica.
Ancora grazie!
freedog

 --
Quindi tanto di guadagnato ad avere il firewall (mi vengono i brividi a
pansare com'era prima senza!); quello che dici e' pero' abbastanza in
contraddizione con quanto afferma "barbun" ....
....Chi ha ragione?!?    ^__^
Grazie anche a te!
freedog

 fatto ad arrivare all'i.p. della macchina (quello in classe 10)?
il server news locale che avete in ufficio registra un campo con l'ip
interno della macchina che ha mandato il messaggio (immagino per un
eventuale servizio di abuse) e tale campo e' un dominio risolvibile
pubblicamente (immagino che stia sullo stesso dns che fa risolvere gli
altri sottodomini).


 contraddizione con quanto afferma "barbun" .... ....Chi ha ragione?!?
non vorrei mi avessi frainteso: nella lista delle cose bloccate ci sono
tutti e solo i pacchetti che dovevano essere bloccati con le regole date
al firewall. questo significa che possono essere bloccati attacchi veri e
propri come pacchetti "dall'aria sospetta" o che banalmente non vuoi
ricevere perche' ti gira cosi'. tutto il resto, buono e cattivo, passa.
ad esempio supponi di bloccare tutto il traffico sulla porta 80 perche'
vuoi che la intranet non sia raggiungibile dall'esterno e supponi di non
voler rispondere ai ping (perche' ti stan sulle balle). il firewall
logghera' tutto quello che arriva sulla 80 (probabilmente virus o
scansioni) e tutti i ping innocenti o malevoli. poi visto che te ne sei
scordata il firewall fara' passare tutto quello che arriva sulla 25 e
qualcuno ti buchera' tranquillamente il servizio di posta :P
morale: hai parato quel che dovevi sulla 80, hai bloccato quasi di certo
una marea di ping innocenti e hai fatto passare attacchi come nulla fosse.
il tutto in linea con la cattiva configurazione del fw.


Grazie ancora delle informazioni.


Sara' che non ne capisco nulla ma non e' ancora chiaro da ve hai beccato
l'ip?
Ho provato a guardare l'header dei miei msg e non viene riportato, viene si'
riportato il nome del pc (*) ma che se provo a cercare da "fuori azienda"
(ad es. tramite il whois che ho gia' citato), non ottengo alcunche.
Ora che ci penso: forse basta un semplice ping? Non ci ho mai provato dal di
fuori della LAN aziendale.
Tnx.
(*) dal quale, data la politica aziendale di assegnazione dei nome alle
macchine, si puo' indovinare l'ip, ma se la mia macchina invece di chiamersi
cosi' si chimasse "andromeda" non sarebbe possibile indovinare alcunche'.

 alcunche'.
non cambierebbe nulla
