Newsgroup: it.comp.sicurezza.windows
Titolo: DNS con Zonealarm

Uso Zonealarm da poco e noto che mi segnala (fra altri) tentativi
d'intrusione da parte di  due indirizzi IP che non sono altro che i
DNS del mio provider: e' normale? Devo abilitarli o lasciarli esclusi?

 DNS del mio provider: e' normale? Devo abilitarli o lasciarli esclusi?
Dipende: intendi risolvere i nomi?
-- 
HappyCactus - Linux User #209744 - LFS User #6046 - >>> SMSPM1050 <<<
              YAGF Member Group >>> 
www.google.com
 <<<
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.

Dipende: intendi risolvere i nomi?
Purtroppo non riesco a seguirti: puoi scendere nei dettagli? Grazie

Purtroppo non riesco a seguirti: puoi scendere nei dettagli? Grazie
Se blocchi i DNS del tuo provider, dopo non risolvi piu' i nomi, ovvero
non puoi piu' usare "
www.det.unifi.it
", ma devi scrivere (e ricordarti)
"150.217.8.42".
Questo potrebbe non essere rilevante per te, per esempio perche' usi un
proxy con IP noto e simili, per cui ti basta che gli indirizzi riesca a
risolverteli LUI. Anzi... in un caso del genere potresti trovare comodo
il non riuscire a risolvere i nomi, perche' qualsiasi aggeggio, sul tuo
PC, che a tua insaputa cercasse di "chiamare a casa", non saprebbe piu'
quale "numero" fare.
Siccome quest'ultima configurazione e' *rara*, penso che a te servano i
DNS del tuo provider, e li abiliterei... se, pero', ti sembra che il PC
funzioni normalmente, allora, lasciali disabilitati: potrebbe darsi che
il firewall in realta' faccia GIA' passare i pacchetti "giusti" e fermi
quei pacchetti che ti segnala, non perche' vengano dal provider, ma per
qualche anomalia che presentano (es. TCP su porta 110... che per un DNS
e' traffico curioso :-) ).
Leonardo "se funziona, non ripararlo"
-- 
In nessun caso Microsoft, o i suoi fornitori, saranno responsabili per
[...] omissione di rispetto di obblighi, incluso quello di comportarsi
in buona fede o ragionevole diligenza
                                     -- Contratto di Licenza Microsoft

 Purtroppo non riesco a seguirti: puoi scendere nei dettagli? Grazie
Che tipo di "intrusioni" avrebbe rilevato il tuo firewall? su che
protocollo? Sono notizie importanti.
Il mio "intendi risolvere i nomi" significa che se tu blocchi
indistintamente tutti i pacchetti provenienti dai DNS, poi non riuscirai
piu' a ricevere le risposte da parte loro, cioe' il tuo pc chiedera'
loro "che indirizzo ip ha 
www.puppeapera.com
", ma il firewall blocchera'
la risposta del DNS.
Invece, dovresti impostare il FW per accettare soltanto un certo tipo di
pacchetti da quei DNS (53/UDP). Ci sarebbe poi un problema nel
caso in cui da quell'ip possano arrivare pacchetti anche di altro genere
(ad esempio SE l'ip del dns fosse anche l'ip dell'FTP) ... Ma non credo
sia il tuo caso.


 DNS del tuo provider, e li abiliterei...
a parte i dns del mio provider, zonealarm mi segnala spesso tentetivi di
connessione entranti o uscenti con dns diversi (indirizzi che non ho mai
visto).. questi cosa potrebbero essere?
+-------IL PRANDOLA-------------+

visto).. questi cosa potrebbero essere?
Dai dati che fornisci, posso solo dirti "pacchetti di dati". Diretti dove,
partiti da dove, a che scopo, con quale intento e con quale contenuto, non
ne ho idea.
Pero' mi viene un'idea leggermente diversa (e chi mi conosce tempo 30" gli
e' venuta la stessa). Puoi mica mandarmi un paio di quei log di Zone Alarm
in posta elettronica?
Leonardo tulz


ai soliti sciocchi falsi allarme o ad altro?
No, stavo pensando di offrire un se(r)vizio al pubblico.
Leonardo


 pacchetti da quei DNS (53/UDP). 
Cactus, non facciamo confusione più di quanto ce n'è.
Tu non blocchi proprio nulla, non è il dns che viene sulla tua macchina a 
bussare alla porta 53 per chiederti "scusa, hai un nome da risolvere?". 
Casomai succede leggermente il contrario.
Inoltre ZoneAllarm funziona in modo semplicissimo ma diverso; puoi 
autorizzare o meno il singolo programma a stabilire connessioni su internet 
o ricevere (ascoltare) connessioni da internet, stop. E'una politica 
discutibile ma a suo modo funziona.

 risolvere?". Casomai succede leggermente il contrario.
Certo.
Peccato che UDP sia connectionless, e se il firewall non fa stateful
inspection l'unico modo di ottenere le risposte e' proprio quello di
non filtrare _tutti_ i pacchetti UDP con sorgente la porta 53.
Magari non e' il caso di ZA, che dovrebbe tener traccia della sequenza
dei vari pacchetti (Stat.Insp.), ma in linea di principio e' cosi'.
HappyCactus e il mio vecchio script di ipchains.


 Leonardo "se funziona, non ripararlo"
Marco "conferma e sottoscrive"
-- 
---
In silenzio anche un idiota sembra intelligente. Ma non c'è problema,
l'idiota vuol sempre dire la sua.

 non filtrare _tutti_ i pacchetti UDP con sorgente la porta 53.
Scusa, ho scritto una cazzata e me ne sono reso conto subito (ne sono 
testimoni tutti gli altri, visto che subito dopo ho lanciato un cancel e 
infatti il mio msg da interbusiness stamani non si vede... purtroppo tu 
l'hai letto).
Comunque il discorso di zonealarm è sempre valido. Una cosa del genere non 
te lo fa fare.
