Newsgroup: it.comp.sicurezza.windows
Titolo: Ma 'sto firewall funziona?

Un cliente ha un firewall della Zyxel Prestige 324 a valle di un router di 
Alice.
Dovendo attivare i servizi di PPTP e HTTPS verso l'esterno, ho aperto le 
relative porte (1723 e 443) sul router verso il firewall e sul firewall 
verso il server.
Quasi immediatamente il server ha iniziato a registrare tentativi di accesso 
provenienti da IP cinesi. Ho provato a chiudere delibertatmente tutte le 
porte non necessarie tramite il servizio di IP filtering del firewall ma gli 
attacchi proseguono tranquillamente.
Mi chiedo: a che diavolo servono queste misure? Un firewall pi� serio 
risolverebbe qualcosa?
-- 
Skywalker Senior
http://www.christianbisti.net
http://www.flickr.com/photos/skywalkersenior/
 

 risolverebbe qualcosa?
Quali misure?
Da quello che si ï¿œ capito, no.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

risolverebbe qualcosa?
Se apri un servizio su un sistema, vedi gli attacchi di chiunque cerchi di
exploitarlo. Nel caso tuo potresti anche infischiartene, secondo me.
L'unica cosa che puoi fare, non so se il tuo sistema lo consenta, e' dire:
okay, i miei clienti https arrivano solo dai seguenti blocchi di IP, tutti
gli altri li butto giu' sul firewall senza forwardarli al server.
O anche bloccare tutto il netblock Cina/Hong kong/Corea/...
Leonardo
-- 
The cock doth craw, the day doth daw,
the channerin' worm doth chide:
gin we be mist oot o' oor place,
a sair pain we maun bide.


Nel mio messaggio precedente ho commesso un lapsus. Il firewall in questione 
non ha l'IP filtering. Come si poteva dedurre da ci� che ho scritto, si 
possono chiudere delle porte, ma non ho modo di bloccare degli IP o dei 
blocchi di IP.


 Quello che mi puzza ï¿œ che io ho aperto solo due porte, ma il log riporta 
1) Hai aperto due porte dove?
2) Il log di cosa?
1=firewall 2=firewall: normale, l'attaccante vede un servizio cui
risponde qualcosa, e prova a sfondare quello, e tutto ciï¿œ che sia
eventualmente sfondabile gli viene in mente.
1=firewall 2=server: hai sbagliato (o il firewall ï¿œ tonto) ed hai
aperto tutte le porte del firewall verso il server: ricontrolla.



Le porte aperte (443 e 1723) sono sul router verso il firewall e sul 
firewall verso il server, il log � quello del server.
Immagino, comunque, che qualcuno abbia trovato l'IP pubblico con la porta 
1723 aperta facendo un po' di sweeping e stia tentando di loggarsi alla VPN 
(aperta col servizio Accesso Remoto di SBS2003) andando per tentativi (in 
effetti ci sono giorni in cui i tentativi sono solo poche decine, come se 
fossero fatti a mano e non con un programma di brute forcing).
Ho fatto delle prove sbagliando appositamente l'utente e/o la password di 
connessione alla VPN. Nel registro eventi compaiono gli eventi 529 come per 
i tentativi "cinesi" per� il processo di accesso � differente: nel mio caso 
� IAS, mentre gli altri hanno NtLmSsp con pacchetto di autenticazione NTLM.
Qualcuno sa spiegarmi la differenza?


 firewall verso il server, il log ï¿œ quello del server.
Qualcosa non torna.
Se dal firewall sono aperte (e routate) solo le porte 443 e 1723, come
puoi vedere i tentativi di accesso "cinesi" alle altre porte?
Se i tentativi arrivano al server, il firewall non ï¿œ settato come credi.



Ma non saprei cos'altro fare.
Il router di Alice permette solo di aprire dei "virtual server" aprendo le
porte verso un determinato IP. Io parto dal presupposto che le porte che non
apro, restino chiuse.
La stessa cosa � fatta sul firewall col servizio SUA Server.
Non capisco...
-- 
Skywalker Senior
http://www.christianbisti.net
http://www.flickr.com/photos/skywalkersenior/

 La stessa cosa ï¿œ fatta sul firewall col servizio SUA Server.
Sicuro di non aver messo 443 nella prima casella, e 1723 nella seconda,
invece di mettere 443 in entrambe, e 1723 in entrambe della riga
sottostante?
O i pacchetti non sono obbligati a passare per il firewall, causa,
ad esempio, il fatto che il "server" arriva sul router con il wi-fi,
oppure, da qualche parte, hai settato o collegato male qualcosa.
Sicuro che dal router alice parta solo un cavo che va direttamente
allo zyxel, dal quale parte un cavo che va al server?
Non ï¿œ che router alice, zyxel e server sono collegati allo stesso
switch?


 qualcosa.
sarebbe utile sapere come sono connessi i vari apparati
da quello che � stato scritto fino a questo momento sembra
che la config sia qualcosa di questo tipo
Internet
|
router "alice"
|
zyxel
|
LAN
per cui tra una delle prese LAN del router "alice" e lo zyxel
dovrebbe esserci un unico cavo che va alla "WAN" dello zyxel
e comunque al router "alice" dovrebbe essere connesso solo
lo zyxel, niente client aggiuntivi n� wired n� wireless; io direi
che potrebbe essere il caso di ricontrollare il cablaggio :D

 che potrebbe essere il caso di ricontrollare il cablaggio :D
dimenticavo... che subnet/netmask usi tra il router alice e lo zyxel
e che subnet/netmask hai sulla LAN ?


Tolte tutte le possibilit� razionali si passa al sovrannaturale, �? :-)
No, le porte erano aperte "separatamente", non c'� nessun apparato WiFi 
nella rete e non vi sono altri cavi che bypassano il firewall.
Comunque forse ora ho capito dove avevo sbagliato. Sul firewall, nella 
pagina dove si definiscono le porte da aprire c'� un campo "server" che 
richiede un IP e poi ci sono le varie righe dove si possono definire porte 
di ingresso, di uscita e IP di destinazione. Mi sono riletto l'help e sembra 
che valorizzando quel fatidico IP "server", il firewall ignori le singole 
porte e consideri quel server come se fosse in una DMZ, dirottandogli tutte 
le richieste (mi chiedo a cosa serva, allora, l'apposita pagina DMZ su 
quell'apparato). Per evitare questo bisogna impostare l'IP a 0.0.0.0...
Un po' machiavellico, ma speriamo che fosse proprio quello (lo sapr� dire 
domani, visto che di solito gli attacchi avvenivano di notte)
Mi chiedo comunque quale sia l'utilit� della sezione "virtual server" sul 
router Alice, visto che lascia passare tutto.
Grazie per la pazienza!


 che potrebbe essere il caso di ricontrollare il cablaggio :D
Non vi sono apparati WiFi ed il cablaggio � corretto. Tiafolo di un router! 
:-)
Comunque grazie per la pazienza. Spero di aver risolto.


 quello (lo sapr� dire domani, visto che di solito gli attacchi
fai sapere


Direi che � a posto.
Ora rimangono i tentativi di attacco al firewall (il log del firewall 
segnala diversi tentativi di attacco tipo SYN flood)


 segnala diversi tentativi di attacco tipo SYN flood)
strano... se il router "alice" fa da NAT ed inoltra verso lo zyxel
solo le porte configurate, lo zyxel non dovrebbe registrare altro
traffico... qui c'� qualcosa che non mi quadra

 ha scritto nel messaggio 
news:h87trr$phc$1...@megan.servidellagleba.it...

E' quello che dico anche io.
Se cancello le impostazioni del router, in effetti non riesco pi� a 
raggiungere i servizi che mi servono, perci� vuol dire che a qualcosa serve 
aprire quei "Virtual server".
L'unica spiegazione � che l'attaccante riesca, tramite quelle due porte, a 
raggiungere servizi diversi da quelli preposti


 raggiungere servizi diversi da quelli preposti
No. Non ï¿œ una spiegazione.
Non sono porte come in una casa, che se entri dalla porta di ingresso,
poi puoi passare in cucina.
Ci sono solo due spiegazioni: tu non hai capito da dove a dove vanno
i pacchetti "anomali", oppure uno degli apparati lascia passare tutto
quello che si vede transitare accanto, nonostante le impostazioni[*].
[*] La terza ipotesi ï¿œ che ci sia ancora un misunderstanding tra te e
il manuale di uno dei pezzi di hardware. ;-)


 il manuale di uno dei pezzi di hardware. ;-)
ecco, questo si, potrebbe trattarsi di un banale PEBKAC di secondo
livello; in tal caso il problema non � grave ed � curabile :)

 ha scritto nel messaggio 
news:h8894q$2mv$1...@megan.servidellagleba.it...

:-)
E' proprio per questo che chiedo lumi: correggere i miei errori, colmare le 
mie lacune e non ripetere gli sbagli in futuro. E magari non farsi prendere 
dal panico per niente. E' molto probabile che mi stia vedendo dei problemi 
dove non ce ne sono.
Magari interepreto male il log del firewall, ma se vedo degli indirizzi IP 
che arrivano da Cina, Venezuela, Norvegia, Africa, credo sia legittimo il 
dubbio che ci sia qualcosa che non va.


 legittimo il dubbio che ci sia qualcosa che non va.
Se li vedi come "rejected" nei logs del firewall significa che NON
sono passati e comunque non � che sia qualcosa di strano, di
bots che tentano di farne di tutti i colori ce ne sono in circolazione
parecchi, per cui quel che vedi � "normale" (ad oggi)
Quello che mi lascia perplesso � che lo zyxel, nella config che
dici di aver messo in piedi, riesca a vedere pacchetti che NON
dovrebbe vedere dato che dovrebbero essere intercettati dal
NAT a monte (quello di "alice")
Se ti va di proseguire, proviamo a ripartire un passo alla volta,
prima di tutto sarebbe utile sapere quale siano le subnets in
gioco, ossia ... IP pubblico/mask, IPs tra i due routes e mask,
IP LAN e mask, ad esempio
WAN                        86.131.x.y/32
Alice interno          
192.168.1.1/24
Zyxel esterno        
192.168.1.10/24
Zyxel interno          
10.1.1.1/8
poi, sarebbe interessante vedere l'output di un comando
traceroute avviato da un sistema posto dietro lo zyxel verso
un host esterno, ad esempio
tracert 
www.google.com
per verificare /dove/ stiano passando i pacchetti

 poter spiegare le cose in quel modo :)
Beh, a meno che lo strato non sia stato fatto a Redmond una decina di
anni fa (azz! sono quindici, mica dieci! :-( ) nel qual caso, ecco, i
percorsi interni dei pacchetti potevano divenire, per dire ... vaghi,
ecco, sï¿œ, vaghi. ;-)
Vero comunque che la spiegazione resta complicata, ci si limitava a
prendere atto dell'accaduto, spesso allargando le braccia con gesto
sconsolato, in quei casi.


 ecco, s�, vaghi. ;-)
ROFL :D D


Ok, resettiamo la discussione. Appena posso passo dal cliente, faccio delle 
prove e poi posto i risultati in un nuovo thread (questo sta diventando 
troppo lungo per i miei gusti), ok?
Grazie per il momento


 sta diventando troppo lungo per i miei gusti), ok?
ok, gi� che ci sei, quando sei sul posto, fai anche una passata
con questo 
https://www.grc.com/x/ne.dll?bh0bkyd2
 clicca sul
bottone "proceed" e poi su "all service ports"; non sar� uno
scan accuratissimo ma per lo meno riuscirai a vedere se per
caso vi siano altre porte aperte oltre a quelle configurate

 ha scritto nel messaggio 
news:h88elp$729$1...@megan.servidellagleba.it...

Lo Shieds'up della Gibson Research Corporation... l'avevo dimenticato eppure 
l'avevo usato spesso in passato.
Provveder�



Scusate se non mi sono fatto pi� sentire.
Da quando ho cambiato quelle impostazioni sul firewall non ho pi� ricevuto 
avvisi di sicurezza, n� dal server, n� dal firewall stesso (a parte per le 
scansioni delle porte effettuate dal servizio della GRC).
Il problema, quindi, si � risolto e ho imparato qualcosa.
Grazie per l'aiuto e per la pazienza.
-- 
Skywalker Senior
http://www.christianbisti.net
http://www.flickr.com/photos/skywalkersenior/