Newsgroup: it.comp.sicurezza.windows
Titolo: intrusione

Salve.
Alcuni giorni fa il mio Check Bo mi ha segnalato l'intrusione di
qualcuno, che ha desisistito dopo pochi secondi dal suo intento.
Ho
ricavato i dati dal programma e li ho inviati a Tiscali, ma dopo 15 giorni
mi hanno risposto che i dati sono insufficienti per prendee provvedimenti.
Ma è possibile che Check Bo non sia attendibile?
Come fare per individuare
gli intrusi?
Grazie a chi risponderà.
Claudio
--------------------------------
Inviato via 
http://usenet.iol.it

 gli intrusi?
leggi le securfaq, cercale su google perche' l'indirizzo non me lo 
ricordo mai <G>
-- 
Campagna europea per la pulizia in ics.*
Ogni post provocatorio o polemico verra' automaticamente killato 
assieme al suo poster.
http://www.google.com
 - 
http://groups.google.com/advanced_group_search

Devi inviare almeno un log,
oltre alla segnalazione.
Ho inviato il log che ha generato il programma
dal quale è risultato chiaro che l'attacco è partito da un IP di Tiscali.
Grazie


 dal quale è risultato chiaro che l'attacco è partito da un IP di Tiscali.
Beh, dipende da come e' fatto il log (postane qui una riga, se proprio 
vuoi).
BTW, ti faccio presente che un alert non e' necessariamente un attacco, 
ci possono essere mille motivi per cui un pacchetto SYN arriva al tuo PC. 
Non e' necessariamente un attacco. Io tendo a chiudere un occhio sui 
portscan, a meno che non siano insistenti e su porte particolari per cui 
non ci possono essere dubbi. Se proprio devi segnalare, fallo con qualche 
cosa in piu' in mano (es: GET /default.ida?NNNNNNNNNNNNNNN, la prima cosa 
che mi viene in mente.... solo che di solito arrivano tutte da tw)
Insomma, come una rondella non fa primavera, un syn non fa un lamer...


vuoi).
***** Inizio Connessione *****
***** IP: 217.133.xxx.xx
*****
Port: 12345
***** Wed Apr 03 10:34:03 2002
 
***** Fine Connessione
*****
 
 
% This is the RIPE Whois server.
% The objects are in RPSL
format.
% Please visit 
http://www.ripe.net/rpsl
 for more information.
%
Rights restricted by copyright.
% See 
http://www.ripe.net/ripencc/pub-
services/db/copyright.html
 
inetnum:      217.133.175.0 -
217.133.255.255
netname:      TISCALINET
ecc. ecc.
Ti ringrazio.


 Ti ringrazio.
Ti ripeto comunque che imho non c'e' molto da fare, ignoralo e vivi 
felice. Un syn non fa primavera, e fossi nell'abuse, piu' di tanto non 
procederei (e se tizio avesse semplicemente sbagliato a impostare un 
server?)


 Claudio
forwardo qui perche` *mi sembra* in-topic
(se non lo e` parliamone per favore...)
dico...
un tentativo di intrusione su una porta non standard
se adeguatamente documentato con il log di un personal
firewall (data, ora, ip, porta "scannata" e log dei dati 
provati) e` sufficiente a far revocare l'account dialup di qualcuno
presso il proprio provider?
(no perche` a me sembra una cosa fuori dal mondo...)
 
________________________
.___  ThE rEal SpAtaTraC! 
/_|_\__  
cowo4n0l...@sneakemail.com
@----@-'  Chi usa outlook infetta anche te, digli di smettere
per rispondere togliere la CACCA davanti la chiocciola

Mentre esplorava con solerzia le sue cavità nasali, The Real Spatatrac!
(
cowo4n0l...@sneakemail.com
) esclamò:
| un tentativo di intrusione su una porta non standard
| se adeguatamente documentato con il log di un personal
| firewall (data, ora, ip, porta "scannata" e log dei dati
| provati) e` sufficiente a far revocare l'account dialup di qualcuno
| presso il proprio provider?
| (no perche` a me sembra una cosa fuori dal mondo...)
No.
--
Josedam
(togliere lo ZERO dal mio indirizzo e-mail per rispondermi in privato)

 (no perche` a me sembra una cosa fuori dal mondo...)
Insomma, analizziamo la cosa da un altro punto di vista.
Quello ha *bussato* su una porta (in realta', dovremmo parlare di
"frequenza" su cui il tuo picci' si e' sintonizzato, visto che la parola
"porta" ti fa pensare che possa essere sfondata, il che non e' vero);
casualmente, c'era un fake come check-bo che la teneva aperta; se non ci
fosse stato nessuno, sarebbe uscito un "closed" e lo scocciatore sarebbe
andato avanti.
Un ping non e' reato, checche' se ne parli; per parlare di "attacco",
devi avere ricevuto un *danno*... che danno ti fa un firewall che ti
dice istericamente "ATTACCO! ATTACCO!"? Scusa, non sara' considerata una
cosa etica, ma da li' a farti dei danni o ad entrarti nel tuo PC, manca
ancora l'AZIONE... per ora c'e' solo l'INTENZIONE, il che non e'
sanzionata dal Codice Civile e/o Penale, che io sappia.
Aspe', mi ricordo una FAQ di LeoSerni: fai finta che le "porte" siano
numeri telefonici: metti una segretaria a rispondere sui telefoni che
vuoi usare una per il web, una per la posta ecc ecc.
Se uno ti chiama ad un numero, diciamo 12345 su cui non c'e' nessun
telefono, per quanto puo' essere uno scocciatore, che fa? Si stanca
presto di non trovare nessuno.
Metti, invece, che al numero 12345 si dica che risponde un numero di
maialone... un ragionier Ugo Fantozzi a caso prende il coraggio a due
mani e prova... gli risponde una maiala ed, appena lui dice una parola,
ecco che cambia di colpo ed un'altra voce gli dice:
"ti sbagli, non sono la maialona di turno, sono un Testimone di
Vattelapesca in uno dei miei travestimenti meglio riusciti: fratello,
pentiti, perche' l'Inferno e' dietro l'angolo: tieni, un santino per
ricordartelo ed inoltre mandero' la registrazione della tua telefonata
ed il CLI a tua moglie, per conoscenza..."
Secondo te, che fa questo ragionier Ugo? Per me da' di matto, cosi' se
puo' farti incriccare il centralino con un tono particolare di la
diesis, sicuramente lo fa... e questo non sarebbe successo se il
centralino NON avesse risposto.
Capita che, poi, certe "mogli" facciano le gelose oltremisura... ad
esempio, una di loro, di nome Infostrada, ha la tendenza ad agire in
maniera eccessiva, terminando il rapporto... hem, coniugale, a volte
senza motivazioni valide. ;-)
Fabrizio

 Secondo te, che fa questo ragionier Ugo? Per me da' di matto, cosi' se
Come da film, Fantozzi rapirebbe la moglie del Megadirettore Barabam e
chiederebbe un aereo per la Libia :-)
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
Non fare l'help-desk, manda in Google chi sta a scassa'
http://www.google.com
 
http://groups.google.com/advanced_group_search

 (no perche` a me sembra una cosa fuori dal mondo...)
Uno no, ti avvertono di non farlo più, due forse ancora non ti segano, al
terzo kaput...
in genere
mario