Newsgroup: it.comp.sicurezza.windows
Titolo: Un po' di consigli, grazie!

Esistono altri pericoli di intrusione senza la presenza di trojan?
Sono forse i nukes ? Che fanno ?
Avrete capito sicuramente che ho le idee un po' confuse !!!

Salve a tutti. Ho fatto da circa 1 mese la flat di wind. Mi collego
con IDSN64k, Win2000
Oltre alla qualità pessima dei collegamenti verso l'estero dell'ultimo
mese, ho notato che il firewall (ZoneAlarm) mi segnala vari tentativi
di accesso a porte non autorizzate. Premetto che non ne so molto di
firewall, porte, e trojan vari. Il firewall l'ho installato ieri dopo
aver letto un messaggio in it.tlc.wind di un utente che si lamentava
di soventi tentativi di accesso da parte di IP wind.
Questa sono gli ultimi di oggi:
The firewall has blocked Internet access to your computer (NetBIOS
Session) from 212.141.121.150 (TCP Port 21045).
Time: 30/09/2000 16.42.40
The firewall has blocked Internet access to your computer (NetBIOS
Session) from 212.141.68.128 (TCP Port 3078).
Time: 30/09/2000 19.14.08
The firewall has blocked Internet access to your computer (NetBIOS
Session) from 212.141.117.247 (TCP Port 1624).
Time: 30/09/2000 20.14.44
The firewall has blocked Internet access to your computer (TCP Port
21281) from 195.130.238.210 (HTTP).
Time: 30/09/2000 21.00.04
The firewall has blocked Internet access to your computer (TCP Port
12580) from 195.130.238.211 (HTTP).
Time: 30/09/2000 21.00.46
Sovente ne ricevo anche 20 in pochi minuti, oltre a tentativi di ping.
Sono tentativi "standard", nel senso che è la normale procedura di
qualche rombiballe che a tentativi, scannando range di IP, cerca
qualche trojan installato ?
Penso questo xchè da quando ho installato ZoneAlarm non sono più stato
ne in ICQ ne in mirc, quindi teoricamente il mio IP non era conosciuto
da nessuno.
Tra l'altro mi pare che siano sempre tentativi di accesso a porte non
standard dei vari trojan, è solo xchè è possibile modificare quella di
default?
Se la porta non è quella standard, è possibile risalire al tipo di
attacco usato?
Se ho capito bene un tentativo di intrusione, per avere effetto, oltre
a passare il firewall, deve trovare il trojan installato che faccia da
server, giusto ?
Esistono altri pericoli di intrusione senza la presenza di trojan?
Come virus scanner uso AVP, che non mi ha segnalato alcun trojan
sull'HD.
Controllando il sito di avp però ho trovato nel suo database pochi
virus di questo tipo. E' preferibile usare un programma apposta? Su
tocows ho trovato TDS-3 Trojan Defence Suite, che ne pensate?
Oltre al TCP/IP ho anche installato il Netbeui, il Client reti
microsoft e il file&printer sharing ... ho sentito che alcune porte
del Netbeui hanno problemi, che fare?
Scusate le millle domande !
Grazie x l'aiuto !

 del Netbeui hanno problemi, che fare?
ti serve il netbeui? Nella maggioranza dei casi no, quindi toglilo.
Ti serve condividere file o stampanti? Se no, togli anche quello.
Buttha
-- 
* Per rispondere in email rimuovere la prima i dall'indirizzo
* Vale il doppio alla Standa

"identificarti" mediante netbios.
Ah! perchč collegandomi qualche volta a shy.datawell mi giungevano
quello che io consideravo attacchi, appunto nbname. Grazie per l'
informazione e quindi non č nulla di preoccupante, ma solo una routine
scelta dal server per l' identificazione.

tu? <g>
Scan ? Nel senso di scannare IP ? No, ho altre cose + utili da fare
... 
effettivamente però ho una flat collegata x molte ora al giorno, da
cosa si capisce ? Man mano che passa il tempo si accede a porte +
alte? Non ne capisco un tubo, scusate !!!

 Sono forse i nukes ? Che fanno ?
Lo scoprirai leggendo le FAQ: 
http://members.xoom.com/gouldukat/
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

> Time: 30/09/2000 21.00.46
da cosa capisci sche si tratta di server web e non di tentativi di
intrusione ? Dalla scritta HTTP (mi sembra troppo banale x la mia
incompetenza) ?!?!
Inoltre xchč un sito web dovrebbe tentare di accedere a quelle porte ?

>Lo scoprirai leggendo le FAQ: 
http://members.xoom.com/gouldukat/
ottima segnalazione, non conoscevo la sua esistenza ...

 quello che io consideravo attacchi, appunto nbname. 
si, puo' essere quello.
Attento, pero', con datawell: finche' lo utilizzi con servizi standard
(http, nntp, ecc...) non c'e' alcun problema. Ma se inizi a "spippolare"
con i loro server (tentativi di connessioni via telnet, portscan e altre
attivita' sospette), allora gli attacchi ti arrivano sul serio ;-) 
ciao
Buttha
-- 
* Per rispondere in email rimuovere la prima i dall'indirizzo
* Attenzione: ti sei distratto

 alte?
si, proprio da questo.
Per ogni nuova connessione tcp viene utilizzata una tua porta tcp locale
nuova; queste nuove porte vengono scelte in modo crescente (diverso il
caso del masquerading, ma non e' il tuo caso).
Se un server http rispondeva, per esempio, alla tua porta 20000, vuol
dire che avevi fatto richiesta utilizzando quella porta; questo implica
che avevi gia' utilizzato le porte da 1024 a 19999, che sono una
enormita'.
ciao
Buttha
-- 
* Per rispondere in email rimuovere la prima i dall'indirizzo
* PS:

 Inoltre xchè un sito web dovrebbe tentare di accedere a quelle porte ?
perche' il tuo computer ha fatto richiesta mediante quelle porte.
Buttha
-- 
* Per rispondere in email rimuovere la prima i dall'indirizzo
* " In Brasile ci sono solo puttane e calciatori "
  " Ti ricordo che mia moglie è brasiliana! "
  " Ah... e in che squadra gioca? "

 attivita' sospette), allora gli attacchi ti arrivano sul serio ;-)
Beh, non stento a crederlo...;-D
Comunque anche a me datawell "chiese" il nome, una volta.
Alla mia domanda in NG "Ma che a che c@§§o serve il mio nbname a shy?"
qualcuno mi rispose in maniera piuttosto sibillina e molto poco
elegante...bah! :-)

>>> Time: 30/09/2000 21.00.46
Il fatto č che dal log non avevo capito che fosse una normale risposta
ad una mia richiesta. Non vedevo infatti la specificazione della porta
80... immagino sia (HTTP) !!!! L'80 quindi invia i dati richiesti ad
un server web ed č riservata, vero? Quindi tutte le richieste che
arrivano da una 80 potrebbero essere tranquillamente passate in
automatico dal firewall ...
Xchč allora Zone Alarm non me lo segnala tutte le volte che accedo ad
un sito? 
Non so se sono stato molto chiaro :-))

Buttha
Ti ringrazio per le informazioni, su tutto, comunque non mi sogno
neanche di fare gochetti di quel genere e su shy qualche volta vado a
scaricare i post e basta, quando sono collegato con wind e non posso
scaricare da libero. Comunque nuovamente grazie ;-))
c.

 un sito? 
perche' non gli hai detto di non farlo
ciao
Buttha
-- 
* Per rispondere in email rimuovere la prima i dall'indirizzo
* Qualsiasi tecnologia sufficientemente avanzata e' indistinguibile dalla
  magia.

Sei stato chiarissimo come sempre ...
Quello che non capisco,però, è perchè me lo segnala a volte si a volte
no. Mi fa presumere che ZoneAlarm rilevi qualche differenza.
Forse solo quando si utilizza una porta > n° ? Mi avevi segnalato
infatti che man mano che utilizzo una connessione, il TCP usa porte
locali sempre maggiori.
Iniziando dalla 1024 però mi sembra strano anche dopo molte ore di
connessione arrivare a porte molto alte ... xchè allora questi server
web hanno tentato di accede a queste porte ?
FWIN,2000/09/30,03:51:38 +1:00
GMT,
195.130.238.209:80
,
212.141.113.97:34379
,TCP
FWIN,2000/09/30,03:52:10 +1:00
GMT,
195.130.238.211:80
,
212.141.113.97:31913
,TCP

 un sito?
Se tace e' perche' gli hai detto di permettere al browser di accedere a
Internet.
-- 
Attenzione: questo messaggio ti e' arrivato dalla rete e
in qualche modo si e' insinuato nel tuo hard disk...
Elezioni on line     : 
http://www.radicali.it
SecurFaq             : 
http://members.nbci.com/gouldukat/
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/