Newsgroup: it.comp.sicurezza.windows
Titolo: Avviso di Port Scan

Ho installato Sygate personal firewall e questo mi ha più volte allertato
con il seguente messaggio "Somebody is scanning your computer" indicandomi
di seguito le porte che mi sono state "scansionate";ora essendo un
principiante non so se considerare la faccenda più o meno seriamente,dovrei
preoccuparmi o è una cosa che può accadere e di cui non dovrei temere piu di
tanto......il firewall poi non dovrebbe limitarsi alla solo segnalazione,ma
anche impedire tali intrusioni.?
grazie a tutti coloro che vogliano dedicare un po del loro tempo per
rispondermi
ciao
Ste

 anche impedire tali intrusioni.?
E' una cosa che puo' accadere, anzi, accade.
Il port scan non e' una intrusione, percio' il firewall ha fatto il suo
dovere, ti ha avvisato che qualcuno bussava alla porta.
Oltretutto, occorre vedere che cosa il tuo firewall considera port scan.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Oltretutto, occorre vedere che cosa il tuo firewall considera port scan.
non ho capito bene quest'ultima affermazione,cmq il firewall mi ha indicato
il tentativo di port scan,indicandomi le porte che mi sono state
visionate,l'IP dell'"intruso" e facendo il back trace si risale ad una
societą in California di nome IANA e dubito che si tratti veramente di
quest'ultima...dovrei prendere provvedimenti,tipo segnalazioni di
abuse,anche dato il fatto che la cosa si ripete, o lasciare perdere
grazie ancora
Ste

 societą in California di nome IANA e dubito che si tratti veramente di
Umpf!
Scusa, ma tu lo sai che cosa e' lo IANA?
Si direbbe di no.
IANA = Internet Assigned Numbers Authority
E? l'organismo preposto a verificare l'assegnazione degli indirizzi, a
stabilire quali sono quelli da definirsi pubblici, quelli che possono
essere usati internamente alle reti aziendali, e cosi' via.
In pratica e' come se dicessi che la macchina targata modena 1 e' di
proprieta' della motorizzazione, o del PRA.
Facciamo cosi': posta le porte che ti ha detto e l'IP dell'aggressore.
E aggiungo: sei su fastweb, vero? Allora la caccia all'IP "aggressore"
con i normali mezzi e' assolutamente inutile, la mappatura della rete
MAN (metropolitan area network) di fastweb e' quanto meno bizzarra ed
arbitraria.


 arbitraria.
Grazie molto per l'aiuto che mi stai dando,cmq sě sono su fastweb
di seguito ti elenco le porte e l'IP dell'aggrssore
135, 1025, 445, 3127 and 6129 have been scanned from 2.244.140.178.
6129, 139, 3127, 445 and 1025 have been scanned from 2.244.140.178.
1025, 6129, 135, 3127 and 445 have been scanned from 2.244.140.178.
445, 139, 1025, 6129 and 135 have been scanned from 2.244.140.178.
3127, 6129, 139, 135 and 1025 have been scanned from 2.244.140.163.
1025, 445, 3127, 6129 and 139 have been scanned from 2.244.140.163.
139, 6129, 3127, 445 and 1025 have been scanned from 2.244.140.163.
135, 1025, 445, 3127 and 6129 have been scanned from 2.244.107.59.
6129, 139, 135, 3127 and 445 have been scanned from 2.244.107.59.
445, 139, 1025, 6129 and 135 have been scanned from 2.244.107.59.
che ne dici?grazie ancora!!
ciao
Stefano

 445, 139, 1025, 6129 and 135 have been scanned from 2.244.107.59.
e aggiungo
2745, 135, 1025, 445 and 3127 have been scanned from 2.244.138.71.
3127, 6129, 139, 80 and 2745 have been scanned from 2.244.138.71.
2745, 3127, 1025, 135 and 445 have been scanned from 2.244.138.71.
445, 6129, 80, 139 and 2745 have been scanned from 2.244.138.71
2745, 3127, 1025, 135 and 445 have been scanned from 2.244.138.71.

 2745, 3127, 1025, 135 and 445 have been scanned from 2.244.138.71.
Resto della mia idea, questo io non lo definisco port scanning.
Troppe poche porte interessate.
Al 99% si tratta di una o piu' macchine con a bordo un worm
della famiglia sasser (meglio, della famiglia che attacca RPC)
Almeno, le caratteristiche delle porte toccate sono quelle di due
worm diversi, uo il classico sasser e derivati, l'altro direi il
gaobot (o agobot) che picchia anche sulla debolezza di IIS sulla
porta 80.
Sono utenti fastweb a nord di milano, si direbbe da questa lista:
Luglio 2004 indirizzi IP riservati (non pubblici) MAN assegnati
alle utenze FastWeb :
==
- 1/8  -> IP assegnati alla MAN di Milano
- 2/8  -> IP assegnati alla MAN di Milano Hinterland NORD
- 5/8  -> IP assegnati alla MAN di Genova
- 14/8 -> IP assegnati alla MAN di Milano Hinterland SUD
- 23/8 -> IP assegnati alla MAN di Roma
- 29/8 -> IP assegnati alla MAN del Triveneto
- 31/8 -> IP assegnati alla MAN di Bari
- 37/8 -> IP assegnati alla MAN di Bologna
- 39/8 -> IP assegnati alla MAN di Napoli
- 41/8 -> IP assegnati alla MAN di Torino
- 42/8 -> IP assegnati alla MAN di Reggio Emilia
==


> societą in California di nome IANA e dubito che si tratti veramente di
La societą di nome IANA č l'Authority !! infatti IANA sta per Internet
Assignement Numbers Authority, forse se il whois lo fai li puoi trovare la
fonte reale...... :-)
Maremma !

 ha scritto nel messaggio
news:cdm45s$v2o$1...@stargate1.inet.it...

quindi?non ho capito cosa vuoi intendere..?
poi
un grazie cmq a Roberto per le risposte...secondo te quindi cosa dovrei fare
in conclusione?ignorare semplicemente tali avvisi? e poi secondo te chi mi
fa  port scan sono allora altri utenti fastweb?
grazie ancora!!
Ste

 fa  port scan sono allora altri utenti fastweb?
Si Fastweb utilizza la classe 2.Y.Z.T come classe della rete privata.
Probabilmente, viste anche le porte č qualche PC collegato sul tuo stesso
switch che fa uno "sfoglia la rete". Non preoccuparti, inoltre il firewall
le blocca quindi tutto regolare :-)