Newsgroup: it.diritto.internet
Titolo: Ancora sul portscanning

(Non falciatemi, ho già  letto i post precedenti :-) )
Qualche simpatico tizio 
da mesi ormai effettua 
port scanning sulla mia macchina casalinga 
cercando le porte relative ai terminal services.
La porta era aperta in ingresso 
accesso dall'esterno ovviamente, 
visto che la uso per connettermi
 da altre postazioni su altre reti.
Ho escluso la classe di indirizzi ip del 
simpatico scanner (che da visualroute sembra svedese) 
e dopo qualche giorno si è ripresentato con indirizzi ip diversi.
Stavo anche pensando di aprire un utente "classico" 
(Guest od Administrator senza password) per lasciare la possibilità ai
tizi di entrare e commettere il misfatto (che ahimè, hanno già
commesso in passato).
Che tipo di denuncia posso presentare ?
Che tipo di documentazione posso portale alla polpost ?
grazie, saluti.

A<

 Violazione di domicilio informatico contro ignoti
--> non è così quadrato come sembra.... il port scanning è una violazione
del
domicilio informatico?
carlo

A<

 e' una vera e propria istigazione a delinquere ^____^ (imho).
--> infatti anche honeypot e honeynet sono procedure un pò discusse, non
tecnicamente ma quando si vuole portare questa "procedura" in un'aula di
tribunale.. ;-)
quindi in un certo senso permangono i miei dubbi... ;-)))
carlo.dot
--------------------------------
Inviato via 
http://usenet.libero.it

A<


---> non entro nel merito tecnico (forse perchè non ne sono neanche capace
;-)))
si è discusso e si discute sugli honeypot.
di certo sono un ottimo strumento. Qualcuno ha scritto che possono
configurarsi come illeciti
penali (ad esempio "abusivi" agenti provocatori). In realtà l'agente
provocatore è ad esempio
il poliziotto che entra nel "commercio" di droga, o mette i siti civetta
pedopornografici, ovvero
fa qualcosa di illecito, adeguatamente autorizzato.
L'honeypot invece non è altro che un bersaglio percosì dire, come un pò di
cacio per prendere
il topo.. ;-) quindi a mio avviso perfettamente legittimo in casa propria.
Il problema c'è però: prima di tutto non sarà facile avere una "validazione"
del thema probandum
basato su questa tipologia di prove e file di log.
Poi è importante evitare di "esagerare", perchè oltre la mera registrazione
non si dovrà cadere in una intercettazione
vera e propria oppure in un "inseguimento" virtuale, come pure in una
vendetta.
In ultimo, c'è pure il fatto che vengono abbassate le misure di sicurezza e
quindi non si manifesta la volontà di voler
impedire un accesso, in modo da configurarlo come abusivo.
scusate la semplificazione, sono tematiche molto complesse e difficilmente
riassumibili
senza annoiare ;-))
carlo.dot

A<

Sicuramente il log del sistema (o della Honeypot).
Ti dirò, ho già denunciato, in passato, un back oirifice 
presente sulla mia macchina , con tanto di log 
di qualcuno che cercava di accedervi (e sapeva 
che sulla macchina c'era un back orifice visto che 
lo sercava non sulle solite porte) ma non ne ho saputo più nulla.
Sugli honeypot però ho trovato questo articolo:
"Un prodotto significativamente diverso dal solito è invece CyberCop
Sting, che è ciò che in gergo viene chiamato 'honeypot', tazza di
miele per attirare gli insetti-hacker. Sting genera una 'simulazione'
di rete con tanto di vulnerabilità, e consente di offrire un 'falso
bersaglio' agli hacker. Questo ha il duplice scopo di distogliere la
loro attenzione dai veri sistemi critici, e di raccogliere sufficienti
informazioni per incastrarli. Peccato che nessuno faccia notare come
le prove rilevate da una macchina del genere siano assolutamente
inutili in un tribunale, e anzi l'amministratore rischia di essere
accusato di 'istigazione' a delinquere. Il tool è disponibile solo per
 la piattaforma Windows.
grazie, ciao

 vista sono molto ignorante).
Non funziona neppure così.
Mi sono occupato di sistemi simili per aziende farmaceutiche e
monitoraggio di impianti nucleari (dove la richiesta di sicurezza nel
primo caso ed incorruttibilità nel secondo è ai massimi livelli).
I sistemi che loggano E cifrano con chiave pubblica hanno comunque
problemi.
Proprio perchè loggano e POI cifrano. 
Prima di quell' "e POI" puoi fare di tutto.
Ci sono anche altri problemi, cioè capire la granularità della
cifratura (cifro e firmo il log giornaliero ? la singola entry ? ) per
garantire il livello di integrità.
Su questo argomento sono quasi un'autorità (molto modesto...) se
volete possiamo continuare il thread.
ciao.

 Prima di quell' "e POI" puoi fare di tutto.
----> ottima osservazione.. ed è questo che intendevo tempo fa in altro 3d
sulla formazione dei log con l'avvento del nuovo testo unico privacy.
Parliamone.
qualcuno ha affermato che potrebbe essere scritto su supporto durevole e non
modificabile direttamente in fase di formazione log.
le società cui tu ti riferivi come hanno risolto?
carlo


A<

le società cui tu ti riferivi come hanno risolto?
Allora, in reatà si tratta di due cose molto diverse.
Sull'azienda farmaceutica non mi posso allargare molto, 
comunque è un sistema che permette lo scambio delle formule 
dei farmaci su wan (dove wan significa sedi sull'intero pianeta).
Il tutto garantendo che le formule siano cifrate, non possano essere
corrotte, ed ogni modifica od accesso ad esse da qualsiasi sede  sia
loggato con log incorruttibili.
Il secondo prevedeva non la cifratura, ma la banale firma delle
rilevazioni delle centraline per il monitoraggio delle radiazioni 
negli impianti nucleari.
Il progetto è sperimentale e nasce dall'esigenza di rendere
immodificabili i dati di rilevazione delle radiazioni negli impianti
(che , a quanto ci dissero, vengono modificati molto spesso in maniera
fraudolenta per ragioni che non sto a spiegare).
Tutti e due i sistemi si basano su alcuni concetti base:
1) Firma digitale, contenuta in una memoria di sola lettura, collegata
in rete ad i client di logging mediante ipsec.
2) Il client che effettua il logging a sua volta è un eseguibile
firmato digitalmente, i cui sorgenti sono stati compilati in presenza
dei responsabili informatici dell'azienda e firmati digitalmente.
3) Un terzo processo, su dei server "osservatori" controllano
continuamente 
che l'eseguibile che effettua il logging sia quello corretto e firmato
digitalmente.
Sempre e comunque vi era un controllore esterno, collegato in rete 
(in alcuni casi ipsec, in altri altre implementazioni), che forniva
firma e chiavi di cifratura.
ciao



cut
----> ah.. ecco finalmente qualcuno che fornisce una risposta adeguata...
;-)))
qualche domanda se mi consenti, per capire meglio (e se vuoi rispondere,
senza entrare nel dettaglio delle aziende, qui ci interessa il principio,
non il gossip ;-)))).
era necessaria la presenza di almeno 2 amministratori per entrare nel
sistema? o per fare determinate modifiche?
Il fattore "time" era preso in considerazione oppure non era
determinante per la tipologia di esigenze?
come avveniva il riversamento?
tu vedi un punto debole in quello che hai descritto nel post e/o che hai
realizzato??
attendo intanto altri interventi illuminanti e illuminati.. ;-)
carlo.dot


attendo intanto altri interventi illuminanti e illuminati.. ;-)
Per la questione log , ed in generale sicurezza dati, non se ne uscirà
mai.
Ho girato troppe aziende, che millantavano sicurezza nel trattamento
di dati  ed informazioni, vedendone di tutti i colori.
Ed ho visto enti militari, tribunali, dati sanitari, etc etc.
La sicurezza era sempre la password ben nascosta nel cassetto 
del sistemista più anziano, quello che non fa più nulla perchè è
rimasto indietro e compila solo più verbali e fa il burocrate.
Ed ha nel cassetto o nella cassafortina le password o la smartcard 
per fare quello che vuoi.
ciao


 rete.
Ciao,
ho letto con grande interesse i tuoi interventi e approfitto di questo
pezzo del tuo post per chiederti se nei tuoi log hai mai visto un IP in
range di Verio assegnato alla 
securesites.net/.com
Dal loro sito (a me compare solo la home) non capisco bene che facciano,
ieri ho visto che avevano tentato un collegamento via Apple Remote
Desktop Control sul mio server di posta (quindi probabilmente in
precedenza una scansione per vedere che OS uso l'avevano già fatta).
Ho scritto a Verio ed anche a loro, ma se qualcuno li conosco e mi
spiega che vogliono mi fa un piacere.
Gabriele Polidori
-- 
OneNET Point Trieste					Tel: 
+39 040 771190
via San Francesco 28/c				Fax: 
+39 040 3726154
34133 Trieste - Italy					
http://www.onenet.it/TS/
Lun e Sab: 10-13 / 16-21
da Mar a Ven: 16-21

 per fare quello che vuoi.
---> questo in tutti i lavori.. non hai nominato l'università, dove è lo
stesso... prof anziani luminari che poi vivono di gloria... esperti di
computer crime che fanno centinaia di conferenze sulla sicurezza informatica
che non sanno proteggere neanche un file pdf o usare il pgp... no comment...
ma questa è un'altra storia ... ;-)


 negli impianti nucleari.
ma per quale ragione l'unità di radioprotezione di un impianto nucleare
immette i proprio dati in rete (LAN/WAN)?? Oppure li lascia in locale? e
naturlamente occorre la protezione.
In Italia le centrali nucleari sono chiuse, nonostante questo il nocciolo di
un reattore è cmq attivo. Questi monitoraggi sono ugualmente obbligatori??
La cosa mi interessa perché dalle mie parti c'è una centrale nucleare spenta
e qualcuno parla di presenza di radionuclidi:
http://digilander.libero.it/alanti/primo.htm
--
extrabyte

 
Perchè sono facilmente consultabili. 
Perchè sono più facili da trattare informaticamente.
Si tratta cmq di un progetto sperimentale, non per l'italia, 
e fino ad ora installazioni in esercizio ce ne sono 0. 
Il progetto nasce per un'azienda che costruisce impianti di
monitoraggio per centrali che vengono installate in giro per il mondo.
ciao