Newsgroup: it.diritto.internet
Titolo: Strane richieste per servizi TCP inesistenti.

Salve a tutti, 
Sono ormai parecchi mesi che sui log del mio IDS 
(sistema di rilevamento delle intrusioni)
noto spesso e volentieri un indirizzo IP che fa riferimento ad un 
dominio appartentente ad una azienda privata.
Notando questo penso bene di scrivere al loro responsabile informatico
e in copia carbone all'intestatario del dominio
per avvisare di quello che stava accadendo, magari c'era qualche intruso 
nei loro sistemi informatici o chissa' che cosa altro, a me era 
sembrata comunque una strana anomalia (peraltro mai vista prima).
Immediatamente, poche ore dopo, ricevo una mail fimata dal resposabile
dei sistemi informativi che mi dice che loro utilizzano un nuovissimo 
sistema in grado di garantire l'affidabilita' e la gestione dei loro 
link di connessione internet...yatta yatta...bla bla...
il discorso va avanti cosi' con terminologie che neanche google e' stato 
in grado di risolvermi e inglesismi vari...
...in pratica questo sistema dovrebbe garantire loro l'utilizzo del link internet
piu' veloce in quel momento. Questo signore continua dicendomi che 
il sistema non fa altro che mandare di tanto in tanto un innoquo pacchetto stile icmp?
per garantire all'utente il link piu' veloce e che gia' altri avevano 
segnalato questa cosa ma non c'era nulla di che preoccuparsi.
Il mio firewall lato internet filtra tutte le richieste in ingresso:
quelle web per il webserver, quelle DNS per il dns e cosi via; tutti questi server 
risiedono fisicamente all'interno del firewall; tutte le richieste 
diverse vengono automaticamente rifiutate e in alcuni casi rilevate
dall'IDS che blocca temporaneamente e segnala l'ip incriminato per un
eventuale abuse. 
Questo 'innoquo paccetto stile icmp' fa una richiesta per una particolare 
porta verso il mio DNS-server. Naturalmente questa richiesta non arrivera' mai
al dns in quando diretta verso una porta diversa da quelle utilizzate
da tutti i  dns (porta 53 tcp/udp) perche' filtrata dal firewall e 
registrata dall' IDS.
Premetto che questo non mi arreca nessun danno, ma secondo voi
tutto cio' e' legale?
fabrizio


Mi sa tanto dello stessa sistema usato da Symantec, tramite un loro
carrier, perché io ho avuto lo stesso problema.
In pratica avevo Norton Antivirus (adesso uso altro, Norman Virus
Control) su dei pc win98 e nelle impostazioni di rete c'è come dns il ns
(che è comunque pubblico), quindi Symantec vede da che IP vengono
richiesti gli aggiornamenti, se la macchina ha un IP fisso cerca il dns
server collegato a quell'IP e fa quel cavolo di ping, che anche a me
faceva suonare il firewall (uso NetBarrier su Mac); allora ho scritto ai
contatti abuse dell'ip di provenienza e mi hannp spiegato sto loro
sistema un po' complesso per trovare il link + veloce tra me e loro.
Mi hanno chiesto gentilmente di non bloccarli, ma ancora non ho deciso...
Se qualcuno ha avuto la stessa esperienza sarebbe interessante capire
meglio se sta roba sia del tutto innofensiva o meno.
Gabriele Polidori 
-- 
OneNET Point Trieste					Tel: 
+39 040 771190
via San Francesco 28/c				Fax: 
+39 040 3726154
34133 Trieste - Italy					
http://www.onenet.it/TS/
Lun e Sab: 10-13 / 16-21
da Mar a Ven: 16-21

 
Gabriele, 
se vuoi ti posso far avere gli header dei pacchetti tcp
che sono stati loggati.
Per me questo genere di roba e' del tutto inoffensiva
ma, secondo me, va in conflitto con le varie implementazioni del protocollo intenet:
vedi le varie RFC. In effetti ho dato una spulciatina veloce
ma  non ho trovato proprio nulla! ... e poi secondo me non serve a niente!
poiche un dns serio risponde solo alle richiese su porta53 una richiesta 
su una porta divesta va in time-out e/o viene rifiutata in malo modo.
Quindi:
1. Almeno nel mio caso non si tratta di un ping (pacchetto ICMP) ma di una vera e 
propria richiesta su una determinata porta...associata a nessun servizio.
Un po come fanno in giro i worm sui sistemi M$ che provano ad attaccare le porte tipo
135, 554 ecc che se aperte inoculano il worm.
2. Queste richieste vengono fatte verso i  DNS-server che, in quanto tali, 
per funzionare e' loro richiesto di avere solamente aperta la porta 53/ucp ed in 
alcuni casi anche la 53/tcp.
3. Non esiste nessuna regola che impone a chi gestisce i server 
di rendere attive determinate porte(se non necessarie) e visibili al ping (pacchetto ICMP)...anzi.....!
Poiche' questo genere di richieste  non sono documentate da nessuna parte (vedi RFC, o 
cert.org
),
io le ritengo al parti di tutte le schifezze che viaggiano per la rete in questi 
periodi: worm, portscan-generati dai virus, e rari casi di veri e propri tentativi di intrusione
di qualche malintenzionato; mentre i primi vengono solamente loggati per i secondi,
i tentativi di DDOS, scan e roba varia, che dai log si capisce essere un 
di attacco vero e proprio vengono automaticamente segnalati all' abuse.
Per alcune  di queste segnalazioni ho ricevuto incoraggianti risposte tipo:
the owner from IP Adress x.x.x.x was informed to check his 
networksettings.
It`s not compatible with the Netiquette from Eunet to attack other networks or 
infrastructure.
oppure:
in relazione alla sua segnalazione, La informiamo che stiamo prendendo
adeguate iniziative nei confronti dei nostri abbonati che hanno tentato
l'attacco alla Sua macchina.
Nel mentre La informiamo che se ritiene di essere stato danneggiato, può
sporgere regolare denuncia alle autorità competenti, alle quali, dietro
esibizione di quest'ultima potremo fornire tutti i dati a nostra
disposizione per il regolare svolgimento delle indagini.
Cio' mi fa pensare che anche a livello giuridico ci siano delle regolamentazioni 
in merito.
Dove,  si configurano, dunque, gli estremi per una denuncia e/o  un reato?
fabrizio.