log firewall

[taddeus]

Il firewall basico del mio routerino dice:

08/09/2005 18:40:34> Firewall:Winnuke detected,from 82.48.101.38 to 123.123.123.123
08/09/2005 18:25:02> Firewall:IP Spoofing detected,from 192.168.100.1 to 123.123.123.123
08/09/2005 16:44:59> Firewall:IP Spoofing detected,from 192.168.100.1 to 123.123.123.123
08/09/2005 16:38:45> Firewall:Winnuke detected,from 82.48.74.251 to 123.123.123.123
08/09/2005 15:14:58> Firewall:IP Spoofing detected,from 192.168.100.1 to 123.123.123.123
08/09/2005 14:38:27> Firewall:Winnuke detected,from 82.48.16.203 to 123.123.123.123
08/09/2005 13:38:55> Firewall:IP Spoofing detected,from 192.168.100.1 to 123.123.123.123
08/09/2005 12:57:35> Firewall:Winnuke detected,from 65.143.47.151 to 123.123.123.123
08/09/2005 12:00:52> Firewall:IP Spoofing detected,from 192.168.100.1 to 123.123.123.123
08/09/2005 10:40:09> Firewall:Winnuke detected,from 82.50.0.53 to 123.123.123.123
08/09/2005 10:20:50> Firewall:IP Spoofing detected,from 192.168.100.1 to 123.123.123.123
08/09/2005 08:40:49> Firewall:IP Spoofing detected,from 192.168.100.1 to 123.123.123.123
08/09/2005 07:08:49> Firewall:SYN Flood detected,from 151.1.244.200 to 10.0.0.3
08/09/2005 07:05:10> Firewall:Winnuke detected,from 82.48.70.70 to 123.123.123.123
.........



123.123.123.123 e' l'ip fittizio che ho in DMZ,

inetnum: 82.48.70.0 - 82.48.79.255
netname: TELECOM-ADSL-3
descr: Telecom Italia S.p.A. TIN EASY LITE
country: IT
admin-c: BS104-RIPE
tech-c: BS104-RIPE
status: ASSIGNED PA
remarks: ##########################################
remarks: Pay attention
remarks: Any communication sent to email different
remarks: from the following will be ignored!
remarks: Any abuse reports, please send them to
remarks: abuse@retail.telecomitalia.it
remarks: ##########################################
mnt-by: TIWS-MNT
source: RIPE # Filtered
person: BBBEASYIP STAFF
address:
address: Via Val Cannuta, 250
address: I-00100 Roma
address: Italy
phone: +39 06 36881
e-mail: ripe-staff@telecomitalia.it
nic-hdl: BS104-RIPE
source: RIPE # Filtered
% Information related to 'BS104-RIPE'
route: 82.48.0.0/16
descr: INTERBUSINESS
origin: AS3269
mnt-by: TIWS-MNT
mnt-routes: INTERB-MNT
source: RIPE # Filtered


cazzarola fanno?
Denghiu'

[matsoftware]

Ti sposto in sicurezza

[billiejoex]

* Il WinNuke è un vecchio tipo di attacco DoS a cui i sistemi odierni sono immuni:
http://en.wikipedia.org/wiki/WinNuke

* Dal generico messaggio 'ip spoofing detected' non si può capire molto. Lo spoofing di un pacchetto IP consiste nel forgiare un pacchetto ex novo e modificare l'indirizzo sorgente specificato nell'header (terra terra: 'A' manda un pacchetto a 'B' firmandosi 'C').
Se incapsuli un pacchetto ICMP in un pacchetto IP di questo tipo e ne mandi una grossa quantità (giusto per dire la prima che mi viene in mente) potresti rischiare un DoS ma se il tuo firewall non fornisce un dump del pacchetto e non specifica nemmeno il tipo di protocollo impiegato la vedo un po' difficile fare una diagnostica.

* Come viene spiegato bene qui:
http://www.iss.net/security_center/a...od/default.htm
...il SYN flood consiste nel forgiare numerosi pacchetti spoofati con gli indirizzi più disparati, settarli con un flag di tipo SYN per inizializzare una moltitudine di socket sull'host remoto, e infine recapitarli per saturare la banda o, in casi più rari, causare un DoS.


Fossi in te non mi preoccuperei cmq più di tanto in quanto il più delle volte si tratta di 'normale' traffico malevolo distribuito a random per la rete. Ovvio che se noti un certo 'accanimento', sopratutto se sempre dagli stessi ip, il discorso è diverso.


Saluti

[makuro]

Originariamente inviato da billiejoex

Fossi in te non mi preoccuperei cmq più di tanto in quanto il più delle volte si tratta di 'normale' traffico malevolo distribuito a random per la rete.
Saluti

Se chatti su reti irc, è ancora più comune...