Hit απο "αγνωστες" πηγές

[Chemical]

καλισπέρα καθώς περιπλανιομουν στο ιντερνετ ο firestarter (firewall)με ειδοποιεί για κάποιο hit απο την τάδε ip,το ίδιο γεγονός επαναλαμβάνετε συνέχεια,κάνω look up την ip

και μου εμφανιζει tor.primus.ca και net.cable.rogers(δεν τα ξέρω τα παιδιά) κάνω google kai μάλλον πρόκειται για εταιρία επικοινωνιών στο καναδά.

Και λέω εγω γιατί διάολε όλα αυτά?

Τι ψάχνουν(lol!!!)

[nske]

Ανάλογα το configuration του firewall, μπορεί να είναι οτιδήποτε.

 

Ένα αρκετά πιθανό ενδεχόμενο είναι κάποιος να έκανε port scan ranges διευθύνσεων, ίσως για να βρει αδύναμα συστήματα ή ανοικτές υπηρεσίες, και έτυχε να πέσει και στη δική σου.

 

Αλλά για να πει κάποιος με σιγουριά τι έγινε, θα πρέπει να γνωρίζει το configuration του firewall και/ή το λεπτομερές περιεχόμενο του μηνύματος (αν είναι καθόλου λεπτομερές).

 

ΥΣ. Τώρα πρόσεξα το hostname. tor.primus.ca παραπέμπει ίσως σε κάποιον exit node του ελεύθερου δικτύου ανωνυμίας TOR, το οποίο χρησιμοποιούν πολλοί για να κάνουν ό,τι θέλουν χωρίς να φανεί, ή να μπορεί να βρεθεί εύκολα, η πραγματική τους διεύθυνση από τον προορισμό (π.χ. εσένα).

[Chemical]

To congiguration ειναι default και το μήνυμα απλά ειναι "hit from ..ip.."

Πως ορίζεις ένα μή αδύναμο σύστημα ?

 

Επισης πως θα μπορούσα να του στείλω μήνυμα ή να επικοινωνήσω με τον τυπο?(καλα αυτο είναι λίγο scifi απλα αναρωτιέμαι)

και που συνήθως είναι ο στόχος τους?

[Chemical]

Μάλλον καποιος παίζει με κάποιο πρόγραμμα...Αφου έιμαι στη υποτιθέμενη attack list του ποια κριτιρια ικανοποιώ εγώ για να του κάνω response ως αδυναμο σύστημα?

[nske]

To congiguration ειναι default και το μήνυμα απλά ειναι "hit from ..ip.."

Δε ξέρω ποιο είναι το default configuration που περνάει στα iptables o firestarter ή ποιο σύστημα χρησιμοποιεί για να ανιχνεύσει τα "Events" (ίσως το logging target των iptables). Τους κανόνες των iptables μπορείς να τους δεις με "iptables -L -vv", επίσης αν logg-άρει κάποια matches, λογικά θα γράφει τα μηνύματα κάπου στο /var/log.

 

To "hit from ip" δε σημαίνει εξ' ορισμού τίποτα συγκεκριμένο (προφανώς πέρα από το η συγκεκριμένη IP έστειλε κάποια πακέτα σε σένα). Μήπως στην καρτέλα "events" του firestarter λέει περισσότερες λεπτομέρειες;

http://www.fs-security.com/docs/events-page.php

 

Δε το έχω χρησιμοποιήσει ποτέ, απλά θυμάμαι ότι είναι front-end για τα iptables.

 

ποια κριτιρια ικανοποιώ εγώ για να του κάνω response ως αδύναμο σύστημα

Μπορεί και κανένα, το ότι κάποιος σου στέλνει πακέτα, π.χ. με σκοπό να ελέγξει τις ανοικτές θύρες TCP σου, δε σημαίνει τίποτα. Μπορεί εσύ να τις έχεις όλες κλειστές ή, και να είναι, μπορεί οι κανόνες του firewall να μην τα αφήσουν να περάσουν και απλά να τα καταγράφουν. Όλα εξαρτώνται από το ποιες υπηρεσίες τρέχουν στο μηχάνημα και από το τι κανόνες έχει το firewall για τα εισερχόμενα πακέτα. Το Netfilter θα δεχτεί ούτως ή άλλως τα εισερχόμενα πακέτα του άλλου και θα τα κάνει ότι του λένε οι κανόνες των iptables να τα κάνει (μπορεί να τα απορρίψει σιωπηλά, να τα κάνει log, να τα αφήσει να περάσουν, να επιστρέψει ICMP forbidden ή να τα επιστρέψει πίσω).

 

Επισης πως θα μπορούσα να του στείλω μήνυμα ή να επικοινωνήσω με τον τυπο?

 

Δε μπορείς, εφόσον χρησιμοποιεί proxy. Μπορείς μόνο να επικοινωνήσεις αν θέλεις με τον διαχειριστή της διεύθυνσης από την οποία συνδέεται ο proxy, του οποίου μπορείς να βρεις τα στοιχεία από τη βάση της ARIN με whois (π.χ. whois διεύθυνση_IP).

[Chemical]

Σύμφωνα με το λινκ τιποτα το κατατοπιστικο

Πάντως δεν "έβγαλε-ανταποκρίθικε" κάτι προς τα έξω απο το system μου

οχι οτι ανησυχούσα αλλα απλα παρατηρηση

[Chemical]

Είναι πολλά τα log files

[Chemical]

Στο folder etc/firestarter υπάρχουν 2 φάκελοι inbound kai outbound τους οποιος δε μπορώ να προσπελάσω ούτε με sudo

πώς θα τα καταφέρω;

[nske]

Αποκλείεται να μη μπορεί να τους προσπελάσει ο root, τι δικαιώματα/ιδιοκτήτη έχουν;

 

Αν θέλεις να εργάζεσαι πιο άνετα ως root, για να μην χρησιμοποιείς sudo όλη την ώρα, μπορείς να ανοίξεις ένα interactive root shell δίνοντας

>$ sudo bash -

[Chemical]

είναι drwx --- --- μονο o root έχει δικαιώματα

οκ τώρα έιμαι μόνιμα root

Εχει τα εξης files τα οποια είναι κενα:

allow-from allow-service forward setup

ολα είναι blank εκτός του setup

have to look elsewhere

 

εντωμεταξύ και άλλο hit απο:39.99.101.131

[100 010 00]

Για κανε ενα release_renew την ip σου να δεις αν συνεχιζετε το attack

[Chemical]

Δεν χρειάζεται τους τελείωσαν oi sfaires...(lo)

Τελικά με έχουν βάλει στο μάτι