tetris
Ну я например обратился, на тот момент к их провайдеру, который долбил уже дней 7
Они спрашивают, скажите нам IP адрес
Я хорошо (просто точно не записал) но первые пять цифр помнил
Дозваниваюсь, опять сканерят, но IP уже совсем другой в этот же день ( первые пять цифр, регион уже другие) вот так, ну само собой, что первые семь дней до звонка провайдеру был один и тот же IP +- последние две-три цифры.
Да и вот сканерю этот же IP (постоянный) там закрыт порт № 25 (исходящий почты ), так вот, в этом городе у этого прова. возможно получение почты, но не возможно её отправка через Outlook
Вот такая фигня была.
FAQ | Сканирование портов
-
ArtemD
Re: FAQ | Сканирование портов
ЗЫ: и вот ещё вспомнилось… Всем известный XSpider при сканировании оставляет «следы», которые потом ссыпаются админу в виде логов о системной атаке. Мне пришлось говорить с девелоперами спайдера, они утверждают, что demo-version не способна наносить физический ущерб системе, чего не скажешь о полной коммерческой версии. Вообщем, я с ними соглашусь, т.к. мне тоже не доводилось видеть, чтобы спайдер (демо 7.0) наносил какой-либо вред. Вот первые его версии, однозначно – да. Лично мной тестировался сервер на платформе WinServer 2000. Машина уходила в даун через 10-15 сканирования.
Тоже случилось и с сервером на платформе *nix (в даном случае это был unix, версии точно не помню). Только сервант лёг через 30 мин. К сожалению, логов для анализа у меня нет, т.к. «тестировалась» не моя сеть, а попросить логи у админа, было бы сверх наглостью
))
И вот опять вопрос, как быть в этом случае? Вероятно, тут будут нужны более веские аргументы?
Тоже случилось и с сервером на платформе *nix (в даном случае это был unix, версии точно не помню). Только сервант лёг через 30 мин. К сожалению, логов для анализа у меня нет, т.к. «тестировалась» не моя сеть, а попросить логи у админа, было бы сверх наглостью
)) И вот опять вопрос, как быть в этом случае? Вероятно, тут будут нужны более веские аргументы?
-
ArtemD
Re: FAQ | Сканирование портов
статья 272 УК РФ п.1.
Цитата УК РФ:
1. Неправомерный доступ к охраняемой законом компьютерной информации, то есть информации на машинном носителе, в электронно-вычислительной машине (ЭВМ), системе ЭВМ или их сети, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети, -
наказывается штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо исправительными работами на срок от шести месяцев до одного года, либо лишением свободы на срок до двух лет.
из комментарий к данной статье:
Цитата:
Состав данного преступления носит материальный характер и предполагает обязательное наступление одного из следующих последствий:
...
- блокирование информации - обеспечение недоступности к ней, невозможности ее использования в результате запрещения дальнейшего выполнения последовательности команд либо выключения из работы какого-либо устройства, а равно выключения реакции какого-либо устройства ЭВМ, системы или сети ЭВМ при сохранении самой информации;
...
в любом случае все зависит от решения суда и результатов следствия.
мое личное мнение, что отправив чужой сервер в перезагрузку или приостановление работы во время сканирования, вы совершаете уголовнонаказуемое преступление.
Цитата УК РФ:
1. Неправомерный доступ к охраняемой законом компьютерной информации, то есть информации на машинном носителе, в электронно-вычислительной машине (ЭВМ), системе ЭВМ или их сети, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети, -
наказывается штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо исправительными работами на срок от шести месяцев до одного года, либо лишением свободы на срок до двух лет.
из комментарий к данной статье:
Цитата:
Состав данного преступления носит материальный характер и предполагает обязательное наступление одного из следующих последствий:
...
- блокирование информации - обеспечение недоступности к ней, невозможности ее использования в результате запрещения дальнейшего выполнения последовательности команд либо выключения из работы какого-либо устройства, а равно выключения реакции какого-либо устройства ЭВМ, системы или сети ЭВМ при сохранении самой информации;
...
в любом случае все зависит от решения суда и результатов следствия.
мое личное мнение, что отправив чужой сервер в перезагрузку или приостановление работы во время сканирования, вы совершаете уголовнонаказуемое преступление.
-
WIZARD MAN
Re: FAQ | Сканирование портов
Не согласен. Если провайдер имеет наглость сканировать Backdor_ы и другие задние места 
(что пров не сомневаюсь) Это они рискуют влететь по самые помидоры.. А может у меня секретная инфа на компе. А кто запретил защищаться? Меня тоже сканили, пока я им в обратную 
Почему так уверен что это пров? Когда мой фаер NIS 2005 заблокировал их IP, я не смог открыть ни одну страницу, и только после разблокировки.. Лучший вариант, послать им страшную месагу, типа: Вы вторглись на территорию охраняемую законом о частной собственности.. И Всё-ё-ё-ё.
(что пров не сомневаюсь) Это они рискуют влететь по самые помидоры.. А может у меня секретная инфа на компе. А кто запретил защищаться? Меня тоже сканили, пока я им в обратную Почему так уверен что это пров? Когда мой фаер NIS 2005 заблокировал их IP, я не смог открыть ни одну страницу, и только после разблокировки.. Лучший вариант, послать им страшную месагу, типа: Вы вторглись на территорию охраняемую законом о частной собственности.. И Всё-ё-ё-ё.-
Greyman
Re: FAQ | Сканирование портов
WIZARD MAN
1)Не стоит путать ответное сканирование настоящего атакующего и сканирование из-за ошибок детектров атак в файрволах.
2)
Цитата:
Когда мой фаер NIS 2005 заблокировал их IP, я не смог открыть ни одну страницу, и только после разблокировки..
Типичные симптомы отсутствия доступа к DNS, так что заблокированный IP действительно мог быть IP его DNS-сервера, что не говорит о его злом умысле.
3) Нередки случаи, когда из-за определенных настроек файрволов их детекторы атак сигнализируют о возможной атаке, к-ая таковой на самом деле не является, а разобраться в этом может только достаточно опытный в этих вопросах пользователь. Наиболее типичным примером "атаки" является появление в логах "сканирования" с одного адреса серии (5-10 шт) портов 1000-го диапазона. Как правило это связано лишь с тем, что абсолютно безобидный сервис пытался для обратной сессии открыть порт, к-ый оказался закрыт в настройках того же файр-вола. Т.е. идет попытка создания обратного соединения, соединение блокировано файрволом, сервер не получает ответа и, как следствие, делает попытку соединиться на один из соседних портов. В результате либо удается обнаружить незакрытый порт и установить соединение, либо соединение разрывается по тайм-ауту. Не редко такое наблюдается как раз на DNS- и proxy-серверах.
4) Чтобы отличить реальную атаку от ложного срабатывания, необходимо внимательно разбираться в журналах своего ПСЭ. В приведенном выше примере порядок действий д/б такой: а)обнаружение "атаки" в виде сканирования короткой последовательности портов 1000-го диапазона, б)поиск блокировки соединений в логах ПСЭ, в)должна обнаружится серия блокировок в соответствии с "атакой", смотрим причину блокировки, г) временно отключаем "блокирующее" правило для этого случая, чтобы убедиться что "атака" перестала повторятся, д)сидим и думаем, можно ли поправитт настройки ПСЭ или все оставить как есть, просто игнорируя подобные "атаки".
5) Неопытный пользователь легко может наделать проблем, если попытается применять активные меры к "нарушителям" его спокойствия. В некоторых случаях это может стоить просто отключением от интернета, а в некоторых - даже возбуждением уголовного дела.
6) Сам я очень редко использую детекторы атак, ну а когда настраиваю ПСЭ у пользователей - обязательно отключаю у пользователей их активные части (типа блокировок, ответного сканирования и т.п.). От "хацкеров" достаточно правильно настроенного самого экрана, плюс наличие обновлений системы. От целенаправленных попыток взлома неопытный пользователь не защитится, а вот проблемы из-за срабатывания своей "активной защиты" огрести может. Ну а логи детектора остаются, т.ч. всегда можно восстановить картину событий.
1)Не стоит путать ответное сканирование настоящего атакующего и сканирование из-за ошибок детектров атак в файрволах.
2)
Цитата:
Когда мой фаер NIS 2005 заблокировал их IP, я не смог открыть ни одну страницу, и только после разблокировки..
Типичные симптомы отсутствия доступа к DNS, так что заблокированный IP действительно мог быть IP его DNS-сервера, что не говорит о его злом умысле.
3) Нередки случаи, когда из-за определенных настроек файрволов их детекторы атак сигнализируют о возможной атаке, к-ая таковой на самом деле не является, а разобраться в этом может только достаточно опытный в этих вопросах пользователь. Наиболее типичным примером "атаки" является появление в логах "сканирования" с одного адреса серии (5-10 шт) портов 1000-го диапазона. Как правило это связано лишь с тем, что абсолютно безобидный сервис пытался для обратной сессии открыть порт, к-ый оказался закрыт в настройках того же файр-вола. Т.е. идет попытка создания обратного соединения, соединение блокировано файрволом, сервер не получает ответа и, как следствие, делает попытку соединиться на один из соседних портов. В результате либо удается обнаружить незакрытый порт и установить соединение, либо соединение разрывается по тайм-ауту. Не редко такое наблюдается как раз на DNS- и proxy-серверах.
4) Чтобы отличить реальную атаку от ложного срабатывания, необходимо внимательно разбираться в журналах своего ПСЭ. В приведенном выше примере порядок действий д/б такой: а)обнаружение "атаки" в виде сканирования короткой последовательности портов 1000-го диапазона, б)поиск блокировки соединений в логах ПСЭ, в)должна обнаружится серия блокировок в соответствии с "атакой", смотрим причину блокировки, г) временно отключаем "блокирующее" правило для этого случая, чтобы убедиться что "атака" перестала повторятся, д)сидим и думаем, можно ли поправитт настройки ПСЭ или все оставить как есть, просто игнорируя подобные "атаки".
5) Неопытный пользователь легко может наделать проблем, если попытается применять активные меры к "нарушителям" его спокойствия. В некоторых случаях это может стоить просто отключением от интернета, а в некоторых - даже возбуждением уголовного дела.
6) Сам я очень редко использую детекторы атак, ну а когда настраиваю ПСЭ у пользователей - обязательно отключаю у пользователей их активные части (типа блокировок, ответного сканирования и т.п.). От "хацкеров" достаточно правильно настроенного самого экрана, плюс наличие обновлений системы. От целенаправленных попыток взлома неопытный пользователь не защитится, а вот проблемы из-за срабатывания своей "активной защиты" огрести может. Ну а логи детектора остаются, т.ч. всегда можно восстановить картину событий.