Сканирование портов

[bilytur]

Вы меня несколько успокоили,
Хотя мне кажется это все-же целенаправленные дейстаия.
началось все после посещения одного IRC канала

[skin]

Могу посоветовать установить BitDefender 8 Professional Plus
Убьёш сразу двух зайцев,получиш совсем не плохой антивирус и файервол.Испытаеш, а потом увидиш разницу.
Удачи.:up:

[infamous]

Установил, ради интереса, одну программку, которая следит за состоянием реестра и портов. Так вот, бывает - орет зверски и в .log записывает следующее:

"
Type of attack: Possible TCP port scanning

Time: The time is Sun Oct 30 09:27:14 2005 [Local GMT bias +3:00]

Source IP: 62.118.144.160 (ppp144-160.dialup.mtu-net.ru)

Ports: 3490->80

"
Это один из постоянных "клиентов" . Я понимаю, что мой комп попадает под сканирование так же как тысячи других, но может есть какие-то способы :aggressiv воздействия на подобные аттаки. Сегодня, например, было более 30 аттак, в основном:

"Type of attack: Possible TCP port scanning
Time: The time is Wed Nov 23 09:19:22 2005 [Local GMT bias +3:00]
Source IP: 204.15.224.148 ()
Ports: 1716->9815
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Wed Nov 23 09:19:29 2005 [Local GMT bias +3:00]
Source IP: 204.15.224.148 ()
Ports: 2484->9815
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Wed Nov 23 09:19:36 2005 [Local GMT bias +3:00]
Source IP: 204.15.224.148 ()
Ports: 3558->9815
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Wed Nov 23 09:20:40 2005 [Local GMT bias +3:00]
Source IP: 205.209.187.80 ()
Ports: 3411->9815
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Wed Nov 23 09:20:47 2005 [Local GMT bias +3:00]
Source IP: 205.209.187.80 ()
Ports: 3943->9815
"

[Greyman]

infamous
Из официальных - жалоба провайдеру (твоему и/или источника). Любое активное противодействие является нарушением законодательства (уголовного, административного, гражданского). Разумнее ограничится настройкой своей собственной безопасности.

[XPurple]

Вирус Lovesan и им подобные так действуют.
В суд подать на провайдера полюбому надо! ;)

[infamous]

Смотрите, что делается :

"-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Wed Nov 23 13:00:50 2005 [Local GMT bias +3:00]
Source IP: 62.118.145.198 (ppp145-198.dialup.mtu-net.ru)
Ports: 3155->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Wed Nov 23 13:00:51 2005 [Local GMT bias +3:00]
Source IP: 62.118.145.198 (ppp145-198.dialup.mtu-net.ru)
Ports: 3189->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Wed Nov 23 13:00:52 2005 [Local GMT bias +3:00]
Source IP: 62.118.145.198 (ppp145-198.dialup.mtu-net.ru)
Ports: 3155->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Wed Nov 23 13:00:53 2005 [Local GMT bias +3:00]
Source IP: 62.118.145.198 (ppp145-198.dialup.mtu-net.ru)
Ports: 3189->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Wed Nov 23 13:00:53 2005 [Local GMT bias +3:00]
Source IP: 62.118.145.198 (ppp145-198.dialup.mtu-net.ru)
Ports: 3225->443
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Wed Nov 23 13:00:54 2005 [Local GMT bias +3:00]
Source IP: 62.118.145.198 (ppp145-198.dialup.mtu-net.ru)
Ports: 3230->443
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Wed Nov 23 13:00:55 2005 [Local GMT bias +3:00]
Source IP: 62.118.145.198 (ppp145-198.dialup.mtu-net.ru)
Ports: 3225->443
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Wed Nov 23 13:00:55 2005 [Local GMT bias +3:00]
Source IP: 62.118.145.198 (ppp145-198.dialup.mtu-net.ru)
Ports: 3230->443
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Wed Nov 23 13:00:57 2005 [Local GMT bias +3:00]
Source IP: 62.118.145.198 (ppp145-198.dialup.mtu-net.ru)
Ports: 3225->443
"

Я отправлял письмо mtu месяц назад, никакой реакции. Я думаю это один и тот же пользователь mtu.

[Greyman]

infamousСмотрите, что делается :
Ну и шо?
Я отправлял письмо mtu месяц назад, никакой реакции.
Я так понимаю по ЭП? Пока не будет ФЗ об электронном документе и подзаконных актов об ЭЦП (а без нее электронное письмо нельзя будет признать авторизованным) переписка по ЭП не может считаться официальной. По крайней мере в суде это не будет считаться доводом в твою пользу (есть нюансы на счет провайдера, но это как правило не для "простых смертных").
Большинсво сканирований делает не сами пользователи, а их зомби-компьютеры, инфицированные соответствующими закладками. Активное противодействие может привести к обоснованному протесту как со стороны обоих провайдеров, так и со стороны самого "зомби" и даже хацкера. В этом случае со стороны закона ты будешь виновен. А дальнейшее уже зависит от многих факторов (это как в анегдоте про "неуловимого" Билли).

Если ты хочешь быть чист перед законом, а пассивных мер тебе мало, то ты должен написать бумажное письмо провайдеру MTU по его официальному адресу, при этом (чтобы не было "недоразумений") письмо надо отправлять заказным с подтверждением доставки. В письме указать свою проблему приложив имеющиеся журналы и попросив принятия мер или хотя бы прокомментировать данную ситуацию. Далее - зависит от их ответа. В случае же не ответа их в определенный срок (вроде гражданский кодекс устанавливает, 30 или 60 дней) ты можешь повторно запросить у них ответа с предупреждением о возможном обращении в суд с протестом уже на самого провайдера о несоблюдении им определенных правил. А уже после неответа на 2-ое письмо, у тебя будут основания для обращения в суд на самого провайдера (можно конечно и после неответа на первое письмо, но это бессмысленно, т. к. юристы могут найти причины неответа и на больше, чем игнорирование ты не добъешся, а в этом случае еще отдельное гражданское дело нужно будет по оценке причененного из-за неответа ущерба). Как вариант, провайдер может либо закрыть тому пользователю доступ (наиболее вероятно) либо предоставить тебе данные о нем, если ты давал соответствующий запрос (маловероятно, как правило здесь идет ссылка на конфиденциальнось, а соответствующие данные выдаются только по решению суда, поэтому и нужно второе письмо, где это упоминается). Вот так это делается по закону. Запарно? Не то слово. Именно поэтому наиболее эффективно и безболезненно - пассивная защита...

[ScorpionXXX]

Такая ситуация. Работая в интернете мой Outpost Firewall Pro ver. 2.7 выдал сообщение об обнаружение попытки сканирование портов. Сканированы были несколько портов, но все они были заблокированы изначально. Outpost заблокировал его на 5 минут, так же он определил его ip. Можно ли его как-нибудь по его ip вычислить? Да, забыл сказать, что Outpost еще указал на 11 запросов на соединение.

[Greyman]

Ну про IP можешь посмотреть соответствующий топик в Сетях. Также можно посмотреть поисковиком где он засветился... Но вот мысл? В большинстве случаев это автоматическая работа "зомби". В домашних сетях такие случаи постоянны, как и при подключении с выделенкой. Для инета это норма, это же помойка... Если бя по каждому случаю парился, то у меня бы не оставалось времени ни на что остальное... К тому же у аутпоста нередки ложные срабатывания при определении сканирования портов, наиболее часто - от используемого прокси-сервера.

[ScorpionXXX]

Greyman
Спасибо за консультацию. Но все же любопытно, как по ip вычисляют твое место расположение и может ли прокси-сервер 100% гарантировать не определение твоего истинного ip. Где-нибудь можно про это почитать?

[Coutty]

100% гарантировать не может (особенно если это прокси провайдера=)
При желании вычислят, даже если используешь несколько последовательных прокси. Но реально в России этим не занимаются. Почти не занимаются =^_^=
А по интерстранам возникнут скорее юридическо-политические проблемы, чем технические. Т.е. вычислят, но в тюрьму посадить не смогут.

[DeathMan2k4]

Название топика оч. близки, поэтому задам вопрос сюда:

Как можно просканировать порты доступные для почты на почтовом сервере mail.kursknet.ru ?

[shoot]

как по ip вычисляют твое место расположение

http://ripe.net/

НО:

100% гарантировать не может (особенно если это прокси провайдера

[bourger]

Из журнала файрволла (Agnitum Outpost) видно, что кто-то с одного IP из нашей районной сети сканирует порты моего компа. Уже дней десять - перебирает один за другим, по порядку, в диапазоне где-то от 1080 до 5000 (очень примерно). Файрволл его не пускает, но такое внимание со стороны незнакомца несколько неприятно. Что можно с ним сделать?

[mar]

написать провайдеру районной сети. (Кстати меня когда-то сканировали именно с одной из машин провайдера. После вежливого письма, в котором было выражено мое недоумение по этому поводу, - отстали).

[bourger]

А если это не провайдер?
Кроме того, в любом случае хотелось бы хоть как-то щёлкнуть по носу в ответ.
...Да, я кровожадный и беспощадный. :dwarf:
Подскажите, какую ответную атаку можно провести? Желательно попроще (для меня) и без катастрофических (для него) последствий.

[Greyman]

bourger
Много чего... например отдать ему ключи от квартиры где деньги лежат...

Могут быть пассивные и активные методы. Из пассивныъ это просто блокировка его IP у себя на компе. Активные есть как разрешенны, так и запрещенные. О разрешенных уже сказала mar, как вариант, можно обратиться в отдел "К", управление "Р" или как там это еще сейчас называется в МВД (вероятность того, что пошлют, на несколько порядков выше, чем вариант с админами)...

Иные варианты являются нарушением и делают тебе ничем не лучше него самого... Если пофиг - к хацкерам... Здесь этому не место :moderator

[bourger]

Понятно.
А как заблокировать его IP? Через файрволл?

[Kirill_S]

Создайте правило: Параметры-системные-добавить- .... далее укажите адрес(порт) и желаемые действия. Ну..а если вежливо.. послать NET SEND на адрес и попросить либо прекратить атаки, либо провериться на вирусы?

[webser]

Купил комп и после установки "ждентельменского" набора программ (как на старом) появилась "засада" - NAV периодически (20-30 мин) отсекает попытки сканирования порта :

Norton Internet Worm Protection has detected and blocked an intrusion attempt.

Intrusion : Portscan
Intruder : 10.3.61.163 (4347)
Risk Level : Medium
Protocol : UDP
Attacted IP : 255.255.255.255
Attacked Port : 26904

Что это, как это пресечь, что-бы он "не достучался". Можно поставить Outpost - но я в настройках сетевых не силен...
Буду признателен за прояснение ситуации.