{"id":70,"date":"2008-02-18T00:04:00","date_gmt":"2008-02-17T23:04:00","guid":{"rendered":"http:\/\/blog.ebruni.it\/blog\/?p=70"},"modified":"2008-02-18T00:04:00","modified_gmt":"2008-02-17T23:04:00","slug":"il-gioco-del-bravo-amministrat","status":"publish","type":"post","link":"https:\/\/blog.ebruni.it\/blog\/2008\/02\/il-gioco-del-bravo-amministrat.html","title":{"rendered":"La tua rete \u00e8 sotto attacco? Sempre di Sabato mattina."},"content":{"rendered":"Tempo di lettura: <\/span> 4<\/span> min<\/span><\/span>

\"un_tranquillo_weekend_di_paura.jpg\"E' mattina, ma molto tardi. Ti alzi e sai che oggi \u00e8 un giorno speciale. E' sabato e quindi hai davanti una bella giornata di relax e cazzeggiamento.<\/p>\n

Ti dirigi verso la macchina del caff\u00e8 ma uno sguardo ti cade sul cellulare. Accenderlo o non accenderlo. Questo \u00e8 il dilemma. Ma certo che accenderlo, \u00e8 sabato e tutto \u00e8 perfetto.<\/p>\n

Bip, Bip....Bip, Bip....7 chiamate non risposte. Amministratore delegato della Micso, collega 1, collega 2, collega 3, cliente 1, cliente 2, cliente 3.<\/p>\n

Ok, il caff\u00e8 \u00e8 rimandato, il sabato di relax e di cazzeggiamento \u00e8 rimandato. Sto per avere un deja-vu<\/a>. Qualcosa di brutto \u00e8 successo in Micso.<\/p>\n

Il tempo di collegarmi e di chiamare sua santit\u00e0, l'amministratore delegato della ditta per la quale lavoro. Dal rumore di fondo intuisco subito che sta nella server farm e che quindi la situazione non \u00e8 tragica; \u00e8 peggio!!!<\/p>\n

In sostanza sembra che il firewall che gestisce e protegge la nosta rete \u00e8 bloccato. <\/p>\n

Bene, si inizia. Scopo del gioco: capire dov'\u00e8 il problema e far ripartire la rete. I nemici sono: il tempo, la complessit\u00e0 della rete e il fatto che attualmente ci si trova da remoto e quindi nell'impossibilit\u00e0 di accedere ad una qualunque macchina, firewall completo.<\/p>\n

Vediamo come procedere.<\/p>\n

Step 1 - Shutdown and reboot<\/p>\n

Come ogni bravo informatico, conosco la regola fondamentale di ogni gioco. Se un calcolatore non funziona probabilmente si \u00e8 impallato qualche servizio o il kernel. Si spegne e si riaccende sperando che il problema si risolva magicamente da solo.<\/p>\n

Faccio quindi dare il reboot dal nostro CEO al firewall e attendo a dita incrociate.<\/p>\n

Il responso \u00e8 che la macchina sta ripartendo ma, arrivato al caricamento delle regole del firewall sembra come se stia caricando una regola alla volta con una lentezza estrema.<\/p>\n

Dal punto in cui la macchina inizia a impallarsi si capisce subito che il problema non \u00e8 software ma \u00e8 sulla rete. Indubbiamente, da qualche parte, stanno arrivando una quantit\u00e0 abnorme di dati, talmente enorme che il firewall non ce la fa a gestirli e quindi si affossa.<\/p>\n

Lo step successivo \u00e8 ovvio.<\/p>\n

Step 2 - Staccare tutto<\/p>\n

Faccio staccare tutti i cavi di rete dal firewall che immediatamente riprende fiato. Ok. Si inizia a riattaccare i cavi di rete. Ma molto lentamente \"smile.gif\"<\/p>\n

Prima il cavo delle nostre macchine personali di lavoro. Tutto ok. Il firewall funziona ancora. Poi il cavo verso INTERNET. Ancora tutto ok. Ora posso finalmente rientrare nel firewall.<\/p>\n

Infine il cavo verso la server farm. Buummmm, crashhh, whishhhhhh. Non rifunziona pi\u00f9 nulla. Ok, il problema era, come era prevedibile nella server farm.<\/p>\n

Indubbiamente c'\u00e8 qualche macchina che dall'interno sta facendo casino verso l'esterno. Questo era facilmente intuibile perch\u00e8 se l'attacco proveniva dall'esterno non ci sarebbe stata abbastanza banda per saturare ed affossare il firewall e poi perch\u00e8 comunque il firewall si sarebbe dovuto impallare subito appena riattaccato il cavo verso INTERNET. E invece si \u00e8 impallato ora.<\/p>\n

Data l'impossibilit\u00e0 di lavorare sul firewall con il cavo di rete verso la server farm collegato, per capire chi e cosa sta affossando tutto, bisogna andare per gradi.<\/p>\n

Step 3 - Identificare il servizio sotto attacco<\/p>\n

Come prima cosa vediamo di capire se c'\u00e8 un servizio in particolare sotto utilizzo pressante.<\/p>\n

Attivo iptraf sul firewall, mi metto in ascolto sull'interfaccia verso la server farm e faccio attaccare per dieci secondi il cavo di rete facendolo staccare subito dopo per riprendere il controllo del firewall.<\/p>\n

Il risultato \u00e8 evidente.<\/p>\n

\"attacco_micso_2008_02_16_iptraf.png\"<\/a><\/span><\/p>\n

Qualcuno sta facendo il cattivello sulla porta 53 ossia sta facendo una marea di richieste sui DNS. Vediamo di capire chi.<\/p>\n

Step 4 - Identificare la macchina attaccante<\/p>\n

Fare questo \u00e8 ora molto semplice. Sul firewall lanciamo un tcpdump in ascolto sull'interfaccia di rete della server farm che analizza tutti i pacchetti da e per la porta 53 e facciamo scrivere il tutto su di un file.<\/p>\n

tcpdump -i eth1 -w tcpdump_attacco.dump port 53<\/code><\/p>\n

Attacchiamo il cavo di rete della server farm per dieci secondi e stacchiamo per riavere il controllo del firewall. Scarichiamo il file ottenuto sul pc a casa e analizziamolo con Wireshark.<\/p>\n

\"attacco_micso_2008_02_16_wireshark.png\"<\/a><\/span><\/p>\n

Oh, finalmente abbiamo un IP e quindi il colpevole. <\/p>\n

Dovevate sentirmi, per telefono, ad urlare all'amministratore: \"Stacca il cavo di rete da quella macchina, spegnila, bruciala!!!!!!\".<\/p>\n

Ora che tutta la rete \u00e8 tornata attiva al 100%, per capire se il nostro sabato di relax comincia o siamo solo ad un decimo dell'opera bisogna capire se la macchina \u00e8 nostra o \u00e8 un housing di un cliente.<\/p>\n

Se la macchina \u00e8 nostra, sono dolori, in quanto bisogner\u00e0 capire perch\u00e8 la macchina sta facendo tutto questo casino e dato che la spiegazione \u00e8 una sola, qualcuno che \u00e8 riuscito a fare breccia in qualche vulnerabilit\u00e0 della macchina, ne ha preso il controllo e ora l'ha trasformata in un \"mostro\", bisogner\u00e0 capire come \u00e8 entrato, quali altri danni ha fatto e come riparare al problema. Poi capire chi \u00e8 il responsabile di aver lasciato una nostra macchina con una vulnerabilit\u00e0 aperta. Un affosso da weekend completo<\/p>\n

<\/p>\n

Per fortuna per\u00f2 la macchina non \u00e8 nostra ma di un nostro cliente. Quindi rimane li staccata e spenta. Qualcuno lunedi ricever\u00e0 una telefonata non tanto allegra dal sottoscritto \"grin.gif\"<\/p>\n

Raccontata cosi sembra quasi che la cosa sia stata risolta in dieci minuti. In realt\u00e0 tra il primo momento di panic-mode, il secondo momento del tipo \"non mi ricordo pi\u00f9 questa interfaccia di rete dove vada a finire\" e il terzo momento in cui vai in \"ignore-mode=on\" c'\u00e8 voluta quasi un'ora per venirne a capo.<\/p>\n

Vabb\u00e8, l'importante \u00e8 che ora il \"vero\" sabato pu\u00f2 avere inizio.<\/p>\n","protected":false},"excerpt":{"rendered":"

Tempo di lettura: <\/span> 4<\/span> min<\/span><\/span>E' mattina, ma molto tardi. Ti alzi e sai che oggi \u00e8 un giorno speciale. E' sabato e quindi hai davanti una bella giornata di relax e cazzeggiamento. Ti dirigi verso la macchina del caff\u00e8 ma uno sguardo ti cade … Continua a leggere →<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"ngg_post_thumbnail":0,"footnotes":""},"categories":[25],"tags":[128,131,132,130,129,134,133,2125,113],"class_list":["post-70","post","type-post","status-publish","format-standard","hentry","category-micso","tag-amministrazione","tag-attacco","tag-cracker","tag-ddos","tag-dos","tag-firewall","tag-hacker","tag-linux","tag-rete"],"yoast_head":"\nLa tua rete \u00e8 sotto attacco? Sempre di Sabato mattina. – Il blog di Emiliano Bruni<\/title>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/blog.ebruni.it\/blog\/2008\/02\/il-gioco-del-bravo-amministrat.html\" \/>\n<meta property=\"og:locale\" content=\"it_IT\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"La tua rete \u00e8 sotto attacco? Sempre di Sabato mattina. – Il blog di Emiliano Bruni\" \/>\n<meta property=\"og:description\" content=\"Tempo di lettura: 4 minE' mattina, ma molto tardi. Ti alzi e sai che oggi \u00e8 un giorno speciale. E' sabato e quindi hai davanti una bella giornata di relax e cazzeggiamento. Ti dirigi verso la macchina del caff\u00e8 ma uno sguardo ti cade … Continua a leggere →\" \/>\n<meta property=\"og:url\" content=\"https:\/\/blog.ebruni.it\/blog\/2008\/02\/il-gioco-del-bravo-amministrat.html\" \/>\n<meta property=\"og:site_name\" content=\"Emiliano Bruni, prove tecniche di vita\" \/>\n<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/emiliano.bruni\" \/>\n<meta property=\"article:published_time\" content=\"2008-02-17T23:04:00+00:00\" \/>\n<meta property=\"og:image\" content=\"http:\/\/blog.ebruni.it\/blog\/old_blog_img\/2008\/02\/16\/un_tranquillo_weekend_di_paura.jpg\" \/>\n<meta name=\"author\" content=\"ebruni\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:creator\" content=\"@ebruni\" \/>\n<meta name=\"twitter:site\" content=\"@ebruni\" \/>\n<meta name=\"twitter:label1\" content=\"Scritto da\" \/>\n\t<meta name=\"twitter:data1\" content=\"ebruni\" \/>\n\t<meta name=\"twitter:label2\" content=\"Tempo di lettura stimato\" \/>\n\t<meta name=\"twitter:data2\" content=\"4 minuti\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"WebPage\",\"@id\":\"https:\/\/blog.ebruni.it\/blog\/2008\/02\/il-gioco-del-bravo-amministrat.html\",\"url\":\"https:\/\/blog.ebruni.it\/blog\/2008\/02\/il-gioco-del-bravo-amministrat.html\",\"name\":\"La tua rete \u00e8 sotto attacco? Sempre di Sabato mattina. – Il blog di Emiliano Bruni\",\"isPartOf\":{\"@id\":\"https:\/\/blog.ebruni.it\/blog\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\/\/blog.ebruni.it\/blog\/2008\/02\/il-gioco-del-bravo-amministrat.html#primaryimage\"},\"image\":{\"@id\":\"https:\/\/blog.ebruni.it\/blog\/2008\/02\/il-gioco-del-bravo-amministrat.html#primaryimage\"},\"thumbnailUrl\":\"http:\/\/blog.ebruni.it\/blog\/old_blog_img\/2008\/02\/16\/un_tranquillo_weekend_di_paura.jpg\",\"datePublished\":\"2008-02-17T23:04:00+00:00\",\"author\":{\"@id\":\"https:\/\/blog.ebruni.it\/blog\/#\/schema\/person\/96c305fc6436dc5b2d8a1c45c17f8352\"},\"breadcrumb\":{\"@id\":\"https:\/\/blog.ebruni.it\/blog\/2008\/02\/il-gioco-del-bravo-amministrat.html#breadcrumb\"},\"inLanguage\":\"it-IT\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/blog.ebruni.it\/blog\/2008\/02\/il-gioco-del-bravo-amministrat.html\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"it-IT\",\"@id\":\"https:\/\/blog.ebruni.it\/blog\/2008\/02\/il-gioco-del-bravo-amministrat.html#primaryimage\",\"url\":\"http:\/\/blog.ebruni.it\/blog\/old_blog_img\/2008\/02\/16\/un_tranquillo_weekend_di_paura.jpg\",\"contentUrl\":\"http:\/\/blog.ebruni.it\/blog\/old_blog_img\/2008\/02\/16\/un_tranquillo_weekend_di_paura.jpg\"},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\/\/blog.ebruni.it\/blog\/2008\/02\/il-gioco-del-bravo-amministrat.html#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Home\",\"item\":\"https:\/\/blog.ebruni.it\/blog\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"La tua rete \u00e8 sotto attacco? Sempre di Sabato mattina.\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/blog.ebruni.it\/blog\/#website\",\"url\":\"https:\/\/blog.ebruni.it\/blog\/\",\"name\":\"Emiliano Bruni, prove tecniche di vita\",\"description\":\"Sono uno di quelli che quando prova lo fa, rischiando davvero e se la cosa non va va bene lo stesso, valeva la pena di perdere\",\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/blog.ebruni.it\/blog\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"it-IT\"},{\"@type\":\"Person\",\"@id\":\"https:\/\/blog.ebruni.it\/blog\/#\/schema\/person\/96c305fc6436dc5b2d8a1c45c17f8352\",\"name\":\"ebruni\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"it-IT\",\"@id\":\"https:\/\/blog.ebruni.it\/blog\/#\/schema\/person\/image\/\",\"url\":\"https:\/\/secure.gravatar.com\/avatar\/467d0d68e428074727a27a77caa41474e4e85aca14cef693b4b7faec16e89e26?s=96&d=mm&r=g\",\"contentUrl\":\"https:\/\/secure.gravatar.com\/avatar\/467d0d68e428074727a27a77caa41474e4e85aca14cef693b4b7faec16e89e26?s=96&d=mm&r=g\",\"caption\":\"ebruni\"},\"sameAs\":[\"http:\/\/www.ebruni.it\"]}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"La tua rete \u00e8 sotto attacco? Sempre di Sabato mattina. – Il blog di Emiliano Bruni","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/blog.ebruni.it\/blog\/2008\/02\/il-gioco-del-bravo-amministrat.html","og_locale":"it_IT","og_type":"article","og_title":"La tua rete \u00e8 sotto attacco? Sempre di Sabato mattina. – Il blog di Emiliano Bruni","og_description":"Tempo di lettura: 4 minE' mattina, ma molto tardi. Ti alzi e sai che oggi \u00e8 un giorno speciale. E' sabato e quindi hai davanti una bella giornata di relax e cazzeggiamento. Ti dirigi verso la macchina del caff\u00e8 ma uno sguardo ti cade … Continua a leggere →","og_url":"https:\/\/blog.ebruni.it\/blog\/2008\/02\/il-gioco-del-bravo-amministrat.html","og_site_name":"Emiliano Bruni, prove tecniche di vita","article_publisher":"https:\/\/www.facebook.com\/emiliano.bruni","article_published_time":"2008-02-17T23:04:00+00:00","og_image":[{"url":"http:\/\/blog.ebruni.it\/blog\/old_blog_img\/2008\/02\/16\/un_tranquillo_weekend_di_paura.jpg","type":"","width":"","height":""}],"author":"ebruni","twitter_card":"summary_large_image","twitter_creator":"@ebruni","twitter_site":"@ebruni","twitter_misc":{"Scritto da":"ebruni","Tempo di lettura stimato":"4 minuti"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"WebPage","@id":"https:\/\/blog.ebruni.it\/blog\/2008\/02\/il-gioco-del-bravo-amministrat.html","url":"https:\/\/blog.ebruni.it\/blog\/2008\/02\/il-gioco-del-bravo-amministrat.html","name":"La tua rete \u00e8 sotto attacco? Sempre di Sabato mattina. – Il blog di Emiliano Bruni","isPartOf":{"@id":"https:\/\/blog.ebruni.it\/blog\/#website"},"primaryImageOfPage":{"@id":"https:\/\/blog.ebruni.it\/blog\/2008\/02\/il-gioco-del-bravo-amministrat.html#primaryimage"},"image":{"@id":"https:\/\/blog.ebruni.it\/blog\/2008\/02\/il-gioco-del-bravo-amministrat.html#primaryimage"},"thumbnailUrl":"http:\/\/blog.ebruni.it\/blog\/old_blog_img\/2008\/02\/16\/un_tranquillo_weekend_di_paura.jpg","datePublished":"2008-02-17T23:04:00+00:00","author":{"@id":"https:\/\/blog.ebruni.it\/blog\/#\/schema\/person\/96c305fc6436dc5b2d8a1c45c17f8352"},"breadcrumb":{"@id":"https:\/\/blog.ebruni.it\/blog\/2008\/02\/il-gioco-del-bravo-amministrat.html#breadcrumb"},"inLanguage":"it-IT","potentialAction":[{"@type":"ReadAction","target":["https:\/\/blog.ebruni.it\/blog\/2008\/02\/il-gioco-del-bravo-amministrat.html"]}]},{"@type":"ImageObject","inLanguage":"it-IT","@id":"https:\/\/blog.ebruni.it\/blog\/2008\/02\/il-gioco-del-bravo-amministrat.html#primaryimage","url":"http:\/\/blog.ebruni.it\/blog\/old_blog_img\/2008\/02\/16\/un_tranquillo_weekend_di_paura.jpg","contentUrl":"http:\/\/blog.ebruni.it\/blog\/old_blog_img\/2008\/02\/16\/un_tranquillo_weekend_di_paura.jpg"},{"@type":"BreadcrumbList","@id":"https:\/\/blog.ebruni.it\/blog\/2008\/02\/il-gioco-del-bravo-amministrat.html#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/blog.ebruni.it\/blog"},{"@type":"ListItem","position":2,"name":"La tua rete \u00e8 sotto attacco? Sempre di Sabato mattina."}]},{"@type":"WebSite","@id":"https:\/\/blog.ebruni.it\/blog\/#website","url":"https:\/\/blog.ebruni.it\/blog\/","name":"Emiliano Bruni, prove tecniche di vita","description":"Sono uno di quelli che quando prova lo fa, rischiando davvero e se la cosa non va va bene lo stesso, valeva la pena di perdere","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/blog.ebruni.it\/blog\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"it-IT"},{"@type":"Person","@id":"https:\/\/blog.ebruni.it\/blog\/#\/schema\/person\/96c305fc6436dc5b2d8a1c45c17f8352","name":"ebruni","image":{"@type":"ImageObject","inLanguage":"it-IT","@id":"https:\/\/blog.ebruni.it\/blog\/#\/schema\/person\/image\/","url":"https:\/\/secure.gravatar.com\/avatar\/467d0d68e428074727a27a77caa41474e4e85aca14cef693b4b7faec16e89e26?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/467d0d68e428074727a27a77caa41474e4e85aca14cef693b4b7faec16e89e26?s=96&d=mm&r=g","caption":"ebruni"},"sameAs":["http:\/\/www.ebruni.it"]}]}},"views":6180,"_links":{"self":[{"href":"https:\/\/blog.ebruni.it\/blog\/wp-json\/wp\/v2\/posts\/70","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/blog.ebruni.it\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blog.ebruni.it\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blog.ebruni.it\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/blog.ebruni.it\/blog\/wp-json\/wp\/v2\/comments?post=70"}],"version-history":[{"count":0,"href":"https:\/\/blog.ebruni.it\/blog\/wp-json\/wp\/v2\/posts\/70\/revisions"}],"wp:attachment":[{"href":"https:\/\/blog.ebruni.it\/blog\/wp-json\/wp\/v2\/media?parent=70"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blog.ebruni.it\/blog\/wp-json\/wp\/v2\/categories?post=70"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blog.ebruni.it\/blog\/wp-json\/wp\/v2\/tags?post=70"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}