RE: ...E ADESSO CHE SONO ENTRATI?!

non ho seguito questo thread con grande attenzione, ma ho visto che ci
sono state considerazioni attorno al concetto di 'pialla e reinstalla',
sul quale non sono molto d'accordo, se prima non si é individuata la
causa. peró siccome, ripeto, non sono stato attento non prendo
posizione, volevo solo segnalare che sull'argomento é appena stato
rilasciato un articolo dal titolo:

Starting from Scratch: Formatting and Reinstalling after a Security
Incident

l'articolo stesso é @: 
http://www.securityfocus.com/infocus/1692

Ciao,
~mm
 


-----Original Message-----
From: Daniel Marzini [mailto:daniel.marzini@libero.it] 
Sent: Monday, 28 April, 2003 09:12 PM
To: ml@sikurezza.org
Subject: ...E ADESSO CHE SONO ENTRATI?!


so' che gia' in passato ne abbiamo fatto qualche accenno, ma
rileggendole, come ad esempio quella che rimanda a documenti CERT, non
ho trovato risposte esaustive.

a parte documenti CERT(almeno quelli che ho letto), che piu' che
consigli tecnici, forniscono una sorta di elenco di buone e cattive cose
da fare e non fare...

una volta che scopro che un host della mia rete e' stato compromesso ed
averlo isolato(sempre se possibile) dal resto(ponendo che sia tutto a
posto)... come faccio a capire nei minimi dettagli fin dove l'host e'
stato toccato/modificato?

le poche(ahime') cose che mi vengono in mente sono:
i log
ps
lsof
netstat
nmap(forse)
md5

a parte tutto quello che mi manca nella lista prima... un po' di tempo
fa mi cimentavo nella lettura di libri e articoli sugli lkm, che poi ho
abbandonato a causa del tempo, e mi verrebbe in mente di dare un'
occhiata un po' piu' appronfondita' del lsmod; ma come capire se
necessario? e cosa fare?

come molti di voi, penso, non sto chiedendo una soluzione ad un singolo
problema, ma un aiuto a trovare molta documentazione in modo da ampliare
la conoscenza.

grazie,
Daniel


________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List



________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List