porte in ascolto

Salve a tutti.

Ho scritto una piccola utility (un programmino perl che usa l'output si 
netstat e lsof) che effettua il monitoraggio delle porte che risultano "in 
ascolto" su un server linux. Questo elenco viene innanzitutto vien filtrato 
dalle porte che mi aspetto siano aperte (porta 80 ecc). Se salta fuori 
qualche porta che non mi aspetto aperta viene generato un e-mail che mi 
segnala il fatto, oltre a riportare il nome del programma che sta 
utilizzando quella porta.

Il programma non e' niente di particolarmente intelligente, ma al momento 
pare funzionare: quello che mi preoccupa č quello che mi viene segnalato 
ogni tanto!
Guardate ad esempio questo output:
=============
Porta 2165 udp:
COMMAND   PID USER   FD   TYPE   DEVICE SIZE NODE NAME
tcpd    12901 root    4u  IPv4 33071043       UDP *:2165

Porta 2164 udp:
COMMAND    PID USER   FD   TYPE   DEVICE SIZE NODE NAME
sendmail 12898 root    4u  IPv4 33071041       UDP *:2164
=============

Sinceramente non mi spiego perchč sendmail sia in ascolto su una porta UDP: 
qualcuno di voi mi saprebbe aiutare?

Grazie a tutti, e buon lavoro

Massimo Ferrario

PS
Giusto per mettervi in guardia, vi descrivo il background che mi ha 
condotto a scrivere il suddetto programmino:

Qualche giorno ad un mio cliente č stato "consegnato" un server in housing 
presso l'IDC (Internet Data Center) di Telecom Italia.
Sul server č stata installata dal personale di Telecom la versione 7.1 di 
RedHat linux SENZA perņ applicare nessuna delle numerose patch disponibili 
per il sistema operativo. Per migliorare le cose, i signori hanno per prima 
cosa abilitato apache + mod_ssl, aperto il firewall di front-end in modo 
che il server fosse accessibile al pubblico. Solo dopo una decina di giorni 
č stata abilitato l'accesso SSH al server con il quale abbiamo potuto 
applicare le patch al sistema operativo ... solo che a quel punto il server 
era gia' stato infettato dal worm Slapper!

Adesso siamo in attesa che Telecom reinstalli il sistema operativo (ci 
reinstalleranno ancora la 7.1 senza patch). Questa volta perņ abbiamo dato 
precise istruzioni sull'ordine di apertura dei firewall: prima apriranno le 
porte della VPN per permetterci di applicare le patch, e solo al nostro OK 
apriranno il firewall verso i "cattivi"!

Inutile dire che ora in mio cliente vuole sapere con esattezza cosa succede 
sulla sua macchina.

Ma vi prego, l'ho messo solo per avvisarvi nel caso vi troviate nella mia 
situazione: non iniziamo una tiritera su come lavora male la ditta X o Y!
Massimo Ferrario - Inforeti srl
via Pellizzo 39 - Padova - 049 8079040


________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List