Vlákno názorů k článku
Web Alza.cz může být nedostupný. Podle firmy někdo zkouší dát jeho IP adresu na blacklisty od Andy_S - o tom jsem nemluvil, mluvil jsem o tom...

o tom jsem nemluvil, mluvil jsem o tom zpusobu namluveni IVR ve stylu "jecheche, juchuchu"

Dovolal jsem se tam před chvílí za 12 vteřin.
Což u Alzy nehrozí ani omylem, tam by byl úspěch 12 minut.

Zato si zkus zavolat na zakaznickou linku ceske "dvojky". Takovou odpornost neudelala nikdy ani alza...

Jedine, ceho jde dosahnout je pokus o odrazeny utok, nic vic. Utocnik spoofne zdrojovou adresu, posle SYN s tim, ze ty "scanovane" cilove IP odpovi - at uz RST, nebo SYN/ACK, kdy se ocekava, ze obet musi nasledne ten paket nejak zpracovat... takovych utoku jsou v praxi mraky kazdy den - a rozhodne se neomezuji jen na proflakle UDP-based sluzby typu DNS, NTP atd. Na realny/funkcni scan je te technika spoofingu kazdopadne nepouzitelna.

Ano, z pohledu obeti s tim nic moc udelat nelze. To, ze se v ramci "uspor" na BCP38 / RFC2827 v mnoha sitich kasle a vstup od zakazniku se nefiltruje je jiny problem. Tim spis je ale hloupost stavet blacklisty zrovna na zaklade spoofnuteho provozu a prohlasovat je za "mozny scan". Ulohou narodnich autorit typu CSIRT.CZ by melo byt toto v ramci komunity (a treba i smerem k provozovatelum tech ne zcela inteligentne fungujicich blacklistu) vysvetlovat. Ono jedna vec je mit "surovou" informaci z nejakeho IDS/IPS/honeypotu, ale i spravne vyhodnoceni takto ziskane informace je v tomto pripade nemene dulezite. A meli by si to uvedomit i ti, kteri ty informace z blacklistu (tupe) prebiraji do svych "bezpecnostnich" reseni ovlivnujici chovani koncovych prohlizecu...

Kdepak, břéská dal.
Asi se jim někdo pomstil za ty necertifikované PPF2 respirátory. ;-)

Říkám si, komu tak může Alza se svým zeleným šmejdem ležet v žaludku? :-) I když poslední dobou je docela zticha. Já ale vlastně TV nesleduju, tak nevím.

Nebyl bych s tim soudem tak prisny. CSIRT by to asi nesdilel na svem webu, kdyby to nebyla uplne pravda (https://csirt.cz/cs/kyberbezpecnost/aktualne-z-bezpecnosti/alza-cz-upozornuje-zakazniky-na-potencialni-problem/), neverim, ze by si to tam dali bez provereni. Web Alzy ma koukam IP 185.181.176.19. Na nejakych blacklistech ta IP je. Tady vidime, ze slo zrejme o TCP SYN scan na porty telnetu/ssh: https://www.abuseipdb.com/check/185.181.176.19

Na to nepotrebujete sestavene spojeni, staci vysilat jen SYN packety se spooflou IP, s tim vam ani RPKI nepomuze. A tady dokonce upozornujou, ze scan muze byt spoofnuty: https://viz.greynoise.io/ip/185.181.176.19

Navic, jako utocnik, ktery se dostal na hlavni web, bych delal urcite jine veci, nez scanoval externi sit, abych o sobe dal vedet...

Ze spoof scan neni ojedinely pripad, muzeme videt i u vetsich hracu https://www.cyberscoop.com/spoofed-bank-ip-address-greynoise-andrew-morris-bank-of-america/

Mimochodem, to je dost zakerny skodeni....