Vlákno názorů k článku
Web Alza.cz může být nedostupný. Podle firmy někdo zkouší dát jeho IP adresu na blacklisty od uzivatel_neexistuje - Nebyl bych s tim soudem tak prisny. CSIRT...

Nebyl bych s tim soudem tak prisny. CSIRT by to asi nesdilel na svem webu, kdyby to nebyla uplne pravda (https://csirt.cz/cs/kyberbezpecnost/aktualne-z-bezpecnosti/alza-cz-upozornuje-zakazniky-na-potencialni-problem/), neverim, ze by si to tam dali bez provereni. Web Alzy ma koukam IP 185.181.176.19. Na nejakych blacklistech ta IP je. Tady vidime, ze slo zrejme o TCP SYN scan na porty telnetu/ssh: https://www.abuseipdb.com/check/185.181.176.19

Na to nepotrebujete sestavene spojeni, staci vysilat jen SYN packety se spooflou IP, s tim vam ani RPKI nepomuze. A tady dokonce upozornujou, ze scan muze byt spoofnuty: https://viz.greynoise.io/ip/185.181.176.19

Navic, jako utocnik, ktery se dostal na hlavni web, bych delal urcite jine veci, nez scanoval externi sit, abych o sobe dal vedet...

Ze spoof scan neni ojedinely pripad, muzeme videt i u vetsich hracu https://www.cyberscoop.com/spoofed-bank-ip-address-greynoise-andrew-morris-bank-of-america/

Mimochodem, to je dost zakerny skodeni....

Říkám si, komu tak může Alza se svým zeleným šmejdem ležet v žaludku? :-) I když poslední dobou je docela zticha. Já ale vlastně TV nesleduju, tak nevím.

Kdepak, břéská dal.
Asi se jim někdo pomstil za ty necertifikované PPF2 respirátory. ;-)

Zato si zkus zavolat na zakaznickou linku ceske "dvojky". Takovou odpornost neudelala nikdy ani alza...

Dovolal jsem se tam před chvílí za 12 vteřin.
Což u Alzy nehrozí ani omylem, tam by byl úspěch 12 minut.

o tom jsem nemluvil, mluvil jsem o tom zpusobu namluveni IVR ve stylu "jecheche, juchuchu"

Jedine, ceho jde dosahnout je pokus o odrazeny utok, nic vic. Utocnik spoofne zdrojovou adresu, posle SYN s tim, ze ty "scanovane" cilove IP odpovi - at uz RST, nebo SYN/ACK, kdy se ocekava, ze obet musi nasledne ten paket nejak zpracovat... takovych utoku jsou v praxi mraky kazdy den - a rozhodne se neomezuji jen na proflakle UDP-based sluzby typu DNS, NTP atd. Na realny/funkcni scan je te technika spoofingu kazdopadne nepouzitelna.

Ano, z pohledu obeti s tim nic moc udelat nelze. To, ze se v ramci "uspor" na BCP38 / RFC2827 v mnoha sitich kasle a vstup od zakazniku se nefiltruje je jiny problem. Tim spis je ale hloupost stavet blacklisty zrovna na zaklade spoofnuteho provozu a prohlasovat je za "mozny scan". Ulohou narodnich autorit typu CSIRT.CZ by melo byt toto v ramci komunity (a treba i smerem k provozovatelum tech ne zcela inteligentne fungujicich blacklistu) vysvetlovat. Ono jedna vec je mit "surovou" informaci z nejakeho IDS/IPS/honeypotu, ale i spravne vyhodnoceni takto ziskane informace je v tomto pripade nemene dulezite. A meli by si to uvedomit i ti, kteri ty informace z blacklistu (tupe) prebiraji do svych "bezpecnostnich" reseni ovlivnujici chovani koncovych prohlizecu...