May 2004 - NLNOG - mailman3.nlnog.net

VRIBL
by jaap＠is.nl 25 May '04

25 May '04

> On Mon, 24 May 2004, Remco Bressers wrote: > > > Wat mij opviel is dat je in dit geval een geweldige database aan het > > bouwen bent voor potentiele hackers/scriptkiddies en wat al niet meer. > > We kijken even in de VIRBL database voor iedereen met het MyDoom virus > > en gaan vervolgens keurig staan spammen via poort 3127 van de target. > > Dit maakt het wel HEEL makkelijk voor hackers niet? > > Ik weet niet of ik dat wel zo'n sterk argument vind. Mensen die met > mydoom besmette bakjes willen exploiten, kunnen ook gewoon een portscan > doen op de netblocks van willekeurige DSL boeren. Of in hun inbox > kijken. Dat de virussen steeds vaker gebruikt kunnen worden (en worden) > als spamtool, is IMHO reden te meer om besmette hosts te blacklisten. > > Los daarvan is de database ook toegankelijk voor abusedesks van ISP's. > Die kunnen vervolgens aktie ondernemen. Gelukkig zijn er steeds meer die > dat ook inderdaad doen. Een aantal heeft zich inmiddels opgegeven voor > de dagelijkse reports die we versturen. Hetzelfde argument gaat mijn inziens ook op voor 'normale' blacklists. Ook die blacklists kunnen gebruikt worden door spammers om op open-relay te scannen en eventueel te misbruiken. Misschien minder effectief omdat die blacklists (momenteel althans) frequenter gebruikt worden door ISP, maar in principe hetzelfde probleem. Ik denk dat de voordelen van een dergelijke virusblacklists weldegelijk opwegen tegen de nadelen. Voor ISPs die de lijst gebruiken, zorgt dit voor minder bandbreedte en een lagere belasting van de mailsystemen. Ook voorkomt dit helpdesk werk (het uitleggen van bounces naar de valse afzenders, etc...). En ISPs die de blacklist al gebruiken zijn sowieso niet 'vatbaar' voor de spammers die de lijst willen misbruiken. Met vriendelijke groet, Jaap O. Mark IS AbuseDesk -------- I S - I N T E R N E D - S E R V I C E S - B V -------- domeinregistratie - webhosting - colocating - dedicated servers www.is.nl - helpdesk at is.nl - T: 0299-476185 Gorslaan 18 - 1441 RG - Purmerend ---------------------------------------------------------------

1 0

VRIBL
by alex＠bit.nl 24 May '04

24 May '04

On Mon, 24 May 2004, Remco Bressers wrote: > Wat mij opviel is dat je in dit geval een geweldige database aan het > bouwen bent voor potentiele hackers/scriptkiddies en wat al niet meer. > We kijken even in de VIRBL database voor iedereen met het MyDoom virus > en gaan vervolgens keurig staan spammen via poort 3127 van de target. > Dit maakt het wel HEEL makkelijk voor hackers niet? Ik weet niet of ik dat wel zo'n sterk argument vind. Mensen die met mydoom besmette bakjes willen exploiten, kunnen ook gewoon een portscan doen op de netblocks van willekeurige DSL boeren. Of in hun inbox kijken. Dat de virussen steeds vaker gebruikt kunnen worden (en worden) als spamtool, is IMHO reden te meer om besmette hosts te blacklisten. Los daarvan is de database ook toegankelijk voor abusedesks van ISP's. Die kunnen vervolgens aktie ondernemen. Gelukkig zijn er steeds meer die dat ook inderdaad doen. Een aantal heeft zich inmiddels opgegeven voor de dagelijkse reports die we versturen. -- Met vriendelijke groet, Alex Bik, BIT BV AB2298-RIPE

1 0

Virussen
by jan＠openpeering.nl 24 May '04

24 May '04

Hoi, > > Daar ben ik het niet mee eens, ik vind dat dat absoluut wel abuse is. > > Verschil van definitie. Ik zie bewust misbruik (cracking, spamming) als > abuse, maar mijn moeder die zich niet bewust is van een virus op haar > pc'tje hoort imho niet afgesloten te worden onder de noemer 'abuse'. Ze > pleegt geen misbruik, ze is hoogstens (understatement, ik gaf > haar voor haar recente verjaardag het boek "windows xp voor > senioren) clueloos. Stel je voor dat 'een' oma zonder rijbewijs in de auto stapt omdat ze niet wist dat je daar een rijbewijs voor nodig had. Ja, dan is ze bepaald clueless. Maar evengoed wel strafbaar. Of je nu wel of niet weet dat je computer met een virus besmet is, en of je nu wel of niet weet dat andere last hebben van je maakt niet uit voor wiens verantwoordelijkheid het is. Als het niet de verantwoordelijkheid van de eigenaar van de PC is om hem virusvrij te maken/houden, wiens verantwoordelijkheid is het dan? Van niemand? Van je ISP? Van Microsoft? Van de politie? Van 'de maatschappij'? Clueless zijn kan hoogstens een verzachtende omstandigheid zijn. Aan de andere kant, aansluiten op Internet met een Windows doos via een permanente verbinding (ADSL of kabel) zonder iets aan virusbescherming te doen lijkt me juist eerder een verzwarende omstandigheid. Je doet toch ook een slot op je huisdeur? Ik denk dat je als klant wel van een ISP mag verwachten dat hij je informeert over dit soort risico's en mogelijke oplossingen op het moment dat je klant wordt (en zeker wanneer je voor abuse zorgt). Net zoals dat ze bij vuurwerk waarschuwingen meesturen en veiligheidslonten aanraden. Het blijft mijn eigen vertantwoordelijkheid om vuurwerk veilig af te steken, maar er zijn nu eenmaal gevaren en mijn leverancier moet mij daar wel op wijzen. > > If that's what it takes, then that's what it takes. > > Daar denken aandeelhouders (in general) denk ik iets anders over. En wat als klanten aan de lopende band bij je aan de lijn hangen omdat ze niets meer kunnen doen omdat hun IP adressen door talloze ISP's uitgefilterd worden? Het probleem moet dus omgedraaid worden: als iemand abuse pleegt komt ie in een RBL terecht en wordt ie door veel partijen uitgefilterd. Mensen die uitgefilterd worden gaan of klagen bij hun ISP, gaan in de markt lopen roepen dat hun ISP klote is of stappen over op een andere ISP. Allemaal dingen die je aandeelhouders niet graag willen. Het moet dus zowel voor de ISP als voor de klant duurder (vervelender) worden om niets aan abuse te doen dan om er wel wat aan te doen. En dat kan denk ik alleen via filtering (of ooit via wetgeving die het strafbaar stelt). > > Je zou het natuurlijk ook slimmer op kunnen lossen. > > Slimme en permanente oplossing prima, maar iedereen zomaar afsluiten en > (wachten tot ze zelf gaan) bellen is geen oplossing. De vraag is dus of jij beslist om ze af te sluiten of dat de rest van het Internet dat beslist door te filteren. Ik denk dat je als ISP wilt voorkomen dat de rest van het Internet jou of jouw klanten gaat filteren en dat je daaarom liever de klant zelf maar vast informeert en afsluit bij abuse. Groeten, Jan. --- Jan Hoogenboom Open Peering

4 4

Virussen
by jes＠nl.demon.net 24 May '04

24 May '04

On Fri 21 May 2004 (08:32 +0200), Arjan wrote: > On Thu, 20 May 2004 at 23:45 +0200, Alex Bik wrote: > > > Dames en heren abusemensen, doe hier uw voordeel mee. De hoeveelheid > > e-mail veroorzaakt door virussen loopt echt de spuigaten uit en er wordt > > _veel_ te weinig aan gedaan. Wie er prijs op stelt, kan ik periodiek een > > lijstje met besmette hosts mailen die binnen zijn/haar netwerk vallen. > > En dan? Ze allemaal gaan bellen en/of afsluiten? The demon customer has just lost routeing pending their cleaning their system -- Jim Segrave jes at nl.demon.net

1 0

Virussen
by shan＠next-element.nl 22 May '04

22 May '04

> > ik zie het als mijn taak om mijn netwerk goed op orde te houden. > <flamebait> :) > > > Ik weet zelf nog niet of we hem ook gaan implementeren, maar als ik > > mijn collega's een beetje ken.... > Dan? /me grinnikt dan gaan we hem dus zsm implementeren :) > > > hoe zie je dan de verplichte filtering? en WAT voor filtering? > > bedoel je filtering op mail, en/of ook op poorten? > Ik denk dan met name aan filtering vanaf de klant naar buiten, met opt-out > voor de cluevolle mensen en bv een strafmechanisme (opt-out gekozen en > toch bevuilen, dan voorlopig veroordeeld tot een smarthost). aaah... ok.. maar wie/hoe ga je dat bijhouden? als je inbelklanten hebt, gaan ze gewoon bij een ander inbellen :/ trust me.. they do: als je wil lqchen/huilen: Wij bellen een klant van ons op: 1 van jullie inbellers heeft zeer waarschijnlijk dit en dat virus want .. blablabla.. pls gepaste actie ondernemen klant belt terug: hij wil zijn laptop gebruiken. Hij heeft beloofd zijn pc niet meer te gebruiken. Kan ie nu zijn password krijgen? wij: dhuh? wat denk jezelf. denk je nu echt dat die klant straks zijn pc er niet in prikt klant belt terug: hij is nu zijn schij aan het formateren, mag hij zijn password, zodat hij in kan bellen met zijn laptop? wij: nee, opnieuw installeren heeft geen zin: a denk je nu echt dat ie zijn os opnieuw gaat installeren? b als hij een virus heeft zit ie waarschijnlijk in zijn mailbox: klant gaat zijn mail weer lezen, huppekee, virus is er weer OF het zit op de rest van zijn harde schijf (geinfecteerde bestanden) c het is erg makkelijk om ff je laptop erop te zetten en de volgende dag weer je (besmette) pc klant mailt terug: klant is weg en belt nu in op een ander nummer. > > E-mail is bij mij altijd de slechtste manier van communicatie gebleken, ik > schijn het tot kunst verheven te hebben om mensen onbedoeld op hun ziel te > trappen waar alleen goede bedoelingen ten grondslag liggen. E-mail sux :) ghe :) you are a winner ;) > Kopje thee? altijd! als er maar een koekje bij zit :P zie je vast binnenkort wel ergens. schiet me dan maar aan: lang donker haar en 1:70. Kan niet missen of contact me maar op #nlnog (siong) greetzs -- Siongs personal opinion

1 0

Virussen
by bvisser-nlnog＠xs4all.nl 21 May '04

21 May '04

> On Fri, 21 May 2004 at 22:09 +0200, Boudewijn Visser wrote: > >> Evenzeer is het moeders PCtje wat de rotzooi het net op stuurt. > > Nee hoor, want de bak is door mij geconfigt, firewall en auto-update staan > aan. I'm not THAT stupid. Ah, ik dacht dat je de prototypische moeder beschreef die wel een PC, geen clue, en ook geen familie-support-engineer met voldoende clue had. > >> Of dat ingevuld wordt door afsluiten, bellen, monteur langssturen (yeah, >> right), of in een quarantaine netje zetten of wat dan ook is de eigen >> keuze van de ISP. Als het maar als resultaat heeft dat die klant stopt >> met >> het veroorzaken van overlast. > > En na deze overlast komt er wel weer een nieuwe vorm van overlast, die we > weer met allerlei lapjes kunnen gaan stelpen terwijl de sluizen vol open > staan. > > Voorkom dat de boot kan zinken of desnoods dat het lek slaat, in plaats > van hozen tot we allemaal dood neervallen. Dat is een mooi streven, maar ik zie helaas geen snelle (of simpele) oplossingen om het probleem structureel aan te pakken, dus zullen we nu toch echt moeten hozen. Soms ben ik wel eens bang dat de oplossing in de richting van on-line services gaat ipv internet access services. Het Net en AOL, zeg maar. (overigens internetten mijn ouders met Linux) Boudewijn

1 0

Virussen
by shan＠next-element.nl 21 May '04

21 May '04

> > > Nee, het is imho primair de verantwoordelijkheid van de huurder om dat te > > > voorkomen dat er rommel uit z'n hok komt. > > wat is er gebeurd met de houding: > > "mijn netwerk" > > het is toch JOUW netwerk en niet dat van de klant? > Allereerst is het niet mijn netwerk maar dat van mijn werkgever. En de > klant huurt een deel van dat netwerk. En nee, dat geeft geen vrijbrief. ghe... ik zie het als mijn taak om mijn netwerk goed op orde te houden. Daar valt dus ook onder: het evt afsluiten van clueloze klanten tot ze nu eens viruisscanner installeren, cq updaten. Ik vraag me wel eens af wat ik erger vind: cluesloosheid (ook bij mezelf) of het gewoon verdommen. > > Het enige punt dat ik probeerde te maken, en dat lijkt niet echt gelukt > helaas, is dat ik massaal afsluiten van besmette hosts niet als echte > oplossing zie. Hoezeer ik er van gruwel en afgezien van de load die het op > de PE's gaat genereren, zou ik dan nog liever overgaan tot verplichte > filtering van het een en ander. hmmja.. Ik deel je mening wel hierin dat het idd lapmiddel is. Ik *persoonlijk* vind deze lijst een goed initiatief en ga hem dan ook iig gebruiken als info-lijst/checklijst. Ik weet zelf nog niet of we hem ook gaan implementeren, maar als ik mijn collega's een beetje ken.... Maar terug naar een oplossing voor de virus"generatie/generator" ... en ja pun intended! hoe zie je dan de verplichte filtering? en WAT voor filtering? bedoel je filtering op mail, en/of ook op poorten? moet er dan vanuit de ISP gefilterd worden of dienen klanten dan een of ander programmaatje te installeren op hun pc? En moet dan de info hiervan naar de isp worden gestuurd? een soort autoverwerking met als email: u heeft een virus? Ik zie de klant nou niet op zijn gemakje een log uitlezen, helaas. Als het installeren/updaten van een virusscanner al niet gaat gebeuren... dan komt het helaas nog vaak erop neer dat een klant geen virusscanner heeft (geupdate) (ben nu gewoon ff aan het brainstormen hoor :) en dan kom je alsnog uit op: *afsluiten* Wij wel igg. Dit hele verhaal is niet bedoeld om iemand aan te vallen of een idee te verdedigen en ik hoop dat dit ook zo overkomt... naar ja.. email is niet mijn fav manier van communiceren. liever onder een biertje/ kop thee :) mvg, -- Siong Han (mijn persoonlijke 2Ec opinie)

1 0

Virussen
by bvisser-nlnog＠xs4all.nl 21 May '04

21 May '04

> On Fri, 21 May 2004 at 09:57 +0200, Alex Bik wrote: > >> > Hm. Mijn persoonlijke mening is dat een virus infectie niet onder >> 'abuse' >> > hoort. >> >> Daar ben ik het niet mee eens, ik vind dat dat absoluut wel abuse is. > > Verschil van definitie. Ik zie bewust misbruik (cracking, spamming) als > abuse, maar mijn moeder die zich niet bewust is van een virus op haar Hoe zie je dan een open proxy/ spam trojan bij een klant ? M.i. vrijwel hetzelfde als een virus infectie, en gaat er gewoonlijk ook mee samen. > pc'tje hoort imho niet afgesloten te worden onder de noemer 'abuse'. Ze > pleegt geen misbruik, ze is hoogstens (understatement, ik gaf > haar voor haar recente verjaardag het boek "windows xp voor > senioren) clueloos. Evenzeer is het moeders PCtje wat de rotzooi het net op stuurt. En het is m.i. zeker de verantwoording voor de ISP om ervoor te zorgen dat uit des ISPs netwerkreeksen zo min mogelijk rotzooi gespuid wordt. Liefst pro-actief, maar *zeker* reactief. Dat je ervoor kiest om de LART wat harder te hanteren voor bewuste crackertjes dan voor clueloze klanten is je keuze, maar m.i. mag de rest van de wereld zeker verwachten dat moeders PC geen verdere overlast geeft. Of dat ingevuld wordt door afsluiten, bellen, monteur langssturen (yeah, right), of in een quarantaine netje zetten of wat dan ook is de eigen keuze van de ISP. Als het maar als resultaat heeft dat die klant stopt met het veroorzaken van overlast. [...] >> Ach, je kan ook niks doen. > > _dat_ zei ik niet. Gelukkig. Boudewijn

1 0

Virussen
by shan＠next-element.nl 21 May '04

21 May '04

> > Als er in jouw access of colocatie netwerk virussen verspreid worden, > > vind ik dat het jouw plicht is om die rommel op te ruimen en/of in te > > dammen. > > Nee, het is imho primair de verantwoordelijkheid van de huurder om dat te > voorkomen dat er rommel uit z'n hok komt. wat is er gebeurd met de houding: "mijn netwerk" het is toch JOUW netwerk en niet dat van de klant? just my 2 eruocents -- Siong Han (op ersoonlijke basis!)

1 0

Virussen
by pim＠bit.nl 21 May '04

21 May '04

Hi, | Dat is dus geen oplossing, net zo min als ik denk dat het een oplossing is | om al je klanten persoonlijk te gaan bellen en te smeken of ze alsjeblieft | pppppplease ms-update willen draaien. Je mailt ze vooral met de opmerking: Als u nog wilt kunnen mailen, lijkt het me verstandig om ms-update te draaien, anders gaat het IP filter er toch echt niet af. Ik vind ook dat dit je plicht is als ISP. Een beetje proactief bezig zijn met internet misbruik (al dan niet bewust misbruik) kan geen kwaad. -- Met vriendelijke groet, BIT BV / Ing P.B. van Pelt PBVP1-RIPE (PGPKEY-4DCA7E5E)

1 0