Ho ricevuto un'email oggi dal mio ISP (un'università). L'e-mail legge (in parte):
Your network connection has been disabled because your version of Java is not patched for the most recent security vulnerabilities. This leaves your computer open to attack. If these vulnerabilities are not patched, your computer could come under the control of a hacker.
Non ho installato Java sul mio computer, quindi questo mi è sembrato un evidente falso positivo. Li ho contattati e ho ricevuto una risposta affermando che:
Our system automatically detects these vulnerabilities, and false positives are rare.
Sembra quindi che stiano eseguendo scansioni automatiche contro gli host sulla rete per cercare di identificare vecchie versioni di Java (e probabilmente di altri software). Sembra strano che sarei stato identificato da:
-
Blocco tutto il traffico in entrata eccetto ICMP e porta 22 (SSH); i test eseguiti dopo l'incidente confermano che il firewall funziona come previsto sia su LAN che WAN
-
Tutto il mio traffico legato a Internet viene instradato su un tunnel OpenVPN crittografato su un server remoto. Ho confermato dopo l'incidente che tutto il traffico, incluso il DNS, viene instradato attraverso questo tunnel (come previsto).
Nell'interesse di evitare futuri falsi positivi, che tipo di metodi vengono in genere utilizzati per questo tipo di scansioni automatiche delle vulnerabilità? Il mio interesse riguarda specificamente software come Java che non funziona in background o agisce come un server.
Alcuni background:
-
Il mio sistema sta eseguendo Debian stable. Nessun JDK o anche JRE è (o è mai stato) installato sul sistema.
-
L'ISP è in grado di monitorare tutto il traffico o eseguire scansioni, ma non di accedere al mio computer in alcun modo. Non ho mai installato alcun software dall'ISP o richiesto.