Important note about SSL VPN compatibility for 20.0 MR1 with EoL SFOS versions and UTM9 OS. Learn more in the release notes.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 9 replies
  • Subscribers 38 subscribers
  • Views 1404 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

IPS zählt unzählige Portscans

tomtomtom
Hi Leute,

wir haben hier bei uns einen Arbeitsplatzrechner, welcher angeblich ständig Portscans durchführt. Der Rechner wurde erst vor zwei Tagen neu aufgesetzt, um Viren oder Trojaner einigermaßen auszuschließen, da schon auch davor die IPS immer bei dem Rechner anschlug.

Allein bis jetzt sind es am heutigen Tag fast 900 Einträge im Log.

Ich hab auf dem Rechner schon ein Tool installiert, welches den Netzverkehr beobachtet. Da ist kein Programm was ich nicht kenne bzw. ein Virus oder Trojaner sein sollte. Ein Virenscan hat auch nix ergeben.

Hier mal eine Zeile aus dem Log:

2009:10:09-09:57:32 gw ulogd[3502]: id="2102" severity="info" sys="SecureNet" sub="ips" name="portscan detected" action="portscan" fwrule="60017" seq="0" initf="eth0" outitf="eth2" dstmac="00:14:5e:fd:ba:7a" srcmac="00:15:17:76:67:fa" srcip="10.0.0.210" dstip="174.112.211.133" proto="17" length="50" tos="0x00" prec="0x00" ttl="127" srcport="40183" dstport="25216"

Kann mir jemand sagen was fwrule="60017" für eine Regel auf der Astaro ist?
Hat jemand noch eine Idee zu eruieren durch was die Portscans ausgelöst werden?


This thread was automatically locked due to age.
Parents
  • 0
    Mir ist gerade noch etwas rätselhaftes aufgefallen ...

    dstmac="00:14:5e:fd:ba:7a" srcmac="00:15:17:76:67:fa" srcip="10.0.0.210" dstip="188.231.131.119"

    srcmac="00:15:17:76:67:fa" = Karte der Astaro ins Internet
    dstmac="00:14:5e:fd:ba:7a" = Karte der Astaro in Intranet

    Wie kann dann die Source aus dem internen Netz kommen? (srcip="10.0.0.210")
Reply
  • 0
    Mir ist gerade noch etwas rätselhaftes aufgefallen ...

    dstmac="00:14:5e:fd:ba:7a" srcmac="00:15:17:76:67:fa" srcip="10.0.0.210" dstip="188.231.131.119"

    srcmac="00:15:17:76:67:fa" = Karte der Astaro ins Internet
    dstmac="00:14:5e:fd:ba:7a" = Karte der Astaro in Intranet

    Wie kann dann die Source aus dem internen Netz kommen? (srcip="10.0.0.210")
Children
  • 0 in reply to tomtomtom
    Hallo tomtomtom,

    läuft auf dem Rechner ein IIS oder ein SQL-Client mit Verbindung zu einem IIS?

    Hier ein kurzer Auszug aus einem IIS-Protokoll:
    ...at VaultServiceSQL.VaultSqlSCC.ReleaseLocks(VaultSqlConn conn, Int32 nUserID, String strHostname, Int32 nRepID, String strXml, Boolean bUseUserID)
    ----5/24/20** 12:53:42 AM    mshe--CPE000f66c58f6b-CM000e5cdfdf76.cpe.net.cable.rogers.com(99.237.237.96)--SSL Enabled  


    Die IP 174.112.211.133, welche in Deinem Logfile auftaucht, verweist ebenfalls genau auf diesen Server "cpe.net.cable.rogers.com"

    Wenn ja, lege die Dienste mal lahm. Tritt das Problem bei gestopptem IIS oder SQL-Client weiter auf?

    Gruß
    UZiegler
  • 0 in reply to uziegler
    Hallo tomtomtom,

    läuft auf dem Rechner ein IIS oder ein SQL-Client mit Verbindung zu einem IIS?

    Hier ein kurzer Auszug aus einem IIS-Protokoll:


    Die IP 174.112.211.133, welche in Deinem Logfile auftaucht, verweist ebenfalls genau auf diesen Server "cpe.net.cable.rogers.com"

    Wenn ja, lege die Dienste mal lahm. Tritt das Problem bei gestopptem IIS oder SQL-Client weiter auf?

    Gruß
    UZiegler

    Hallo UZiegler,

    nein auf dem Rechner läuft nichts dergleichen, es ist ein ganz normaler Desktop Client mit Windows XP SP3.
Unfiltered HTML