Important note about SSL VPN compatibility for 20.0 MR1 with EoL SFOS versions and UTM9 OS. Learn more in the release notes.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 9 replies
  • Subscribers 38 subscribers
  • Views 1376 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

IPS zählt unzählige Portscans

tomtomtom
Hi Leute,

wir haben hier bei uns einen Arbeitsplatzrechner, welcher angeblich ständig Portscans durchführt. Der Rechner wurde erst vor zwei Tagen neu aufgesetzt, um Viren oder Trojaner einigermaßen auszuschließen, da schon auch davor die IPS immer bei dem Rechner anschlug.

Allein bis jetzt sind es am heutigen Tag fast 900 Einträge im Log.

Ich hab auf dem Rechner schon ein Tool installiert, welches den Netzverkehr beobachtet. Da ist kein Programm was ich nicht kenne bzw. ein Virus oder Trojaner sein sollte. Ein Virenscan hat auch nix ergeben.

Hier mal eine Zeile aus dem Log:

2009:10:09-09:57:32 gw ulogd[3502]: id="2102" severity="info" sys="SecureNet" sub="ips" name="portscan detected" action="portscan" fwrule="60017" seq="0" initf="eth0" outitf="eth2" dstmac="00:14:5e:fd:ba:7a" srcmac="00:15:17:76:67:fa" srcip="10.0.0.210" dstip="174.112.211.133" proto="17" length="50" tos="0x00" prec="0x00" ttl="127" srcport="40183" dstport="25216"

Kann mir jemand sagen was fwrule="60017" für eine Regel auf der Astaro ist?
Hat jemand noch eine Idee zu eruieren durch was die Portscans ausgelöst werden?


This thread was automatically locked due to age.
Parents Reply Children
  • 0 in reply to KKnecht
    Ehhm, läuft da zufällig SKYPE auf dem Rechner ?
    Deswegen hatte ich vor langer Zeit auch mal wie verrückt nach Trojanern gesucht.
    Gruss, Karsten

    Ich glaube ja! Wieso registriert das die Astaro als Portscan?

    Das passiert übrigens erst seit dem letzten Update auf 7.500.

    Mich wundert, dass Skype aber auch so viele Verbindungen versucht aufzubauen.

    Hast du die IPS Rule für Instant Messaging deaktiviert oder eine Exception für diesen Rechner gemacht?

    Wir hatten auch arge Probleme mit ICQ nach dem Update. Sogar das editieren von Webseiten mit unserem CMS ging teilweise nicht. Astaro die entsprechenden Rules wohl schon mit einem Pattern-Update gelöscht.
Unfiltered HTML