Important note about SSL VPN compatibility for 20.0 MR1 with EoL SFOS versions and UTM9 OS. Learn more in the release notes.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 4 replies
  • Subscribers 38 subscribers
  • Views 1570 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Intrusion Alarm, wie damit umgehen ?

multinas
Eventuell kann jemand dazu ein Kommentar zum Verständnis abgeben.
Nachgenannte Alarmmeldung bei der UTM 9.2. ist innerhalb von 1 Min. 9 x gekommen.
Es könnte laut IP etwas mit Twitter zu tun haben. War jedoch aktuell nicht auf Twitter.

Intrusion Prevention Alert

An intrusion has been detected. The packet has *not* been dropped.
If you want to block packets like this one in the future,
set the corresponding intrusion protection rule to "drop" in WebAdmin.
Be careful not to block legitimate traffic caused by false alerts though.

Details about the intrusion alert:

Message........: INDICATOR-OBFUSCATION Javascript obfuscation using split reverse join
Details........: https://www.snort.org/search?query=29519
Time...........: 2015-01-10 11:53:11
Packet dropped.: no
Priority.......: high
Classification.: Attempted User Privilege Gain
IP protocol....: 6 (TCP)

Source IP address: 199.96.57.6
Source port: 80 (http)
Destination IP address: 192.168.x.*** (utm ip)
Destination port: 60764

Aktuell benutze ich die UTM noch hinter einem Speedport-Router, welcher davon wohl garnichts mitbekommt.

Was mir noch aufgefallen ist. Unmittelbar davor kam eine Email von Twitter . Kann es sein da da irgenwelches "Java-Zeug" drin ist


This thread was automatically locked due to age.
Parents
  • 0
    Und was steht zu dieser IP Adresse in den Logs der UTM?
    Sprich, was, außer die Benachrichtigung, hast Du Dir auf der UTM angesehen?
  • 0 in reply to K.N.
    mhhh .. eigentlich nur unter >Protokolle->Network Protection-> IPS.
    Dort steht diese IP in den letzten 7 Tagen insgesamt 15x drin. Aber eine so richtige aussagekräftige LOG ist das dann wohl auch nicht.
    Bitte eventuell einen kleinen Tip, wie ich vorgehen sollte.
Reply
  • 0 in reply to K.N.
    mhhh .. eigentlich nur unter >Protokolle->Network Protection-> IPS.
    Dort steht diese IP in den letzten 7 Tagen insgesamt 15x drin. Aber eine so richtige aussagekräftige LOG ist das dann wohl auch nicht.
    Bitte eventuell einen kleinen Tip, wie ich vorgehen sollte.
Children
No Data
Unfiltered HTML