[Techinfo] DDOS támadás

[József Venczel]

Ennyit találtam egyelőre:
https://community.spiceworks.com/topic/1759092-ddos-attack-internal-malware-rst-flood-on-sonicwall-help

Hasonló problémáról ír, de más tűzfallal kapcsolatban és ott egy
szoftverfrissítés megoldotta. Az is különbség még, hogy nekem nincs
belülről kifelé irányuló ilyen forgalmam.
Lehet én szúrtam el valamit a tűzfalon...könnyen lehet. :(

Üdv,
Venczel József

József Venczel <venczelj69 at gmail.com> ezt írta (időpont: 2018. okt. 19., P,
12:10):

> Nagyon köszönöm! Ez hasznos infó!
> Eddig nem is figyeltem a flagekre, nálam is főleg RST-s csomagok ezek.
> Elindulok ezen a szálon, de nem hiszem, hogy én fogom megválaszolni a 8
> éves kérdésedet :-)
>
> Ez valószínűleg nem támadás, mert ahhoz gyenge, ahogy Fehér Sándor is
> írta, de a normális adatforgalomhoz viszonyítva viszont túl soknak tűnik ez
> a sok "befejezetlen/hibásan lezárt" kapcsolat.
> Most pl. 1 másodperc alatt 4 volt, de van, hogy 1-3 másodperc is eltelik
> két ilyen logbejegyzés között.
>
> Üdv,
> Venczel József
>
> Veres Sándor <veresh at kossuthzs-szeged.sulinet.hu> ezt írta (időpont:
> 2018. okt. 18., Cs, 21:24):
>
>> 2018. 10. 17. 15:26 keltezéssel, József Venczel írta:
>>
>> Mivel nyilvános a lista, ezért kiszedtem a fontosabb részeket belőle, de
>> ilyenek vannak benne. Olyan ip címek, amik a logban, itt nincsenek.
>> Itt a syslog-nak ugyanerre az időszeletre eső része. A "kulsoip" a mi ip
>> címünk, ezért ezt is kicseréltem a szövegben.
>>
>> Oct 17 14:20:11 sentinel kernel: [58876.585156] be=> IN=enp1s0 OUT=
>> MAC=09:ab:6e:99:4c:23:7c:ad:74:b0:0a:be:08:00 SRC=23.6.112.176 DST=kulsoip
>> LEN=40 TOS=0x00 PREC=0x00 TTL=254 ID=5599 PROTO=TCP SPT=80 DPT=60574
>> WINDOW=347 RES=0x00 RST URGP=0
>>
>> Na most egy kicsit mégjobban megkavarodtam, mert most látom, hogy a
>> logban IN=enp1s0 szerepel, ami a szerver belső lába. A MAC address viszont
>> érdekes, mert az első 6-os csoport az tényleg ennek a kártyának a
>> macaddresse, de a többi nem tudom mi.
>>
>>
>> Ezek RST csomagok (talán ReSeT "csomagok", egészen pontosan:
>> alaphelyzetbe állítás kezdete).
>>
>> Hirtelen ezt találtam róla:
>> A FIN says no more data from the sender. The user will send a FIN and
>> will wait until its own FIN is acknowledged whereupon it deletes the
>> connection. If an ACK is not forthcoming, after the user timeout the
>> connection is aborted and the user is told.
>> An RST says reset the connection. It must be sent whenever a segment
>> arrives which apparently is not intended for the current connection.
>> Or in other words,
>> FIN says, "I finished talking to you, but I'll still listen to everything
>> you have to say until you're done" (Wait for an ACK)
>> RST says, "There is no conversation. I am resetting the connection!"
>>
>> Keress rá, ha megtalálod a pontos választ akkor kérlek válaszold meg az
>> ezzel kapcsolatos 8 évvel korábban feltett kérdésemet ;-)
>> https://hup.hu/node/96687
>>
>> Veres Sándor
>> _______________________________________________
>> Techinfo mailing list
>> Techinfo at lista.sulinet.hu
>> Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo
>> Illemtan: http://www.szag.hu/illemtan.html
>> Ügyfélszolgálat FAQ: http://sulinet.niif.hu/
>>
>
--------- következő rész ---------
Egy csatolt HTML állomány át lett konvertálva...
URL: <http://lista.sulinet.hu/pipermail/techinfo/attachments/20181019/13e0a0ee/attachment.html>