Ennyit találtam egyelőre: https://community.spiceworks.com/topic/1759092-ddos-attack-internal-malware-rst-flood-on-sonicwall-help
Hasonló problémáról ír, de más tűzfallal kapcsolatban és ott egy szoftverfrissítés megoldotta. Az is különbség még, hogy nekem nincs belülről kifelé irányuló ilyen forgalmam. Lehet én szúrtam el valamit a tűzfalon...könnyen lehet. :( Üdv, Venczel József József Venczel <[email protected]> ezt írta (időpont: 2018. okt. 19., P, 12:10): > Nagyon köszönöm! Ez hasznos infó! > Eddig nem is figyeltem a flagekre, nálam is főleg RST-s csomagok ezek. > Elindulok ezen a szálon, de nem hiszem, hogy én fogom megválaszolni a 8 > éves kérdésedet :-) > > Ez valószínűleg nem támadás, mert ahhoz gyenge, ahogy Fehér Sándor is > írta, de a normális adatforgalomhoz viszonyítva viszont túl soknak tűnik ez > a sok "befejezetlen/hibásan lezárt" kapcsolat. > Most pl. 1 másodperc alatt 4 volt, de van, hogy 1-3 másodperc is eltelik > két ilyen logbejegyzés között. > > Üdv, > Venczel József > > Veres Sándor <[email protected]> ezt írta (időpont: > 2018. okt. 18., Cs, 21:24): > >> 2018. 10. 17. 15:26 keltezéssel, József Venczel írta: >> >> Mivel nyilvános a lista, ezért kiszedtem a fontosabb részeket belőle, de >> ilyenek vannak benne. Olyan ip címek, amik a logban, itt nincsenek. >> Itt a syslog-nak ugyanerre az időszeletre eső része. A "kulsoip" a mi ip >> címünk, ezért ezt is kicseréltem a szövegben. >> >> Oct 17 14:20:11 sentinel kernel: [58876.585156] be=> IN=enp1s0 OUT= >> MAC=09:ab:6e:99:4c:23:7c:ad:74:b0:0a:be:08:00 SRC=23.6.112.176 DST=kulsoip >> LEN=40 TOS=0x00 PREC=0x00 TTL=254 ID=5599 PROTO=TCP SPT=80 DPT=60574 >> WINDOW=347 RES=0x00 RST URGP=0 >> >> Na most egy kicsit mégjobban megkavarodtam, mert most látom, hogy a >> logban IN=enp1s0 szerepel, ami a szerver belső lába. A MAC address viszont >> érdekes, mert az első 6-os csoport az tényleg ennek a kártyának a >> macaddresse, de a többi nem tudom mi. >> >> >> Ezek RST csomagok (talán ReSeT "csomagok", egészen pontosan: >> alaphelyzetbe állítás kezdete). >> >> Hirtelen ezt találtam róla: >> A FIN says no more data from the sender. The user will send a FIN and >> will wait until its own FIN is acknowledged whereupon it deletes the >> connection. If an ACK is not forthcoming, after the user timeout the >> connection is aborted and the user is told. >> An RST says reset the connection. It must be sent whenever a segment >> arrives which apparently is not intended for the current connection. >> Or in other words, >> FIN says, "I finished talking to you, but I'll still listen to everything >> you have to say until you're done" (Wait for an ACK) >> RST says, "There is no conversation. I am resetting the connection!" >> >> Keress rá, ha megtalálod a pontos választ akkor kérlek válaszold meg az >> ezzel kapcsolatos 8 évvel korábban feltett kérdésemet ;-) >> https://hup.hu/node/96687 >> >> Veres Sándor >> _______________________________________________ >> Techinfo mailing list >> [email protected] >> Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo >> Illemtan: http://www.szag.hu/illemtan.html >> Ügyfélszolgálat FAQ: http://sulinet.niif.hu/ >> >
_______________________________________________ Techinfo mailing list [email protected] Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo Illemtan: http://www.szag.hu/illemtan.html Ügyfélszolgálat FAQ: http://sulinet.niif.hu/
