Portscan via mijn server...

[soulplayer]

Goeiedag iedereen,

Ik heb een vrij irritant iets, dit komt van een gebruiker van mij:

"Ik heb nu voor de tweede achtereenvolgende dag dat mijn firewall het XeonIx IP blokkeert omdat daarvandaan een portscan schijnt te komen. Ik moet toch zeggen dat ik het niet echt tof vind moest dit echt zo zijn. Ik heb geen flauw idee wie erachter zit, maar hoe zit het met de security van XeonIx?"
http://img253.imageshack.us/img253/6710/haxkn6.png

De gebruiker in kwestie joined een gameserver die op mijn server staat. Kan iemand mij vertellen wat ik nu het best doe?

Er staan een paar sites ook op:
1. Joomla
1. E107
voor de rest paar kleine html's (meestal 1pagina)

[GlobalServe]

Deze scans gebeuren dagelijks naar vaste ip's.
Wij laten ze automatisch blokken voor 1 to 24 uur wanneer dit voorvalt.

Weinig tegen te doen.
Je kan wel je ICMP volledig blocken.
Meestal sturen ze eerst een ping om te zien of dat ip aktief is en dan scannen ze. Wanneer ICMP disabled is zien ze het ip als niet aktief.

[soulplayer]

maar ze komen van mijn server en gaan naar die gebruiker. Dan moet er toch een script op mijn server staan?
dus het is mijn ip dat je daar ziet hé, van mijn server...

[crazycoder]

Controleren of er echt iets gebeurt anders dan het opbouwen van een normale connectie. Sommige beveiligingssoftware, denk o.a. aan symantec, is niet goed wijs en geven alarmen om niets.


De gebruiker in kwestie joined een gameserver die op mijn server staat.
Denk dat je jezelf zal moeten verdiepen in het opbouwen van een verbinding met die gameserver.

Ik vermoed dat deze minimaal 1 verbinding met de gamer zal openen..

[flashbanger]

Probleem kan een recente update van de AV / Firewall zijn, Norton AV blokkeerd bijvoorbeeld welleens sporadisch verkeer van een bepaald IP en zegt dat er meer aan de hand is dan dat er daadwerkelijk echt gebeurd. Kijk of je klant dit ook heeft als de AV / Firewall uit staat (in geval van software natuurlijk).

[soulplayer]

maar je kan dat toch niet zien als hij zijn firewall uitzet? Dan krijgt hij toch geen meldingen meer?

Ik heb in mijn logs gekeken naar dat moment en daar is er niets aan de hand...