Distributed w00tw00t-isc-sans-dfind scanners logfeed

[Rubra]

Vandeweek was ik aan het spitten op een sinkhole door de logs toen ik de volgende signature tegenkwam.

Dit wordt al een aardig tijdje gebruikt, zoals je ook kan zien in de volgende post, maar er is nog geen centrale logfeed parser voor, zodat de ISP's geïnformeerd worden dat ze een scanner in hun netwerk hebben.

http://www.webhostingtalk.nl/techniek-beveiliging/87598-get-w00tw00t-isc-sans-dfind.html

Wat ik me afvraag, zien jullie dit (veel) in jullie access.logs van de webserver omgevingen ?
En zouden jullie willen meewerken om dit dmv een scriptje te parsen en die parsed logs centraal aan te bieden ? (scripts heb ik al liggen, incl logrotate etc)

De centrale logs worden dan aangeboden aan ShadowServer.org, die het dan in hun ISP notification systeem gooien.

Feedback plz

[vDong]

Deze bestaat al heel lang, komt ook bij vrijwel elke server die ik heb langs. Is er een reden waarom je je na al deze jaren ineens zorgen maakt om deze specifieke scan?

[Wido]

Same story here, dat zie je al jaaaaaren langs komen. Maak me er nooit echt zorgen om.

[Rubra]

Ik maak me er geen 'zorgen' om, maar net als met SNMP scans en andere ellende die je voorbij ziet komen, is het handig om het qua info te verzamelen en vervolgens bij de betreffende ISP op de Abuse afdeling te gooien van fix die shizzle.

Net zoals we dat ook bij onze eigen klanten doen.

Door deze entries gezamelijk te verzamelen en te processen, wordt het vanzelf minder.. net als met zombie PC's die spam versturen en andere ellende.
Als netwerk leverancier zie ik deze dingen alleen op mijn sinkhole, maar net zoals ik ze zie, zullen de meeste webhost ze in hun logs wel zien, vandaar de post hier en het voorstel om dat te verzamelen.