Onderwerp: portscanning

Hi,

Ik heb mijnn centos server (5.2) beschermd met een CSF firewall.
Nu krijg ik regelmatig berichtjes binnen:

Jan 26 13:40:08 srv1 kernel: Firewall: *UDP_IN Blocked* IN=eth0 OUT= MAC=01:00:5e:00:00:fb:00:15:c5:e9:b9:40:08:00 SRC=IP ADRES DST=224.0.0.251 LEN=73 TOS=0x00 PREC=0x00 TTL=255 ID=0 DF PROTO=UDP SPT=5353 DPT=5353 LEN=53

Na 10 pogingen wordt het IP adres voor 30 dagen geblocked in de firewall, dus dan heb ik er geen last meer van.
Het vreemde is dat de meeste scans afkomstig zijn van servers uit de zelfde IP range als mijn server, dus bj de zelfde leverancier / netwerk.

Van mijn leverancier krijg ik nu te horen:
U bent de enige welke met deze meldingen naar voren komt. Ik wil u best serieus nemen en dat doen wij ook. Maar wij kunnen niet voor elke melding eindeloze discussies voeren met de klanten welke deze controles uitvoeren.

Kortom, ik blijf het idee hebben dat ik niet serieus genomen wordt en sinds in bij deze leverancier zit is het aantal meldingen vanuit het eigen netwerk explosief gestegen.

Wat is / kan ik hier aan gaan doen, de netwerk beheerder inschakelen (mijn leverancier is niet de eigenaar van het netwerk) of gewoon negeren en accepteren dat derden mijn server scannen op open porten?

Hier hebben ze een heel leuke naam voor: Broadcast verkeer. Je zult zien, dat het enkel vanuit IP's binnen hetzelfde subnet komt.

Hi Randy,

Helaas zijn het niet alleen IP`s vanuit het egen subnet maar ook vanuit andere netwerken en landen...
Verkeer vanuit het eigen netwerk vallen me alleen meer op gezien de samenstelling van het IP en mijn IP.

Maargoed, ik zal eens verder kijken naar het broadcast verkeer en of deze wellicht te blocken is via CSF

Oorspronkelijk geplaatst door FunnyMedia

Maargoed, ik zal eens verder kijken naar het broadcast verkeer en of deze wellicht te blocken is via CSF

Waarom blokkeren? het komt toch toe dus het dataverkeer is er toch...

Het betreft Multicast DNS verkeer (zie IP en zie poortnummer). Het is dus niet echt een 'scan' ofzo, meer een MDNS verzoek van een andere server waar jouw server niet op antwoord. Als je dat wil blocken is dat je goed recht, maar ik zie het probleem niet echt. Je kan misschien wel via je provider vragen aan de andere klant of hij z'n mdns daemon ofzo uit kan zetten.