Nossa conexão E1 está sendo fechada pelo nosso firewall*. Isso acontece intermitentemente a cada poucos dias.
Encontro entradas de log como esta na mesma época que o abandono:
Jun 2 09:53:35 sg580 kernel: Flood - dropped: IN=eth1 OUT= MAC=00:d0:cf:04:7c:13:00:15:2b:ff:97:68:08:00 SRC=61.162.229.252 DST=221.133.***.*** LEN=40 TOS=0x00 PREC=0x00 TTL=104 ID=256 PROTO=TCP SPT=6000 DPT=1433 WINDOW=16384 RES=0x00 SYN URGP=0
Sempre do mesmo ip SRC também!
Estamos sendo atacados pelo DOS?!
O que podemos fazer sobre isso?
Obrigado,
Ashley
*Nosso firewall é um SnapGear SG580
Responder1
Malicioso ou não - ééum ataque DOS - mas, na melhor das hipóteses, um ataque difícil.
Observe que o flag SYN está definido, ou seja, está tentando estabelecer uma nova conexão com seu IP na porta 1433 - Parece um serviço MS SQL.
Existem vulnerabilidades para esse serviço, então é provável que seja algum script patético tentando ser l33t.
Dê uma olhada noPágina SANs sobre vulnerabilidades da porta 1433...
Observe queé- muito mesmo - é possível realizar um ataque DOS a partir de um único host, apesar do comentário anterior feito. Depende do serviço e da vulnerabilidade, não do fato de ser de um host ou de vários.
Por exemplo, se 1 unidade de ataque causa 5 unidades de desperdício de recursos, então talvez o ataque funcionasse melhor usando 100 hosts; no entanto, se 1 unidade de ataque pode causar 100.000 unidades de desperdício de recursos, então 1 host é mais do que suficiente.
Por fim, observe que o endereço IP da fonte é da China, Pequim. É provável que você receba uma conexão MS SQL em alta velocidade de Pequim? =)
Responder2
Tecnicamente, seria usado DDoS (negação de serviço distribuída) para descrever um ataque DoS de vários IPs de origem, mas é quase impossível realmente causar uma condição de negação de serviço ao inundar de apenas um único IP, sem mencionar que ocorre apenas a cada poucos dias. . Então não, eu não chamaria isso de ataque DoS.
Eu diria para bloqueá-lo e ver como vão as coisas.
Ehtyar.
Responder3
Pode ser um problema de configuração na máquina em questão que faz com que ela envie uma inundação. Pode ser um problema de roteador ou configuração de rede. Ou pode ser algo hostil. Depende se vem de dentro ou de fora da sua rede. Parece que vem de fora da sua rede. Nesse caso, concordo com Ehtyar Holmes e digo para bloquear e ver o que acontece. Se for alguém que pode se conectar legitimamente à sua rede, mas tem algum problema com o computador, essa pessoa poderá entrar em contato com você. Se for alguém hostil, esperamos que o deixem em paz.