Отчет об обнаружении атаки

Атакующий заблокирован

Тип атаки: сканирование протов
IP адрес : vpn.krasno.ru
Просканированы порты: 1274, 1262, 1251, 1240, 1229, 1216

Это кто и зачем делает?

Зачем мня атакует VPN сервер?

LCD, трава, спиртное...не мешай

Не, серьезно!

логи, скрины в студию

пожалуйста:

19:06:01 Сканирование портов 89.222.180.58 TCP (1274, 1262, 1251, 1240, 1229, 1216)
15:46:19 Сканирование портов 172.18.34.83 TCP (445, 135)
13:56:33 Сканирование портов 89.222.180.58 TCP (1096, 1083, 1072, 1060, 1047, 1035)
12:41:26 Сканирование портов 172.18.36.25 TCP (445, 135)
12:29:27 Сканирование портов 172.18.36.25 TCP (445, 135)
12:20:15 Сканирование портов 89.222.180.58 TCP (1154, 1142, 1131, 1119, 1107, 1096)
03.03.2008 18:35:12 Сканирование портов 89.222.180.58 TCP (1670, 1657, 1646, 1634, 1623, 1601)
03.03.2008 18:24:24 Сканирование портов 89.222.180.58 TCP (1390, 1378, 1366, 1360, 1351, 1338)
03.03.2008 17:50:35 Сканирование портов 89.222.180.58 TCP (1169, 1157, 1151, 1135, 1123, 1115)

Так вроде VPN сервер не атакует, а проверяет наличие компа в сети. Или нет?

Надеждины клиенты в нашей сети проявляются примерно так... (не все естесственно )

В этом случае Outpost фиксирует "запрос соединения", и сканируется только один порт в диапазоне 1035-1045, блокировки узла не происходит и соединение не отваливается. Это- не тот случай. Как-то раз, во время "нашествия вирусов на сеть", следил за работой детектора атак, так обнаружилась интересная вещь - брандмауэр обнаруживает атаку с узла 172.18......(не 0.1 и не 0.2), потом через секунду блокирует атакующего, но уже под именем VPN. В журнале записи об атаку 172.18..... не остается, те узел просто менял свое имя на vpn.krasno.ru. Соединение разрывалось. При большом желании так можно было отследить откуда лезла зараза. Может конечно это и не тот случай, но поведение outpost, в принципе, совпадает с описанием действия вируса, от которой сеть штормило не один день. Так что тут вариантов 2 - или наши кривые руки не могут настроить брандмауэр, или в сетке сидит какой-то юзер, не следящий за чистотой машины;)

Дело в том, что я подключен нелегально. И это происходит только если ске VPN соединения соединение происходит с левого компьютера. Но все таки соединяюсь...

Спасибо...

Диалок палит

09.03.2008 20:47:59 DCOM Exploit attack
from 172.18.64.136:135
09.03.2008 20:48:06 DCOM Exploit attack
from 172.18.64.136:135
10.03.2008 17:18:36 DCOM Exploit attack
from 172.18.64.136:135
надоели уже эти атаки,каждый день,что это такое?и как можно определить кто это?

Это явно кто-то из клиентов диалога. Похоже из южной части. Тероеически пожно позвонить и сообщить

сообщить кому,админам?

Ну если очень надоедают с конкретного адреса, можно в фаерволе создать правило. Атаки будут отражаться а сообщения по этому поводу всплывать не будут. Админы и так форумы читают. Ели сочтут нужным, то примут меры. Наверно.

а сегодня с другого адреса достали атаки
11.03.2008 19:54:26 DCOM Exploit attack
from 172.18.50.189:135
11.03.2008 19:54:29 DCOM Exploit attack
from 172.18.50.189:135

Это уже из северной части. Ничего страшного. На то и нужен фаервол. Беспокоиться не очем.

ну это мне антивирус выдаёт,причём здесь фаервол?

Антиврус у вас с фаерволом.

Студент

Или фаервол с антивирусом, как ZoneAlarm with Antivirus.
А вообще-то атаки опять участились. За последние три дня отражено более полусотни.

ценную информацию на гибких дисках хранить надо. и пофигу тогда отаки. пускай смотрят. вирусняк поместить в папку (коды доступа и пароли) пусть юзают

12.03.2008 20:26:29 DCOM Exploit attack
from 172.18.64.136:135
опять урод какой то лезет,я вообще не понимаю,что кому то не сидится спокойно,найти бы яица оторвать!!!

выкиньте свои фаерволы и живите спокойно! Толку от них ноль! а на психику Вашу их "работа" черезчур пагубно влияет..

толк от них есть!!!а уроды-хакеры которые лезут,узнаю голову сверну!!!

perevozchik
Какие хакеры! Это у ламеров, у которых дырявая винда и нет антивируса резвятся сетевые вирусы.

Shef
+1!
Студент
Серег, блин, ... ты зря диплом получил что ли?

Shef
Ага! Есть еще "вирус" под именем LanScope.

Студент

LanScope не есть DCOM Exploit attack. Последнее делают черви на компах ламеров, ищущие уязвимости в DCOM RPC на компах в сети.

а почему тогда админы не блокируют таких ламеров у которых вирусы живут?