pacotes na rede?

Bom amigos, tenho aqui uma rede com mais ou menos 200 clientes, com 3 diferentes subnets e todos com IPs válidos.

Possuo um servidor dhcp que cuida de uma subnet, e outro que gerencia as outras duas, ambos sao FreeBSD 4.8, conectados a um pr1000 da Cyclades.

O que acontece na realidade é que tenho tido muitas reclamacoes de clientes e seus respectivos firewalls pessoais de *tentativas de invasao*, logados como portscan pelos mesmos, vindo de outros clientes.
Certo, enviando o suporte tecnico e eu mesmo a casa dos clientes supostos atacantes, nao ha nada de errado, nenhum software ou virus que poderia estar causando esse tumulto.

Alguém sabe me dizer o que poderia estar gerando a falsa acusacao de portscan numa rede tao extensa? Algum software, game, p2p, rl, etc?
Ou pelo menos algum software ou dica pra tentar isolar a origem dos queries?

Venho monitorando a tempos com o tcpdump a rede e realmente nao achei nada anormal a nao ser uns blaster ou outro por ai em maquinas de clientes, mas nada que causem a acusacao.

Somebody gimme sombody to help? :]

Hehe Psy pena que eu não possa te ajudar !!! Mas moçada o PSY tenta ajudar a todos, e esta na hora de ajudar ele. Que milagre uhauhauha <IMG SRC="images/forum/icons/icon_biggrin.gif">

Nao eh assim tb, eu ajudo o pouco que eu posso =))
O problema é que tao me deixando loco ja com essa cobranca de quererem achar o *hacker* que tá tentando invadir eles, daqui a pouco eu vo mandar todos os clientes pra fazer curso de jardinagem na indonesia =D heheheh

Cara, que programas eles usam que loga essa tentativa de ataque? e de qual ip vem qdo chega na maquina deles? (ainda sim eh da sua rede interna?) qual o alerta gerado?
se for um firewall homosexulamente configurado que 2 portas em 1s ai vai dar varios falso-alarmes...

veja EXATAMENTE o software que o client usa e peca para ele guardar a tela no momento, guarda o log, fazer algo.

Entao, eu tenho os logs, soh nao fuco na configuracao do firewall pq eu nao faco esse servico, meu negocio eh o provedor, mas os *firewalls* sao aquela tosquera da Symanec, Norton seilah o que e o Zonealarm

zone alarm reclama ate do kernel32.dll tentando se conectar na internet, ele da muito alarme falso, ele loga tudo muito, tem que ver a configuracao dele, e afinal de contas um portscanner nao eh um hacker, qualquer um pode fazer um portscanner, teve ter um nivel de seguranca pre-setado no zonelarm (nunca usei esta bosta entao nao sei direito), e ele deve estar no maximo entao essa parada apita para tudo... qualquer conexao originada ou destinada ao host ele faz "pee pee"

Eh, eu tb nunca usei, meu negocio eh ipfw/chains/tables, nunca foi diferente disso heheh

Bom, mas se ele acusa portscan, e o maldito nao ta dando portscan, tem algo q faca isso? Eu preciso explicar porque antes de falar que o firewall do cara eh fulero

(obs, sao sim, todas as tentativas de portscan sao de outros clientes da mesma subnet)

Vixi se é o Zonealarme nem de bola pois ele pega até java script ........... é muito ruin aquele firewall , pega tudo mas não bloqueia nada !!!! <IMG SRC="images/forum/icons/icon_biggrin.gif"> Tenta verificar nos logs se é ip interno ou externo se é interno na rede o legal seria colocar um firewall no servidor principal onde o usuario tera acesso somente para fora (iptables mesmo ).................


Valeu

Bom, no ultimo caso agora verifiquei que o suposto atacante usa Windows XP, e estou matutando aqui se nao tem alguma coisa que ele possa ter feito que deu um query na rede e acusou o falso alarme...

oap é zone alarm ............. desculpem ! <IMG SRC="images/forum/icons/icon_cool.gif">

Como eu disse sao IPs externos, validos, mas fazem parte da mesma subnet, nao sei se o broadcast pode causar algo assim, nao sei, to meio perdido quanto a isso =)

Verifque se suas maquinas sao windows tambem.. windows adoram mandar requisicoes na porta do samba... netbios.. etc etc... eh broadcast direto...

verifique as configs do zonealarm.. eh o unico jeito. monitora o viadim do cliente no host dele (se ele diz q isso e constantes)

ah o fw n eh taum furelo assim... pode (deve) estar mal configurado como o de normal...

Eh, quanto ao zonealarm tenho uma pista pra ir atraz, e ao Norton-Personal-seilah-que-diabo-eh-aquela-porra?

Verifique, sao maquinas windows, voce nao pode confiar.

Sim, eu sei, mas ignore agora os &acute;firewalls&acute; dos clientes e pensa em pacotes de rede, existe alguma coisa q faca broadcast direto de X pra Y na mesma subnet que possa fazer um efeito de portscan?

Como um query ao netbios ou seilah? 139?

Sim, talvez, dependendo da config de firewall do sujeito, quem sabe um query em

137 e outro logo depois em 139 esteja gerando o portscanner? ngm sabe. voce tem que verificar.

roger, isso eu ja sabia neh uhehueuheuhe
Pelo menos vc pensa igual eu, já sao 2 opinioes iguais... =)

psy , beleza?

Os alertas estao acontecendo em varios clientes ao mesmo tempo? ou tem hora um, tem hora outro?

Ei psy,
Tive o mesmo problema usando o norton internet security!
VEja se nos processos do windows tem um tal de khooker.exe.

Nenhum antivirus pegou, e ele zuou muitas maquinas gerando o mesmo problema.

Use o programa... adware....ele remove..

http://lavasoft.element5.com/portugu...tware/adaware/

Faça o teste.

Falow!

Kra eu tenho alguns clientes com um tal de Thin Firewall da Seaget
que dispara a toda hora, mesmo isolando a máquina , ele indica port scan, sozinho, uma piração mesmo. Entrando em contato com o fabricante, o mesmo informou, que alguns serviços do windows que estejam estartados podem gerar falsos alarmes.

Obrigado a todos, já tomei as devidas providencias com os acontecimentos, e já to mais experiente nesse campo :]]]

Lol , ta vendo como o windows eh uma bosta, gera ataque nele mesmo, AHEUHAEHUEAUHEA, bom eh verdade, o windows faz muita conexao interna dentro dele, como por ex. DCOM, servicos COM+, o idiota ao invez de bindar na 127.0.0.1 ele binda na 0.0.0.0 par aservicos locais.. adoro a "intelegencia" da microsoft.

HHUAEHUEAUHAEUH te juro nunca pensei q era uma merda dessas.. agora outra "merda" eh um tal de cyberkit 2.2 q eum virus q aja a mandar icmp, um saco :) pensei q poderia ser isso .. bom menos mau.. como eu disse era SOFTWARE escroto e mal configurado :)


"gerar alertas mesmo desconectado de portscan e uma piada mesmo"
deve ser alguma conexao paranoica.. se der 2 conexoes em 1 minuto ele dispiara so se for uhaeuheauheauhea ai ai :) bom valeu mesmo assim psy (da proxima vez faz como eu te disse eh merda de software de firewall de windows)

Opa, quais as portas que estao sendo "scaniadas" ?
Sobre o broadcast, se eles estiverem dentro da mesma "rede", tambem conhecido como broadcast domain, pode ser netbois ou algo do genero sim ... Mas como eh o design da rede ai ? Se esses IPS "atacantes" tem que passar pelo firewall ou roteador para se comunicar com as outras maquinas, entao nao pode ser problema de broadcast ...

[]`s

Daniel B. Cid

psy oque pode ser nao imagino porem voce pode negar que uma subrede chegue a outra pelo gateway..
fazendo um simples firewall e colocando mascara em todos os clientes 255.255.255.0

no firewall vc limitaria que a mascara de um setor pudesse acessar tudo menos as outras 2 redes e a mesma coisa com as outras isso certamente iria resolver seu problema ja tentou fazer isso ???

Citação:

---

Postado originalmente por psy

Bom amigos, tenho aqui uma rede com mais ou menos 200 clientes, com 3 diferentes subnets e todos com IPs válidos.
<BR>
<BR>Possuo um servidor dhcp que cuida de uma subnet, e outro que gerencia as outras duas, ambos sao FreeBSD 4.8, conectados a um pr1000 da Cyclades.
<BR>
<BR>O que acontece na realidade é que tenho tido muitas reclamacoes de clientes e seus respectivos firewalls pessoais de *tentativas de invasao*, logados como portscan pelos mesmos, vindo de outros clientes.
<BR>Certo, enviando o suporte tecnico e eu mesmo a casa dos clientes supostos atacantes, nao ha nada de errado, nenhum software ou virus que poderia estar causando esse tumulto.
<BR>
<BR>Alguém sabe me dizer o que poderia estar gerando a falsa acusacao de portscan numa rede tao extensa? Algum software, game, p2p, rl, etc?
<BR>Ou pelo menos algum software ou dica pra tentar isolar a origem dos queries?
<BR>
<BR>Venho monitorando a tempos com o tcpdump a rede e realmente nao achei nada anormal a nao ser uns blaster ou outro por ai em maquinas de clientes, mas nada que causem a acusacao.
<BR>
<BR>Somebody gimme sombody to help? :]

---

Entao cara, eh um saco mesmo, eu ja tinha tentado, mas eh rede interna e nao passa pela firewall nao, mas já ta beleza por aqui, obrigado :]]