Security Lab



Поиск  Пользователи  Правила 
Закрыть
Логин:
Пароль:
Забыли свой пароль?
Войти  
Форум » Администрирование » Сети
Страницы: 1
RSS
Шторм с лупбэка
 
#1
Это нравится:0Да/0Нет
04.12.2003 17:58:22
Напоролся сегодня на весьма неприятную ситуацию. Через кошку (бордюрную, в инет смотрящую) полились пакеты у которых src стоял 127.0.0.1 . С инета такого прийти не могло, ни через один транзитный роутер такое не проходило. Следовательно источник пакетов находился где-то совсем рядом в кошкой. Облазили окрестности кошки, ничего не нашли. Если кто сталкивался с подобным, просьба высказаться.

ЗЫ ip cef был выключен :-(
 
 
 
#2
Это нравится:0Да/0Нет
04.12.2003 18:59:16
пакеты не ICMP echo request случаем? =)
 
 
 
#3
Это нравится:0Да/0Нет
04.12.2003 19:03:57
x.x.x.x(0) -> y.y.y.y(0) Я аккаутингом смотрел.

А что? :-)
 
 
 
#4
Это нравится:0Да/0Нет
04.12.2003 19:17:44
оно?
 
 
 
#5
Это нравится:0Да/0Нет
04.12.2003 19:30:36
Похоже оно. Я пока тут пакеты смотрю, похоже прилетело от "соседей" через выделенку, а там адрессация локальная, так что подобных acl не повесишь :-( Ладно, буду думать, пасибо :-)
 
 
 
#6
Это нравится:0Да/0Нет
06.12.2003 12:06:29
да. интересная атака. Я так понял из документа, что надо на всех интерфейсах всех Cisco прописать
"no ip directed-broadcast", чтобы себя защитить.
Да еще надо чтобы свои пользователи эту атаку не использовали...
Единственное не пойму как эти строчки эту атаку запрещают:
   access-list 101 permit ip 172.16.0.0 0.0.255.255 0.0.0.0 255.255.255.255
   access-list 101 deny ip 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.255
Они запрещают только пакеты с подмененным адресом, а если использовать свой адрес, то атака возможна... только DOS еще и в моей сети будет :(
Тоже буду думать :)
 
 
 
#7
Это нравится:0Да/0Нет
06.12.2003 12:10:58
>Единственное не пойму как эти строчки эту атаку запрещают:
   access-list 101 permit ip 172.16.0.0 0.0.255.255 0.0.0.0 255.255.255.255
   access-list 101 deny ip 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.255

Они запрещают общий случай.

>Они запрещают только пакеты с подмененным адресом, а если использовать свой адрес, то атака возможна... только DOS еще и в моей сети будет :(

Если штормовые пакеты вылят с инета, то разница скоростей инет-канал/локалка гасит внутри все штормовые эффекты. Вот если внутри зверек заведется, то тогда мои соболезнования... Я эксперименты со сламмером еще не забыл :-)
 
 
 
#8
Это нравится:0Да/0Нет
06.12.2003 12:25:12
"no ip directed broadcats" на всех кисковых интерфейсах похоже решает все проблемы. Плюс конечно у меня стоит Anti bogus ACL на входе и Anti-spoofing ACL на юзеров...

Только есть опасность порезать действительно нужные пакеты, но я никак не могу себе представить приложения которые используют directed-broadcast. Видеоконференции на multicast вроде работают.

Кто знает зачем нужен directed-broadcast, кроме DOS атак? :)
 
 
 
#9
Это нравится:0Да/0Нет
06.12.2003 13:49:25
на память приходит bootp которому нужен directed-broadcast
 
 
 
#10
Это нравится:0Да/0Нет
09.01.2004 15:08:45
Вот чо было
 
 
 
Страницы: 1
Читают тему