Port Probe????

[herk 10]

Ich habe vor kurzem Die Blackice Firewall installiert und ein User blinkt permanent in meiner Liste.

Da ich mit Hackern nicht viel am Hut und wenig Erfahrungen mit Firewalls habe, dachte ich mir ich schreib mal den Text hier rein ;)

Vielleichts seids ihr ja gscheider als ich :D

 

Time

03.08.2003 04:22:06

 

Event

TCP_Probe_Other

 

Intruder

ptc43.force9.co.uk (ip 212.159.108.160)

 

Count

46

[Necron 71]

Da hat anscheinend ein Hacker versucht auf den Port 46 zuzugreifen.

 

mpm-snd 46/tcp MPM [default send]

mpm-snd 46/udp MPM [default send]

 

http://www.iana.org/assignments/port-numbers

[solinske 10]

ich würde meinen das hier ein portscann stattgefunden hat, und denn count 46 heisst das 46 scanns gezählt worden sind, und das identifiert Blackice als angriff. da hat einer dein systm nach allen offenen port durchsucht.

 

ist aber duch blackice abgewiesen worden.

[Necron 71]

Wieso müssen sich diese Firewalls nur so umständlich ausdrücken.

[solinske 10]

das ist eher eine Eigenart von Blackice. Wie hast Du denn die Detectengine eingestellt ? Normal - paranoia ?

 

damit kannst Du definieren, welche Ports bei einem Scan gemeldet werden.

[herk 10]

Hab die Firewall auf 2ter Stufe(Vorsichtig) da auf der ersten stufe jedem vertraut wird.

Eh nett das die hacker schaun ob i offene ports hab, dann sollns de zumachn damits ned so zieht :p

 

Interessant das unglaublich viele leute diesen "Slammer Wurm" hermumschicken (hab ihn schon von 4 verschiedenen ip's bekommen). Laut Blackice Event Info legt der SQL Server lahm ....

Gibts wirklich so viel arme Irre???

[solinske 10]

leider ist die Welt voll davon !!! und die meisten die wahrlos Viren versenden sind Script Kids die sich ein tollrd Tool aus dem Internet gezogen haben und sich nun wie ein großrt Hacker fühlen.

[opp 10]

kann mir mal einer die 4 stufen der blackicesicherheit beschreiben? Hab sie auf der höchsten.

[solinske 10]

stufe 1 = keine meldung

stufe 2 = well known ports werden nicht angezeigt ( - 1024), der rest schon

stufe 3 = es werden die ports bis 32xxx nicht gemeldet, aber der erst

 

stufe 4 = alle ports werden angezeigt !!!!

[opp 10]

was heisst "nicht angezeigt"? dass die stealth sind?

[solinske 10]

nein das bedeutet das eine scan oder anklopfen auf diese ports nicht durch das blinkende auge im systray angezeigt wird, im logfile findest du es trotzdem !!!