(snort_decoder) WARNING: Not IPv4 datagram!

[Barroudeur 13]

Bonsoir,
Mon problème est qu'une personne ou autre derriere une ip de chez neuf telecom c'est amusé à déclancher l'ids de mon ipcop et ceci 250 fois environ par quart d'heure jusqu'a ce que je change d'ip. Le message affiché par ipcop été (snort_decoder) WARNING: Not IPv4 datagram! Pourriez vous m'indiquer à quoi cela correspond?

Vous remerciant

[MoiCVincent]

Salut !

Snort t'indique qu'il a recu un paquet avec un entete qui ne correspond pas a celle definie dans la RFC correspondante !

Peut etre une attaque qui consiste a envoyer un paquet magique forgé a la main qui pourrait creer des problemes de tybe buffer overflow !

Les Paquets Proviennent tous de la meme adresse ?

[Barroudeur 13]

Oui, exact les paquets proviennent tous de la méme adresse. J'ai regardé les logs de l'ids et hier en 30 min, j'ai eu autant de déclanchement de l'ids qu'en une demi journée normal c'est à dire 1500.

[MoiCVincent]

kool !

si tu as un rigolo qui s'ammuse tu peux commencer par bloquer son adresse !
Tu peux aussi essayer de te renseigner , pour voir si c'est un entreprise ou un particulier !

[Barroudeur 13]

Comment puis-je faire pour me renseigner?

[erreipnaej]

Bonjour,
Pour bloquer ce genre de plaisantin tu as Guardian qui réagit dés que snort le détectes.
Vois ces threads: http://forums.ixus.net/viewtopic.php?p=132635 et http://forums.ixus.net/viewtopic.php?t=14996
Le premier, je viens juste de poster dessus et le second m'avait permis de découvrir Guardian.
Pour voir d'ou ca viens dans les logs de snort, tu cliques sur l'IP et tu ouvres une page de Whois. Tu trouveras dessus toutes les infos sur le provider avec les emails genre abuse@provider.com.
Libre à toi de leur faire un joli mail expliquant le probléme avec une copie des logs de snort.
Si il ne font rien tout de suite, je soupconne qu'il réagissent d"s que l'utilisateur commence à générer ce type de réclamations.
Bonne chasse au pirates!
@+

[Barroudeur 13]

Merci erreipnaej et MoiCVincent ^^

[KasparoV]

pour ma part, j'ai la même série d'alerte depuis la réinstal' d'IPCop et comme je n'ai aucune IP d'identifier (Informations sur l'adresse IP: n/a:n/a -> n/a:n/a) j'ai pensé à un bug de snort mais si c'était le cas, Snort donnerait un code d'erreur ainsi qu'un lien, mais il n'en est rien. Les réponses trouvées sur Ixus ne m'avance pas plus. une piste?

bonjour et bon samedi à tous