Un avis sur logs SNORT - IP Spoofing ?

par **Thorn** » 05 Août 2003 00:03

Bonjour, Après la recherche d'usage avant de poster j'ai lu entre autre le long fil sur les différences d'anti-spoofing entre la v1.3 et la v1.2. Pas très rassurant parce que justement j'ai l'impression qu'un pervers essaie quotidiennement de se farcir mon LAN depuis une dizaine de jours. Ma config : + Modem Alcatel STP sans FW utilisé en routeur. Sa config est : <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Forwarding on Firewalling on (interne ne protège que le modem) Sendredirects on (pas top je sais) <IMG SRC="images/smiles/icon_frown.gif"> Sourcerouting off Default TTL 64 Fraglimit 64 fragments Fragcount currently 0 fragments Defragment mode : nat PAT: 4662 et 4672...<IMG SRC="images/smiles/icon_biggrin.gif"> DefServer = une adresse bidon (les paquets entrants vont aux fraises)</BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> + 486DX2 avec ipcop (v1.3+fix1&2) depuis 1 mois -RED -> STP -ORANGE pas encore utilisé -GREEN -> LAN Exemple des logs SNORT (X.X = adr RED) : <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Date: 08/03 16:12:49 Nom: (snort_decoder) WARNING: TCP Data Offset is less than 5! Priorité: n/a Type: n/a Informations sur l'adresse IP: 192.168.1.10:0 -> 192.168.X.X:0 Références: aucune entrée trouvée SID: n/a Date: 08/03 16:12:51 Nom: (snort_decoder) WARNING: TCP Header length exceeds packet length! Priorité: n/a Type: n/a Informations sur l'adresse IP: 192.168.1.10:0 -> 192.168.X.X:0 Références: aucune entrée trouvée SID: n/a Date: 08/03 23:01:58 Nom: (snort_decoder) WARNING: TCP Data Offset is less than 5! Priorité: n/a Type: n/a Informations sur l'adresse IP: 192.168.2.8:0 -> 192.168.X.X:0 Références: aucune entrée trouvée SID: n/a </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Les premières semaines d'utilisation d'IPCOP ces règles d'intrusions n'étaient pas activées. Les adr IP du log ne sont pas utilisées sur mon LAN hormis celle de l'interface RED. Je n'ai pas de serveur ni sur mon LAN ni dans la DMZ. Cet usage du port 0 est caractéristique du premier test d'une tentative de fingerprinting de l'OS. Les questions que je me pose : - Est-ce bien une tentative d'intrusion par IP spoofing ? - Serait-ce un disfonctionnement (proc trop faible etc) ? - Si c'est bien de l'IP spoofing un IPCOP "d'origine" est-il fiable ? - Si ces paquets provenaient de mon LAN (troyen accedant directement à l'interface eth) comment réagirait SNORT ? - Les paquets entrant dans le modem par l'extérieur étant envoyés aux fraises (defserver=adr bidon) comment SNORT peut-il en détecter ? Se fait-il abuser ? - J'envisage de nater le port 0 dans le modem, est-ce la solution ? Voilà, vos avis éclairés seraient les bienvenus, d'avance merci.

par **tomtom** » 05 Août 2003 07:16

Ben ce n'est pas du spoofing, c'est simplement ton modem qui t'envoie des paquets un peu zarb...... Il n'y a rien d'autre que le ipcop de branché sur le routeur ? Sinon, clairment les log snort proviennent d'un add-on appelé phad qui verifie des longueurs d'entêtes de paquets tcp, or comme les paquets que tu recois semblent mauvais, il remonte des erreurs.... voir là : <a href="http://forums.ixus.net/viewtopic.php?t=3773" target="_blank">http://forums.ixus.net/viewtopic.php?t=3773</a> Thomas

par **Thorn** » 05 Août 2003 12:33

Oui le modem/routeur STP est directement sur l'interface RED. Donc si je suis bien ton post du 8 mai, il y a de fortes chances que ce soit bénin et du à un changement de config de mon FAI. Ce qui pourrait en effet correspondre à une maintenance globale du réseau chez Free le 18 juillet. Ils ont upgradé leurs Cisco (h**p://www.cisco.com/warp/public/707/cisco-sa-20030717-blocked.shtml) Néanmoins... que ça soit toujours sur le port 0 avec des paquets mal taillés (fingerprinting), que les adresses IP semblent logiques pour un réseau privé et que ça se reproduise régulièrement (1 ou 2 fois par jour) d'une façon si caractéristique (des séries de 3 règles activées ou une seule) ... ça fait bizarre. Beaucoup plus que les scans de ports (les fameux scans d'ixus..). Qui, soit dit en passant ne devraient pas non plus passer mon modem/routeur je crois. J'ai l'impression que ce dernier est un peu léger. SNORT n'est pas bon pour la <IMG SRC="images/smiles/icon_eek.gif"> parano <IMG SRC="images/smiles/icon_eek.gif"> et ça ce n'est pas une impression <IMG SRC="images/smiles/icon_biggrin.gif"> En tout cas merci pour ton approche <IMG SRC="images/smiles/icon_bise.gif">

par **tomtom** » 05 Août 2003 12:50

Moui ca pourrait eventuellement etre un scan mais je ne pige pas trop, car avec des adresses non routables, impossible d'obtenir la moindre reponse, donc comment avoir les resultats du scan ?? Sinon pourquoi pas un DoS, ca serait peut etre plus logique puisque ces paquets sont tres mal gerés par les equipements, j'ai deja vu ça, mais alors la frequence des connexions serait beaucoup plus grande.... On a eu une attaque de ce genre, mais avec des numeros de ports aleatoires et non pas 0, mais le nombre de paquets reçus etait loin d'etre 3 par jours <IMG SRC="images/smiles/icon_wink.gif"> Ou alors un test d'un petit rigolo (un petit rigolo bien calé quand mêem <IMG SRC="images/smiles/icon_wink.gif"> ) juste pour voir comment ça réagit, mais dans ce cas je ne vois pas trop par quel moyen il peut obtenir des résultats.... <IMG SRC="images/smiles/icon_eek.gif"> T.

par **Thorn** » 05 Août 2003 17:58

D'un autre coté, sur le modem j'avais laissé l'option "Send ICMP redirects" ON alors que c'était découseillé. Je l'ai mise OFF hier soir et j'attends encore un ou deux jours pour voir si ça change quelque chose.

Code: Tout sélectionner: [redirects] Disable (off) or enable (on) the sending of ICMP redirect messages. A router can send a redirect message in case a shorter path than the path followed is discovered. For security reasons this parameter is disabled per default.

Un pote aussi avait tout de suite pensé à un DoS. Mais un DoS light comme tu dis <IMG SRC="images/smiles/icon_smile.gif"> <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Moui ca pourrait eventuellement etre un scan mais je ne pige pas trop, car avec des adresses non routables, impossible d'obtenir la moindre reponse, donc comment avoir les resultats du scan ?? </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> D'autant que des paquets avec des adresses de retour non routables ne devraient pas parvenir jusqu'à mon modem. A moins qu'au niveau des routeurs des FAI l'adr retour ne soit pas vérifiée. Ca j'ignore. Mais tu as raison ça élimine bien une quelconque tentative. A moins de compter les N° des paquets au $%#&! de mon modem ou de profiter de ma bourde (ICMP redirects - je ne vois pas comment). Donc de monitorer ma ligne ! Càd qu'il devrait se trouver soit au niveau du DSLAM (F.Telecom) soit au niveau de mon point d'access au MAN de free et dans les deux cas avoir des privilèges et toucher sa bille. Non.. je vais couper SNORT, ça sera mieux <IMG SRC="images/smiles/icon_lol.gif"> <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> mais dans ce cas je ne vois pas trop par quel moyen il peut obtenir des résultats.... </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> En lisant mes <IMG SRC="images/smiles/icon_mad.gif"> <IMG SRC="images/smiles/icon_mad.gif"> <IMG SRC="images/smiles/icon_mad.gif"> ici !?! <IMG SRC="images/smiles/icon_smile.gif"> Dans tous les cas il faut que je comprenne comment des paquets comme ça et pas autrement sont détectés sur mon FW. Je vais creuser...

par **Thorn** » 05 Août 2003 20:44

Pendant que je suis lancé.. La suggestion d'un pote (+ pervers et + documenté que moi) <IMG SRC="images/smiles/icon_biggrin.gif"> Les windows présenteraient des "faiblesses" <IMG SRC="images/smiles/icon_razz.gif"> dans leur utilisation du port 0. Les paquets que trouve mon SNORT pourraient s'apparenter à des tentatives de plantage d'un PC windows. Un peu comme un ping de la mort. Le vilain n'aurait alors pas besoin de voir revenir une réponse (adr non routable) ce qui en ferait alors un acte gratuit. Le fait de savoir s'il a vraiement marché est trivial. Vu le nombre de PC zindows installés non protégés, ça en foutrait toujours un paquet aux choux (pour changer des fraises). Ca se tient bien. Mais tant que je n'ai pas retrouvé, dumpé et identifié ces paquets c'est toujours une hypothèse. Pour l'instant je vais chercher des infos sur ce type d'attaque. Si vous avez des idées ou des pistes... n'hésitez pas. Ca creuse toujours.

Un avis sur logs SNORT - IP Spoofing ?

Qui est en ligne ?