Journaux IDS

[gesar]

bonjour
J'utilise IPCop depuis un certain temps et je regarde de temps en temps
les journaux.Mes notions de base en reseau ne me permettent pas de tirer
toutes les conclusions.
Je lis trés souvent dans 'Journaux IDS' : dans la colonne de gauche:
MS-SQL Worm propagation attempt
Mic Attack (ou Misc Activity)
: dans la colonne de droite
date:
priorité:
information sur l'adresse ip:
reference:aucune entrée trouvée

je crois comprendre que j'ai subit une attaque de qq dont l'adresse ip est fournie ,mais qu'il n'a pas pu trouver d'entée? Puis-je en être sûr?
en cliquant sur l'adresse ip , la liaison fourni un nombre impressionant d'in
-fos sur l'auteur?
En fonction de ces renseignements, j'ai bloqué dans /etc/services les ports
psql 1433 et 1434'
Est-ce ainsi qu'il faut faire ou modifier 'rc.firewall' en dropant ces ports?
Si un spécialiste pouvait éclairer, je vrois que bcp de novices seraient intéressés.
Merci
Bien entendu, j'ai d'autres types d'attaque mais j'ai choisi le + fréquent
Il me serait possible d'envoyer un snaphot.

gesar

[Gandalf]

Bonjour, tout d'abord IPCOP (comme tout firewall ) bloque tout ce qui vient de l'extérieur, et ces journaux snort ne sont que des alertes ( ça ne veut pas dire que l'attaque est réussie ).

MSQL_Worm_Attempt_Propagation est une alerte classique que Snort détecte souvent ( Slammer je crois, il attaque uniquement les serveurs SQL Microsoft par le port 1434, si ma mémoire est bonne ).

Si tu n'as pas de serveur MS SQL il n'y a pas lieu de s'inquiéter ( tu peux désactiver cette alerte Snort si tu veux ), si tu en as un ( et que tu as forwarder ces ports ) il faut le patcher ( mais s'il reste des serveurs SQL non patchés les proprios de ces dits serveurs ont dus séjourner sur Mars ces 2 dernières années !! ).

Voili, voilou, @ + !

[gesar]

Bonjour et merci à Gandalf
je vais rechercher à mieux comprendre ce domaine des blocages ip.
J'ai fait de la formation 'autodidacte sur 'netfilter' (début) , j'ai lu le fichier /etc/rc.d/rc.firewall de IPCop et voilà, je vais continuer
merci
gesar