Scan de ports par Free.fr

par **EBH** » 09 Juin 2003 22:20

En consultant le journal de snort, je me suis aperçu qu'une adresse scanne régulièrement les ports de ma machine (tous les jours et parfois plusieurs fois). L'adresse IP enregistrée par le journal est 213.228.0.42, or celle-ci correspond à un serveur (www1.free.fr) de chez Free.fr (mon FAI). Est-ce que d'autres abonnés Free ont des enregistrements semblables ? Pourquoi Free.fr scannerait-il les ports des machines clientes de ces serveurs ?

par **cain** » 09 Juin 2003 22:33

Passé chez Free depuis peu, je dois dire que pour l'instant mon firewall <IMG SRC="images/smiles/icon_cussing.gif"> ne m'a pas encore signalé de scan de ports provenant de chez eux. Ceux qui ont déjà été loggés par le passé dataient du temps ou j'étais chez wanadoo. Au cas où je constaterai ce genre de "pratiques", je le préciserai ici.

par **Vinzstyle** » 09 Juin 2003 22:45

Pareil pour moi, je réinstall IPCop demain et je vous tiens au courant.

par **tomtom** » 09 Juin 2003 22:48

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2003-06-09 22:20, EBH a écrit: En consultant le journal de snort, je me suis aperçu qu'une adresse scanne régulièrement les ports de ma machine (tous les jours et parfois plusieurs fois). L'adresse IP enregistrée par le journal est 213.228.0.42, or celle-ci correspond à un serveur (www1.free.fr) de chez Free.fr (mon FAI). Est-ce que d'autres abonnés Free ont des enregistrements semblables ? Pourquoi Free.fr scannerait-il les ports des machines clientes de ces serveurs ? </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Ca me parait vraiment très etrange ! Qu'entends-tu par scan de ports ? Ce ne seraitpas à rapprocher de <A HREF="http://forums.ixus.net/viewtopic.php?t=4183" TARGET="_blank">ceci</A> par exemple ? SI tu te connectes regulièrement au site <a href="http://www.free.fr" target="_blank">www.free.fr</a> (webmail par exemple), c'est le plus probable. Donne un peu les logs, que l'on voie ce que ça donne... T.

par hb » 09 Juin 2003 22:49

j'ai cessé de tracer les scan et autres intrusions tellement j'en ai souvent dans les 12 dernières heures j'ai : parefeu 22 tentatives intrusion 26 tentatives et pourtant j'ai qu'un modem 56k connecté h24 depuis octobre 2002 mais aussi une adresse dynamique chez DYNDNS.ORG je me demande qui à la patience d'eplucher toutes ses logs chaque jour ? perso je ferme les yeux et je fais confiance à IPCOP. serait il possible (et à je me tourne vers les Xperts) qu'un utilisateur se fasse passer pour son provider ? e vois mal les mecs de free faire du scan sur le net <IMG SRC="images/smiles/icon_confused.gif">

par **tomtom** » 10 Juin 2003 05:36

Il est possible de "spoofer" un adresse source. Mais spoofer l'adresse d'un serveur web aussi frequenté que celui de free, c'est chaud. Alors soit il s'agit de tentatives de DDoS sur ta machine ou même contre la machine de free elle même en utilisant les adresses d'abonnées.... Soit il s'agit d'une mauvaises config de Snort qui te remonte des laarmes à caractère erroné. Dans tous les cas, si tu n'as pas la patience de lire les log, de les traiter pour filtrer l'info pertinent etc, on ne pourra pas comprendre grand chose et surtout ça ne sert à rien de générer des logs dans ce cas là. C'est justement en cas d eproblème qu'elles sont importaantes, je te conseille d'essayer de les analyser, et de poster les parties interressantes pour que l'on essaye de comprendre ce qui se passe. T.

par **cgrivet** » 10 Juin 2003 07:29

moi j'ai ça pour la journée d'hier... Date: 06/10 05:24:15 Nom: (spp_portscan2) Portscan detected from 213.228.0.42: 1 targets 21 ports in 4 seconds Priorité: n/a Type: n/a Informations sur l'adresse IP: 213.228.0.42:80 -> 212.11.35.168:2655 Références: aucune entrée trouvée SID: n/a Date: 06/10 05:38:21 Nom: (spp_portscan2) Portscan detected from 213.228.0.42: 1 targets 21 ports in 6 seconds Priorité: n/a Type: n/a Informations sur l'adresse IP: 213.228.0.42:80 -> 212.11.35.168:2814 Références: aucune entrée trouvée SID: n/a Date: 06/10 06:47:41 Nom: (spp_portscan2) Portscan detected from 213.228.0.42: 1 targets 21 ports in 5 seconds Priorité: n/a Type: n/a Informations sur l'adresse IP: 213.228.0.42:80 -> 212.11.35.168:2960 Références: aucune entrée trouvée SID: n/a Date: 06/10 07:17:32 Nom: (spp_portscan2) Portscan detected from 213.228.0.42: 1 targets 21 ports in 5 seconds Priorité: n/a Type: n/a Informations sur l'adresse IP: 213.228.0.42:80 -> 212.11.35.168:3120 Références: aucune entrée trouvée SID: n/a Date: 06/10 07:20:03 Nom: (spp_portscan2) Portscan detected from 213.228.0.42: 1 targets 21 ports in 9 seconds Priorité: n/a Type: n/a Informations sur l'adresse IP: 213.228.0.42:80 -> 212.11.35.168:3159 Références: aucune entrée trouvée SID: n/a

par **tomtom** » 10 Juin 2003 08:37

C'est exectement le même genre de log qu'ont remonté les gens sur ixus (voir lien ci-dessus...). Est-ce que ces rapports correspondent à des heures où vous surfez sur le site de free? (webmail, etc...) T.

par **jimwi** » 10 Juin 2003 08:51

J'ai également des scan de port par free.

par **christian67** » 10 Juin 2003 09:21

Bonjour, Pareil pour moi, et pourtant je n'utilise ni le site de Free, ni leur webmail. Mais actuellement Free, me rempli me logs ... à suivre. Christian67

par **nemesis** » 10 Juin 2003 09:32

juste une kestion est ce que l'iun de vous a pris la peine de fair un <a href="http://www1.free.fr" target="_blank">http://www1.free.fr</a> ? parce que lorsque l'on fait cela c marrant mais on tombe sur la page d'accueil de free donc à mon avis c'est un joli false positive que vous avez là.... de même avec certain serveur irc qui font des scan etc....

par **doxical** » 27 Juin 2003 11:58

un script scanner de port, installer sur un compte d'user free.

par **nemesis** » 27 Juin 2003 12:09

logiquement si j'en crois la doc de free aucun script nécessitant des droit d'exec ne peux etre mis en place sur les compte perso dc...

par **antolien** » 27 Juin 2003 12:28

un peu hors sujet, mais aujourd'hui dans mes logs : Nombre total de règles d'intrusion activées pour Juin 27: 156 Nombre total d'accès au firewall pour Juin 27: 210 Et il n'est que 12:20 ! C'est assez impressionnant quand même, vous en avez combien ?

par **Rbill** » 27 Juin 2003 13:11

Sur wanadoo: Nombre total d'accès au firewall pour Juin 27: 3431 Nombre total de règles d'intrusion activées pour Juin 27: 29

Scan de ports par Free.fr

Qui est en ligne ?