Router... komische attacken??

[Hirbel]

HI
Ihrgendwie haut es manchmal den Router aus dem Internet =( und dann steht in der LOG datei das hier drinnen :

12/08/2004 14:39:08 **Smurf** 66.79.168.90->> 83.129.168.255, Type:8, Code:0 (from PPPOE Inbound)

und manchmal noch andere sachen =( die sehr komisch aus sehen?
kann man das irgendwie ausstellen das es ihn dann aus dem internet haut?

[Kommune23]

Vielleicht sowas hier: http://www.sophos.de/virusinfo/analyses/trojsmurf.html

Haste mal nach Viren gescannt?

[Hirbel]

mach ich gerade

[RobertD]

Zitat von Hirbel

HI
Ihrgendwie haut es manchmal den Router aus dem Internet =( und dann steht in der LOG datei das hier drinnen :

12/08/2004 14:39:08 **Smurf** 66.79.168.90->> 83.129.168.255, Type:8, Code:0 (from PPPOE Inbound)

und manchmal noch andere sachen =( die sehr komisch aus sehen?
kann man das irgendwie ausstellen das es ihn dann aus dem internet haut?

Normal kann man daran garnix ändern, auch bei mir sowie bei den meisten anderen sieht es nicht anders aus. In den meisten Fällen hängt das damit zusammen, das ja die IP-Adresse vom ISP dynamisch vergeben wird, und weist du, was der vorhergehende Nutzer dieser gerade von dir genutzten IP-Adresse gerade gemacht hat?
Nur eines solltest du mal in Erfahrung bringen, was oben markierte Meldung bedeutet, dann weist du sicherlich mehr.
Bei meinem DLink-Router werden dazu die Ports angegeben. Als Beispiel:

Saturday, January 01, 2005 04:28:52 Unrecognized access from 217.85.35.6:4223 to 217.85.238.136TCP:445

Das ist nur einer von vielen, normal heißt das nur, das es unberechtigten Zugriffsversuch gab, dieser aber verworfen wird.

[Qndre]

Sind meistens Portscans die nach Lücken suchen. Nur wenn sie eine finden wird wirklich angegriffen. Nur was bedeutet dieses "***SMURF***"?

[Live]

Als Smurf-Attacke bezeichnet man eine besondere Art eines Angriffs auf ein Computersystem oder -netzwerk. Im Gegensatz zu einem einfach Ping-Flood auf einen einzelnen Host, werden bei der Smurf-Attacke Pings an die Broadcast-Adresse eines Netzwerk gesendet.

[Qndre]

Achja, stimmt, jetzt fällt's mir wieder ein. Ist ne Art des DoS-Angriffs. Hab mal Referat gehalten zu dem Thema "DoS-Angriffe: Gefahr aus dem Netz". Über die Funktionsweisen der einzelnen Angriffe, ihre Wirkung, Durchführung, Abwehrmaßnahmen.

Also zum Beispiel über Ping-Of-Death, Large-Packet-Attack und dann noch so ein paar Attacken bei denen entweder alle Pakete unbearbeitet bleiben und deswegen der Rechner zusammenbricht oder weil der Rechner dauernd auf seine eigenen Pakete antwortet, welche sich mit jeder "Runde" verdoppeln und alles son Kram.

[Qndre]

Vielleicht solltest Du die IP-Adresse mal auf Deiner Router-Firewall freigeben. So wie Du das in dem anderen Thread beschrieben hast ist das ja Dein Provider, der diese Pakete schickt.

Ich kenne das von meinem Kumpel, der iss immer ohne Firewall im Netz. Dann hab ich ihm mal aus Sicherheitsgründen ne Firewall installiert. Seit dem wurde nach einer Einwahl sofort die Internetverbindung getrennt. Offensichtlich gibt es einige Provider die nicht die Verbindung aufbauen und erst dann wieder trennen wenn der Befehl dazu kommt sondern sie aufbauen und den User so lange anpingen (diese Echo-Requests blockt Dein Router weil er sie als Angriff sieht) bis er nicht mehr antwortet. Wenn er nicht mehr antwortet wird getrennt. Ist eine Schwachsinnsmethode aber ist nunmal bei manchen ISPs so. Lass' Pakete von dieser IP-Adresse auf Deinem Router einfach durch, mit so ner Filter Rule wie:

Permit incoming all Protocols Source 66.79.168.90 all Targets.