[stalk:00116] Re: portscan

[tadashi nagao <tadashi@xxxxxxxxx>]

長尾です。

勉強不足ですみません。

Mar 14 18:28:16 210.141.108.xxx:53 -> 210.172.87.178:1612 UDP
Mar 14 18:28:16 210.141.108.xxx:53 -> 210.172.87.178:1613 UDP
Mar 14 18:28:16 210.141.108.xxx:53 -> 210.172.87.178:1615 UDP

は、セカンダリーが、チェックに来たときに、ひっかかるぽいです。

今さっき、次のがきました。こいつは、どうでしょうか？　カーネルの状態によって、でるぞ説も
あるみたいです。

ジャカルタから来ているので、多分、怪しいと思われます。
[**] spp_portscan: PORTSCAN DETECTED from 61.5.113.xxx (STEALTH) [**]
[**] spp_portscan: portscan status from 61.5.113.xxx: 1 connections across 1 hosts: TCP(1), UDP(0) S
TEALTH [**]
[**] spp_portscan: End of portscan from 61.5.113.xxx: TOTAL time(0s) hosts(1) TCP(1) UDP(0) STEALTH
[**]

それから、しっかり下記はきましたね。こいつは、チェックにきているのだと思います。
シンガポールからです。

[**] MISC-WinGate-1080-Attempt [**]


犬のみっきー さんは書きました:

>
>犬のみっきーです。
>
>[stalk:00114] ながおさん
>> portscan ですが、ISP から、また来ました。
>
>えーと、ログの一部でもあれば判断できると思いますが、いちおうsourceと
>destinationのポートを調べてみてください。80とか21の場合は誤検知である
>可能性が高いです。あとftpのPASVによる通信や、DNSとのセッションもポー
>トスキャンと騒ぎがちです。

--------------------------------------------------
tadashi@xxxxxxxxx 
http://www.nagao.com

■　価値ある情報は、行動を生み出す (クロード・シャノン）■
 
--
- このメイリングリストに関する質問・問い合せ等は
- <security-talk@xxxxxxxxxx>までお知らせください
--