URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID1
Нить номер: 39860
[ Назад ]
Исходное сообщение
"не могу разобраться логами снорта "
Отправлено kazak , 28-Янв-04 17:22 
Поставил снорт на linux Mandrake 9.0 - все бы хорошо, только не могу разобраться с логами. За неделю собрал статистику-логи, хотел бы их разобрать, что-то поменять в препроцессорах... Некоторые логи просто не понимаю:
[**] ICMP PING Windows [**]
01/21-17:05:37.073600 10.1.0.231 -> 192.168.23.10
ICMP TTL:123 TOS:0x0 ID:33593 IpLen:20 DgmLen:60
Type:8  Code:0  ID:512   Seq:27907  ECHO
61 62 63 64 65 66 67 68 69 6A 6B 6C 6D 6E 6F 70  abcdefghijklmnop
71 72 73 74 75 76 77 61 62 63 64 65 66 67 68 69  qrstuvwabcdefghi

Машины с ip 192.168.23.10 у нас нет вообще.
Что это за атака "ICMP PING Windows" ?
Поделитесь пожалуйста опытом.
      

Содержание
Сообщения в этом обсуждении
"не могу разобраться логами снорта "
Отправлено kazak , 28-Янв-04 17:31 
Вот ещё в alerts нашел такую сторочку:
[Xref => http://www.whitehats.com/info/IDS169]
"не могу разобраться логами снорта "
Отправлено VD , 28-Янв-04 18:37 
А правила snort-а посмотрел? Выкинул ненужные? А то он много лишнего в логи пишет по умолчанию, нормальный трафик за атаки принимает.
"не могу разобраться логами снорта "
Отправлено kazak , 29-Янв-04 14:27 
>А правила snort-а посмотрел? Выкинул ненужные? А то он много лишнего в
>логи пишет по умолчанию, нормальный трафик за атаки принимает.


Правила смотрел, что-то убрал, но все равно опыта малова-то.
Потом пинговать тачку из инета не получится - прокся стоит!
И все же что может означать?
##########################
[Xref => http://www.whitehats.com/info/IDS169]
[**] ICMP PING Windows [**]
01/21-17:14:38.477063 10.1.0.231 -> 192.168.X.10
ICMP TTL:123 TOS:0x0 ID:33823 IpLen:20 DgmLen:60
Type:8  Code:0  ID:512   Seq:29699  ECHO
61 62 63 64 65 66 67 68 69 6A 6B 6C 6D 6E 6F 70  abcdefghijklmnop
71 72 73 74 75 76 77 61 62 63 64 65 66 67 68 69  qrstuvwabcdefghi
##########################