DOS attack: FIN Scan

Dla specjalistów Bezpieczeństwo
#1

Witam,

przez chwilę (jakąś 1 minutę) straciłem połączenie z internetem, więc zalogowałem się do routera (Netgear WGR614v9) i ujrzałem oto takie logi:

Czy to oznacza, że ktoś mnie zaatakował? Wszystkie adresy IP odnoszą się do Google. Pierwszy raz spotyka mnie taka sytuacja, a od ostatniego ataku (11:12:05) nie mam już takiego wpisu. Czy jestem zagrożony, co powinienem zrobić? Sieć jest zabezpieczona i szyfrowana WPA2-PSK [AES]

#2

Proponuję instalację CIS 5.5 - http://www.dobreprogramy.pl/Comodo-Inte … 12952.html

Zmień standardowe ustawienia COMODO.

Konfiguracja - Ochrona Proaktywna ( Comodo Proactive Security )

Ustawienia Antywirusa - przy dostępie ( jest przy zmianach ), zabezpiecza USB

firewall / ustawienia zachowania zapory sieciowej / ustawienia ostrzeżeń / poziom ostrzegania - wysoki.

Polecenia poniżej " bardzo niski " pozostawiasz aktywne ( zaznaczone )

Firewall / ustawienia zachowania zapory sieciowej / zaawansowane // zaznaczyć wszystkie pozycje.

Firewall Comodo przejmie funkcję firewalla routera. Firewall na routerze możesz bez obaw wyłączyć.

Kreator ukrywania portów - pozycja druga jeżeli korzystasz z P2P, można też uruchomić pozycje trzecią, “Zablokuj połączenia przychodzące i ukryj porty tego komputera”

Dalsze ustawienia, otwórz:

Antywirus / Ustawienia skanera:

  • Skaner rezydentny / skanowanie pamięci ( tak ), aktualizacja baz ( tak ), pokazuj ostrzeżenia, p.s. heurystycznego - niski, nie skanować > 50MB

  • Skanowanie ręczne / zaznaczasz poz: 1 - 6. / p.s.h. - niski / nie skanować > 2000MB. Potwierdzić mimo ostrzeżenia.

  • Zaplanowane skanowanie / zaznaczasz poz: 1, 2, 4 - 8 / p.s.h. - wysoki / nie skanować > 2000MB. Potwierdzić mimo ostrzeżenia.

Wykonaj pełny skan

Na PC wpisujesz adresy DNS: 156.154.40.25 / 156.154.71.25. Zapewnisz sobie dodatkową ochronę przez serwery Comodo.

#3

Mam 3 laptopy - na każdym zainstalować CISa? Czy teraz jak nie mam zainstalowanego żadnego firewalla to znaczy, że ktoś może mnie podglądać (na 1 bądź wszystkich komputerach)? Dodam, że w routerze mam włączonego firewalla i NAT jest chroniony (zaznaczone jest secured)

#4

Tak. Mam podobny zestaw

– Dodane 09.10.2011 (N) 13:17 –

W firewall / ustawienia zachowania zapory / ustawienia ostrzeżeń // Ten komputer współdzieli swoje łącze internetowe. Pozostaje zaznaczone. Punktem wspólnym jest router.

#5

A tak w ogóle to możliwe, żeby Google mnie atakowało/skanowało? Jeśli tak to jaki to miało cel? Mam się czego bać?

#6

Wiesz ja myślę, że to prostu fałszywy alarm. Nastąpiło przesyłanie pakietów z kilku adresów z serwera google.pl a, jak wiadomo ataki typu DOS polegają na uniemożliwieniu działanie poprzez zajęcie wszystkich wolnych zasobów. Dlatego firewall sprzętowy mógł to uznać za taki atak, ponieważ nastąpiło przesyłanie pakietów logicznych z różnych IP w krótkim odstępie czasu. Mogę się mylić, ale jakiś sens w tym jest, tak myślę.

Pozdrawiam

#7

Wg info na http://whois.domaintools.com/74.125.77.95

Nie wygląda to na fałszywki.

– Dodane 09.10.2011 (N) 18:51 –

[DOS attack: FIN Scan] attack packets in last 20 sec from ip [74.125.77.95], Sunday, Oct 09,2011 11:12:05

[DOS ataku: FIN Scan] pakiety atak w ciągu ostatnich 20 sekund z ip [74.125.77.95], niedziela, paź 09,2011 11:12:05

#8

Nie zrozumiałeś mnie. Nie twierdze, że nie było połączenia, tylko opisuje w jaki sposób mogło do tego dojść, iż firewall mógł to uznać za tego typu anomalie. Dzięki za info mimo to nie było to potrzebne łączne z tłumaczeniem.

Pozdrawiam