Добрый вечер.
Сегодня заметил странный флуд на боксе, с которым работаю, вот дамп от tcpdump:
23:21:07.580917 IP (tos 0x0, ttl 64, id 5746, offset 0, flags [DF], proto TCP (6), length 94) f125.wedos.net.microsoft-ds > kryton.progresive.cz.57250: Flags [P.], cksum 0xbe27 (correct), seq 3455992339:3455992381, ack 1572183034, win 23577, options [nop,nop,TS val 782520278 ecr 604343104], length 42SMB PACKET: SMBecho (REPLY)
23:21:07.718300 IP (tos 0x0, ttl 64, id 45880, offset 0, flags [DF], proto TCP (6), length 216) f125.wedos.net.microsoft-ds > gin.adminsite.cz.47263: Flags [P.], cksum 0xa55d (correct), seq 967:1131, ack 1483, win 15597, options [nop,nop,TS val 782520417 ecr 743201370], length 164SMB PACKET: SMBtrans2 (REPLY)
23:21:07.720359 IP (tos 0x0, ttl 64, id 45881, offset 0, flags [DF], proto TCP (6), length 216) f125.wedos.net.microsoft-ds > gin.adminsite.cz.47263: Flags [P.], cksum 0x5ee0 (correct), seq 1131:1295, ack 1605, win 15597, options [nop,nop,TS val 782520418 ecr 743201371], length 164SMB PACKET: SMBtrans2 (REPLY)
23:21:07.720932 IP (tos 0x0, ttl 64, id 45882, offset 0, flags [DF], proto TCP (6), length 91) f125.wedos.net.microsoft-ds > gin.adminsite.cz.47263: Flags [P.], cksum 0xdc2e (correct), seq 1295:1334, ack 1733, win 15597, options [nop,nop,TS val 782520419 ecr 743201373], length 39SMB PACKET: SMBtrans2 (REPLY)
Пиковая скорость составляет около 250 таких пакетов в секунду («всего» ~ 10 Мбит / с, но все равно раздражает).
f125.wedos.net - это не мое имя хоста, а хост в другой подсети от моего провайдера. Целевой адрес - это случайный адрес в одной из подсетей от моего провайдера.
Box работает под управлением Debian 7.7, новой установки без каких-либо серьезных изменений и без других запущенных служб / демонов.
Как я могу предотвратить это? Должен ли я просто поговорить об этом с техническими специалистами в моем центре обработки данных?
Спасибо.
Как я могу предотвратить это?
вы можете ограничить скорость:
iptables -I INPUT -p tcp --dport 445 -i eth0 -m state --state NEW -m latest --set
iptables -I INPUT -p tcp --dport 445 -i eth0 -m state --state NEW -m latest --update --seconds 60 --hitcount 4 -j DROP
или просто отключите / filter в своей подсети на входящем tcp / 445, если вам нужны службы samba .... этот порт обычно является windoze attck.