Устройство с IP-адресом SRC представляет собой коробку Telus DVR, подключенную к Smart TV. Я не вижу причин, по которым TV Box должен пытаться отправлять сообщения на компьютеры в сети, особенно на случайные порты, как это, похоже, происходит из журнала.
Правильно ли я пришел к выводу, что видеорегистратор был заражен и работает какой-то сканер уязвимостей?
ОБНОВЛЕНИЕ 1
Поскольку я хотел получить полную картину, а не только трафик, заблокированный брандмауэром, я пошел дальше и выполнил несколько tcpdump-s на своем компьютере, связанных с рассматриваемым хостом: tcpdump -i wlp2s0 -n "src host 192.168.1.65 or dst host 192.168.1.65"(обратите внимание, что, хотя я слушаю по интерфейсу Wi-Fi, сама коробка ТВ находится на Ethernet, если это имеет значение)
Результатом стала куча многоадресных запросов:
01:59:17.410558 IP (tos 0xa0, ttl 1, id 9041, offset 0, flags [DF], proto UDP (17), length 564) 192.168.1.65.40106 > 239.255.255.250.8082: [udp sum ok] UDP, length 536 01:59:20.482689 IP (tos 0xa0, ttl 1, id 11391, offset 0, flags [DF], proto UDP (17), length 564) 192.168.1.65.40106 > 239.255.255.250.8082: [udp sum ok] UDP, length 536 01:59:23.350033 IP (tos 0xa0, ttl 1, id 14259, offset 0, flags [DF], proto UDP (17), length 564) 192.168.1.65.40106 > 239.255.255.250.8082: [udp sum ok] UDP, length 536 01:59:26.421815 IP (tos 0xa0, ttl 1, id 16051, offset 0, flags [DF], proto UDP (17), length 564) 192.168.1.65.40106 > 239.255.255.250.8082: [udp sum ok] UDP, length 536 01:59:29.494329 IP (tos 0xa0, ttl 1, id 17699, offset 0, flags [DF], proto UDP (17), length 564) 192.168.1.65.40106 > 239.255.255.250.8082: [udp sum ok] UDP, length 536
Это подсказало бы мне неправильную реализацию SSDP, но любой вклад от знающих людей мог пролить свет на ситуацию.
ОБНОВЛЕНИЕ 2
Я нашел виновника группы сообщений, заблокированных брандмауэром (192.168.1.65:1900 -> my.computer:random_port). Google Chrome продолжал многоадресные запросы обнаружения SSDP каждую минуту или около того. Из-за того, как он закодирован, эти запросы используют, казалось бы, случайные порты и, таким образом, когда из TV Box поступил законный ответ, он был заблокирован.
Это уточняет первую группу сообщений. Я хотел бы еще знать, что вызывает вторую группу.
** 192.168.1.70 ** - это адрес в интрасети, которого нет за пределами вашей сети
Ramhound 6 лет назад
0
«Правильно ли я пришел к выводу, что видеорегистратор был заражен и на нем запущен какой-то сканер уязвимостей?» - Нет; Вы не были бы правы, предполагая это.
Ramhound 6 лет назад
1
@Ramhound да - это действительно адрес в интрасети. Как это противоречит моей гипотезе?
Slavic 6 лет назад
0
UDP 1900 является или должен быть [SSDP aka UPnP] (https://en.wikipedia.org/wiki/Simple_Service_Discovery_Protocol). Есть ли на вашей машине что-нибудь, что будет отправлять запросы UPnP? Обратите внимание, что запросы отправляются на многоадресную рассылку, что может объяснить, что ваш брандмауэр не распознает эти ответы как связанные (при условии, что он настроен на принятие связанных, как обычно).
dave_thompson_085 6 лет назад
0
@ dave_thompson_085 не будет ли машина в этом случае отправлять данные на 1900 вместо случайных портов?
Slavic 6 лет назад
0
@Slavic - В худшем случае вы будете атаковать себя, но этого не происходит.
Ramhound 6 лет назад
0
Ваша машина будет отправлять запросы _от_ случайных временных портов на 1900 (не заблокированные и не зарегистрированные), а затем получать ответы _т_ на эти порты.
dave_thompson_085 6 лет назад
0
1 ответ на вопрос
1
interoperability
Это может происходить по множеству причин, поэтому не спешите с выводами слишком быстро. Многие устройства с подключением к Интернету выполняют сканирование сети на периодической основе или при соблюдении определенных условий. Поскольку первое, кажется, не имеет место, DVR, возможно, обнаружил изменение в сети, такое как новое устройство, отправляющее пакеты, изменение в сетевой безопасности, в котором предварительный общий ключ остался тем же самым (то есть WPA к WPA2), или даже различие в версиях протокола, вызванное автоматическим обновлением маршрутизатора. Это всего лишь несколько причин, по которым устройство будет выполнять это действие.
Мой вам совет - запустить сканирование сети. Вы можете сделать это с помощью различных инструментов, таких как NMap , очень популярный бесплатный инструмент сетевого сопоставления, который предлагает как командную строку, так и графические опции. NMap и большинство других инструментов сетевого сопоставления содержат много подробностей о подключенных устройствах, поэтому я хотел бы предложить составить карту вашей сети и исключить любые подозрительные IP-адреса. Благодаря современному изобилию фильтрации портов с применением интернет-провайдера и межсетевых экранов «по умолчанию по умолчанию» большинство распространенных атак теперь происходят изнутри сети (например, злоумышленник, находящийся поблизости, получил доступ к вашей сети Wi-Fi и зарегистрировался в сети). и запустил вредоносные атаки). Таким образом, картирование вашей сети будет лучшим выбором для обнаружения вредоносных объектов. Вы также можете использовать систему обнаружения вторжений в сеть, такую какSnort . При условии, что вы используете беспроводную сеть, первым логическим шагом будет изменение предварительно общего ключа (или «пароля») на надежный, предпочтительно случайно сгенерированный ключ. Как упоминалось ранее, большинство атак происходит из вашей сети, поэтому, если злоумышленник не имеет постоянного доступа к устройству в вашей сети и / или не имеет физического доступа к вашему маршрутизатору, это остановит многих злоумышленников, по крайней мере, временно.
Я должен добавить, что DVR продолжает делать это постоянно. Примерно 15 раз в минуту. С тех пор навсегда. Также обратите внимание на разные порты.
Slavic 6 лет назад
0
Я не уверен, что следую - что я пытаюсь выяснить с помощью сканирования сети?
Slavic 6 лет назад
0
Ваш Q показывает 4 каждые 2 минуты, а не 15 в минуту.
dave_thompson_085 6 лет назад
0
@ Славянский, извини, если не понятно. Цель сканирования сети - найти потенциальных злоумышленников в сети.
interoperability 6 лет назад
0
Как вы можете видеть из обновлений и комментариев, я добился определенного прогресса в выявлении странного трафика. Я до сих пор не знаю, почему DVR осуществляет многоадресную рассылку через порт 8082 (с, казалось бы, случайных портов), но, по крайней мере, я уверен, что это не заражение, а что-то вроде странной конфигурации.
Slavic 6 лет назад
0
@Slavic Обоснование может быть описано в документации (руководства, технические документы и т. Д.) Телевизионной коробки. Или вы всегда можете попытаться получить доступ к командной строке и просто запустить `netstat -tulpn`, чтобы выяснить, какие программы работают на каких портах.
interoperability 6 лет назад
0