Computerbeveiliging
- Hoe je bad guys buiten de deur houdt
Wat betekend dit?
19-08-2011, 17:20 door Anoniem, 6 reacties
In de log van mijn Norton 360 firewall zie ik steeds soortgelijke meldingen opduiken:Blokkering van ongebruikte poorten heeft communicaties geblokkeerd.Inkomende TCP-verbinding Extern adres,lokale service is (58.218.199.147,Port(8118)).Wat is een tcp-verbinding? Wat betekend lokale service? En wat is dat voor een poort?
Reacties (6)
19-08-2011, 17:36 door
SirDice
Door Anoniem: Wat is een tcp-verbinding?
http://nl.wikipedia.org/wiki/Transmission_Control_ProtocolWat betekend lokale service?
Ik kon daarvoor geen Nederlands artikel vinden maar een Unix daemon heeft dezelfde functionaliteit als een Windows service.http://nl.wikipedia.org/wiki/Daemon_%28Unix%29
En wat is dat voor een poort?
Het is geen registreerde (vastgelegde) poort maar wordt vaak voor een proxy gebruikt.
19-08-2011, 21:10 door
Bitwiper
Vanuit dat IP adres (58.218.199.147) in China vinden veel scans plaats, zie http://isc.sans.edu/ipinfo.html?ip=058.218.199.147 of Google naar "58.218.199.147" (inclusief de aanhalingstekens).
Het lijkt er in elk geval op dat iemand vanaf dat IP adres erg actief op zoek is naar open http proxies (zie bijv. http://askubuntu.com/questions/27601/what-are-fail2bans-log-iptables-returned-nnn-entries-fail2ban-is-failing-to).
Zoals SirDice al aangaf, poort 8118/TCP kan door Privoxy worden gebruikt (zie http://isc.sans.edu/port.html?port=8118).
Overigens hoeft de eigenaar van het IP-adres (58.218.199.147) niet de "dader" te zijn, waarschijnlijk gaat het gewoon om een gecompromitteerde PC (of server).
Belangrijk: als je dit soort meldingen op je PC ziet zit je waarschijnlijk niet achter een veilige router. Dat betekent dat jouw Norton 360 software je belangrijkste bescherming is. Van dat soort (firewall) software is bekend dat het niet altijd meteen werkt tijdens het opstarten van je PC en/of tijdens het updaten ervan. Bovendien wordt dit soort software soms door gebruikers uitgezet als iets niet goed werkt, niet zelden op aanraden van helpdesks van o.a. softwarefabrikanten.
Wie is je ISP en wat voor aansluiting heb je, d.w.z. hoe is jouw PC met "het internet" verbonden?
Het lijkt er in elk geval op dat iemand vanaf dat IP adres erg actief op zoek is naar open http proxies (zie bijv. http://askubuntu.com/questions/27601/what-are-fail2bans-log-iptables-returned-nnn-entries-fail2ban-is-failing-to).
Zoals SirDice al aangaf, poort 8118/TCP kan door Privoxy worden gebruikt (zie http://isc.sans.edu/port.html?port=8118).
Overigens hoeft de eigenaar van het IP-adres (58.218.199.147) niet de "dader" te zijn, waarschijnlijk gaat het gewoon om een gecompromitteerde PC (of server).
Belangrijk: als je dit soort meldingen op je PC ziet zit je waarschijnlijk niet achter een veilige router. Dat betekent dat jouw Norton 360 software je belangrijkste bescherming is. Van dat soort (firewall) software is bekend dat het niet altijd meteen werkt tijdens het opstarten van je PC en/of tijdens het updaten ervan. Bovendien wordt dit soort software soms door gebruikers uitgezet als iets niet goed werkt, niet zelden op aanraden van helpdesks van o.a. softwarefabrikanten.
Wie is je ISP en wat voor aansluiting heb je, d.w.z. hoe is jouw PC met "het internet" verbonden?
Door Bitwiper: Vanuit dat IP adres (58.218.199.147) in China vinden veel scans plaats, zie http://isc.sans.edu/ipinfo.html?ip=058.218.199.147 of Google naar "58.218.199.147" (inclusief de aanhalingstekens).
Het lijkt er in elk geval op dat iemand vanaf dat IP adres erg actief op zoek is naar open http proxies (zie bijv. http://askubuntu.com/questions/27601/what-are-fail2bans-log-iptables-returned-nnn-entries-fail2ban-is-failing-to).
Zoals SirDice al aangaf, poort 8118/TCP kan door Privoxy worden gebruikt (zie http://isc.sans.edu/port.html?port=8118).
Overigens hoeft de eigenaar van het IP-adres (58.218.199.147) niet de "dader" te zijn, waarschijnlijk gaat het gewoon om een gecompromitteerde PC (of server).
Belangrijk: als je dit soort meldingen op je PC ziet zit je waarschijnlijk niet achter een veilige router. Dat betekent dat jouw Norton 360 software je belangrijkste bescherming is. Van dat soort (firewall) software is bekend dat het niet altijd meteen werkt tijdens het opstarten van je PC en/of tijdens het updaten ervan. Bovendien wordt dit soort software soms door gebruikers uitgezet als iets niet goed werkt, niet zelden op aanraden van helpdesks van o.a. softwarefabrikanten.
Wie is je ISP en wat voor aansluiting heb je, d.w.z. hoe is jouw PC met "het internet" verbonden?
Hier de TS: ik heb UPC met een kabel rechtstreeks met de modem,had eerder een router maar die heb ik vanwege hacking vermoeden eraf gehaald. Soms gebruik ik een zo'n stick met prepaid internet ,zowel van t-mobile als van simyo.Ik kijk echter altijd als ik pc opstart in windows security center of alles groen staat (ingeschakeld is). Maar soms moet ik pc opnieuw opstarten bijv. vanwege updates norton of super-antispyware en dan laat ik hem aan de kabel en soms duurt het dan eventjes voordat ie op groen gaat.Vorig jaar had ik nog McAfee,daar duurde het wel heel lang,vaak wel 4 minuten voordat ie op groen ging.Bij Norton gaat dat een stuk sneller.Maar ik check altijd in windows security center of scanner en firewall etc is ingeschakeld.Het lijkt er in elk geval op dat iemand vanaf dat IP adres erg actief op zoek is naar open http proxies (zie bijv. http://askubuntu.com/questions/27601/what-are-fail2bans-log-iptables-returned-nnn-entries-fail2ban-is-failing-to).
Zoals SirDice al aangaf, poort 8118/TCP kan door Privoxy worden gebruikt (zie http://isc.sans.edu/port.html?port=8118).
Overigens hoeft de eigenaar van het IP-adres (58.218.199.147) niet de "dader" te zijn, waarschijnlijk gaat het gewoon om een gecompromitteerde PC (of server).
Belangrijk: als je dit soort meldingen op je PC ziet zit je waarschijnlijk niet achter een veilige router. Dat betekent dat jouw Norton 360 software je belangrijkste bescherming is. Van dat soort (firewall) software is bekend dat het niet altijd meteen werkt tijdens het opstarten van je PC en/of tijdens het updaten ervan. Bovendien wordt dit soort software soms door gebruikers uitgezet als iets niet goed werkt, niet zelden op aanraden van helpdesks van o.a. softwarefabrikanten.
Wie is je ISP en wat voor aansluiting heb je, d.w.z. hoe is jouw PC met "het internet" verbonden?
Door TS: Ik heb in het logboek van norton om 02:00u vannacht maar liefst 68 aanvallen op norton geteld.allemaal op verschillende onderdelen. Bijv.: activiteit: ongeautoriseerde toegang geblokkeerd (Bestand openen) Status: geblokkeerd datum&tijd: zaterdag 20 augustus 2011 02:01 en dan bij details: Acteur:C\Windows\SYSTEM32\DLLHOST.EXE Acteur-PID:5096 Doel: C:\ProgramData\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\N360_5.00.125\QBackup en dan nog een paar reeksen letters en cijfers met aan het eind .qbi en verderstaat er: Doel-PID 0 Actie: Bestand openen Reactie: Ongeautoriseerde toegang geblokkeerd Terminalsessie: 1.
22-08-2011, 22:27 door
Bitwiper
Uit wat je schrijft kan ik niet opmaken of je computer besmet is, of dat er gewoon port-scans plaatsvinden (dat is helaas "normaal" op internet).
Of je met de T-Mobile/Simyo prepaid internet sticks beter beschermd bent dan met je kabelmodem, weet ik niet (ik kan me voorstellen dat T-Mobile en/of Simyo het niet prettig vinden als men "servers" gaat draaien via UMTS, mogelijk dat ze daarom alleen uitgaande verbindingen vanaf jouw PC ondersteunen - maar of dit zo is weet ik niet).
Als je thuis computert zou ik er altijd een NAT routertje tussenzetten. Als het IP-adres van je PC zich in 1 van de volgende reeksen bevindt ben je safe en zou je die scans niet meer moeten zien:
10.0.0.0 t/m 10.255.255.255
172.16.0.0 t/m 172.31.255.255
192.168.0.0 t/m 192.168.255.255
Succes!
Of je met de T-Mobile/Simyo prepaid internet sticks beter beschermd bent dan met je kabelmodem, weet ik niet (ik kan me voorstellen dat T-Mobile en/of Simyo het niet prettig vinden als men "servers" gaat draaien via UMTS, mogelijk dat ze daarom alleen uitgaande verbindingen vanaf jouw PC ondersteunen - maar of dit zo is weet ik niet).
Als je thuis computert zou ik er altijd een NAT routertje tussenzetten. Als het IP-adres van je PC zich in 1 van de volgende reeksen bevindt ben je safe en zou je die scans niet meer moeten zien:
10.0.0.0 t/m 10.255.255.255
172.16.0.0 t/m 172.31.255.255
192.168.0.0 t/m 192.168.255.255
Succes!
23-08-2011, 08:33 door
SirDice
Zolang de scans door een firewall (op een router of op de PC zelf) worden tegengehouden is er niets aan de hand. Daar heb je een firewall voor.
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
No more ransomware!
De nieuwe Ransomware Awareness Experience training biedt een realistische maar vooral leuke introductie in de wereld van ransomware. De deelnemers ervaren hoe eenvoudig een organisatie het slachtoffer kan worden van ransomware en leren meteen hoe een besmetting kan worden voorkomen!