First packet not syn in combinatie met abnormaal poortnummer

[Jebus4life]

Dag beste mede-tweakers,

Ik heb een vreemd issue waar ik niet onmiddellijk een antwoord over kan vinden dus ik hoop dat misschien hier een expert zit die me wat meer info kan geven.

Situatie kort geschetst, bij een klant heb ik een DDOS protector staan, ik wil hier graag iets rapportering op laten lopen (zodat die klant weet wat dat ding net aan het doen/blokkeren is) maar nu is er 1 soort trafiek wat ik niet begrijp wat het precies is, of hoe ik dat moet interpreteren (en de klant gaat uiteraard vragen stellen )

Het gaat hoofdzakelijk over connecties naar de publieke websites die geblokkeerd worden wegens "TCP handshake violation, first packet not syn" op poortnummers die compleet willekeurig zijn (het gaat over zo'n 2500 connecties per week op poorten zoals 48870 -12766 - 28922 - 58659 - 17382 - ... ), connecties komen ook uit abnormale contreien (90% Amerika, maar ook Ierland, Roemenië, ...).
*Connecties horen hoofdzakelijk uit West-Europa te komen en enkel op http & https. (firewall zou ook enkel http & https doorlaten dus de connecties horen er niet te zijn).

Dat er connectiepogingen zijn, tot daar aan toe (die worden dan opgepikt door de firewall), maar waarom zouden er connecties (al dan niet met malafide achtergrond) zonder een voorafgaand Syn pakket verstuurd worden? Iemand enig idee?

[Thralas]

Welke flags zie je dan wel? Met zulke hoge destination ports zou je verwachten dat er ooit een TCP-sessie was, en het remote end en je 'DDOS protector' (whatever) het niet helemaal eens zijn of die connectie nog bestaat of niet.

Daarnaast kun je ook TCP port scannen met non-SYN packets, maar dat lijkt me niet bijzonder nuttig met die rare destination ports.

quote: man nmap

TCP FIN scanning : There are times when even SYN scanning isn't clandestine enough. Some firewalls and packet filters watch for SYNs to restricted ports, and programs like synlogger and Courtney are available to detect these scans. FIN packets, on the other hand, may be able to pass through unmolested. This scanning technique was featured in detail by Uriel Maimon in Phrack 49, article 15. The idea is that closed ports tend to reply to your FIN packet with the proper RST. Open ports, on the other hand, tend to ignore the packet in question.

[Jebus4life]

Mmm, het zou idd een TCP FIN scan kunnen zijn, al is het aantal wel opmerkelijk ook.

Lijkt me niet dat hierop ooit andere poorten zijn gebruikt op dit IP (dan moet dat al minstens 5+ jaar geleden zijn). Tnx voor de uitleg