TCP SYN Flooding?

[Verwijderd]

Ik heb vorige week een draaidloze router geinstalleerd maar ik krijg steeds mailtjes van mn router dat er TCP SYN Flooding attack is en dat hij die heeft tegengehouden:

"Dear User:

Your SMC Barricade Router has detected and protected you against an attempt to gain access to your network.

This may have been an attempted hacker intrusion, or perhaps just your Internet Service Provider doing routine network maintenance.

Most of these network probes are nothing to be worried about - these types of random probes should NOT be reported, but you may want to report repeated intrusions attempts.

Please save this email for comparison with future alert messages that you may get.

Alert Information
Time: Thu Jan 1 20:44:08 1970
Message: **TCP SYN Flooding** <TCP>
Source: 62.163.82.86, 27154
Destination: 255.255.255.255, 47635"

Krijg bijna 200 van die mailtjes per dag kan niet goed zijn lijkt me!!
Nu weet ik wat TCP SYN Flooding inhoud maar wat doe ik er tegen dat kan ik nergens vinden op google! iemand enig idee wat ik er aan kan doen alle pc's in het netwerk zijn voor zover mogelijk spyware vrij (ad-aware, spybot)....

[ Voor 5% gewijzigd door Verwijderd op 30-09-2004 19:41 ]

[Verwijderd]

Network Troubleshooting -> Beveiliging & Virussen

[Dupje]

Verwijderd schreef op 30 september 2004 @ 19:40:
....

Is die source niet je eigen ip? Mss probeert er wel een programma acces te krijgen naar internet van binnen uit?

[ Voor 73% gewijzigd door Dupje op 30-09-2004 19:47 ]

[Verwijderd]

Dupje schreef op 30 september 2004 @ 19:47:
[...]


Is die source niet je eigen ip? Mss probeert er wel een programma acces te krijgen naar internet van binnen uit?

Nee dat is het niet anders zou het ip adres volgens mij met 195.168.*.* moeten beginnen.....

[Bleh!]

Is dat source adres 62.163.82.86, 27154 altijd hetzelfde?

[Falcon]

In dit artikel staan een aantal oplossingen -> http://www.networkcomputi...04/004.txt.html#solutions

Maar als het toch van 1 ipadres af komt dan lijkt het me makkelijker om gewoon dat ip te blokken.

[Verwijderd]

bleh schreef op 01 oktober 2004 @ 13:11:
Is dat source adres 62.163.82.86, 27154 altijd hetzelfde?

Ip adres verschilt af en toe soms krijg ik 20 mailtjes met het ene adres en dan de andere keer 50 mailtjes met weer een ander adres! snap dr echt geen zak van

[Bleh!]

Dat is jammer dan komen de aanvallen toch van verschillende hosts. Zijn het dan een paar verschillende of is er geen peil op te trekken? Is bijvoorbeeld het deel 62.163. altijd hetzelfde?
Je zou dan namelijk dat netwerk kunnen blokkeren.
Het voordeel is wel dat je router het tegenhoud. Dus je zou ook gewoon de mail uit kunnen zetten .

[curry684]

Zo te zien is je ISP aan het prutsen van hier tot Tokio, want een SYN flood naar een broadcastadres mag ammenooitniet z'n eigen subnet uitkomen

Overigens hoeven de aanvallen niet van verschillende hosts te komen, een SYN flood hoef je geen wederzijdse communicatie voor te hebben en kan dus met een spoofed IP plaatsvinden. Het zal dus iemand binnen het subnet van je ISP zijn die een brak virus heeft of zelf domme spelletjes zit te spelen.

[SysRq]

Ik heb ook een tijdlang het intrusion defection system gebruikt, maar ik vond het niet echt handig. Je krijgt waarschijnlijk ook een stapel andere meldingen.

Wat ik ook lastig vond is dat de firewall een beetje te enthousiast blokkeert. Remote management werkte dan ook niet lekker meer.

[Victor]

curry684 schreef op 01 oktober 2004 @ 15:52:
Zo te zien is je ISP aan het prutsen van hier tot Tokio, want een SYN flood naar een broadcastadres mag ammenooitniet z'n eigen subnet uitkomen

Overigens hoeven de aanvallen niet van verschillende hosts te komen, een SYN flood hoef je geen wederzijdse communicatie voor te hebben en kan dus met een spoofed IP plaatsvinden. Het zal dus iemand binnen het subnet van je ISP zijn die een brak virus heeft of zelf domme spelletjes zit te spelen.

Sterker nog, een SYN flood zonder spoofed IP heeft weinig zin als het gaat om een poging tot een DDoS. De router zal dan nl. gewoon antwoord geven, ipv zinloos veel ACK's te sturen naar een IP dat toch niet bestaat.

[curry684]

King_Louie schreef op 01 oktober 2004 @ 15:57:
[...]

Sterker nog, een SYN flood zonder spoofed IP heeft weinig zin als het gaat om een poging tot een DDoS. De router zal dan nl. gewoon antwoord geven, ipv zinloos veel ACK's te sturen naar een IP dat toch niet bestaat.

Veel softwarematige routers zijn echter gevoelig voor SYN floods als simpele DoS, er wordt dan namelijk een TCP-sessie in de router opgestart die nooit beeindigd wordt, en met de flood veroorzaak je dus dat het geheugen vol zal lopen met ongebruikte TCP-sessies, met als uiteindelijk resultaat dat de router crasht of geen geheugen/CPU-power meer heeft om de legitieme connecties te beheren.

edit:
zie ook http://www.iss.net/securi...TCP/SYN_flood/default.htm

[ Voor 7% gewijzigd door curry684 op 01-10-2004 16:07 ]