Re: Monitorizare trafic prin router

Dumitru Mișu Moldovan <[email protected]> Thu, 1 Nov 2018 20:14:17 +0200

Newsgroups	gmane.org.user-groups.rlug.general
Message-ID	<[email protected]>

On Thu, 1 Nov 2018 18:31:09 +0100, Mihai Osian <[email protected]> wrote:
> 
>    Am o retea intr-o mica firma cu vreo 20 de calculatoare. In ultima 
> luna firma a fost listata de mai multe ori pe Spamhaus, care pretinde ca 
> a depistat conexiuni de la IP-ul nostru la un sinkhole pe portul 80. Pt 
> curiosi, Spamhaus zice ca adresa de sinkhole e 184.105.192.2, care 
> corespunde unui botnet controlat de la 'differentia.ru'. PC-urile 
> interne au antivirusi si update-uri la zi, nici unul nu spune nimic. In 
> momentul de fata cele 20 de PC-uri se conecteaza la internet printr-un 
> router TP-Link.
> 
> In reteaua interna exista si un server Linux care ofera servicii de 
> mail/web/etc pentru domeniul firmei. Ma gandesc sa pun Linuxul pe post 
> de router si sa incerc sa aflu care statie de lucru initiaza conexiuni 
> spre IP-ul mentionat de Spamhaus. Am nevoie de o sugestie referitor la 
> ce s-ar putea folosi pentru a monitoriza traficul prin router. Imi 
> trebuie ceva care sa inregistreze perechi de IP-uri sursa (interna) - 
> destinatie. As putea sa crosetez niste scripturi cu tcpdump sau 
> iptables, dar ma gandesc ca probabil exista deja ceva gata scris. Idei ?

Nici nu trebuie să „croșetezi” prea mult.  Cu iptables poți face DROP la pachetele către acel IP (eventual în combinație cu portul 80?), iar acțiunea o poți înregistra în logul de sistem.

Dar s-ar putea să vrei mai mult de atât, anume să previi așa ceva de acum înainte.  Pentru asta ai varii soluții de tip IDS: SNORT, Suricata și or mai fi…

_______________________________________________
RLUG mailing list
[email protected]
http://lists.lug.ro/mailman/listinfo/rlug_lists.lug.ro

signature.asc (application/pgp-signature, 833 B)