Dotaz: DOS - fraggle_attack

[Petr]

Dobrý den,

ve firmě máme dvě provozovny propojené pomocí VPN. Provoznovna 1 10.0.0.0/24, provozovna 2 10.0.1.0/24. Provozovna 1 je připojená pomocí ADSL routeru (poskytovatel O2) Draytek Vigor 2700. Provozovna 2 je připojena pomocí DSL routeru Draytek Vigor 2110. Připojení provozovny 2 je realizováno pomocí WiFi místního poskytovatele připojení. Mezi routery je VPN tunel a provozovna 2 využívá služby linuxového serveru připojeného na provozovně 1. Na serveru mimo jiné loguji různé události z obou routerů a v posledních několika dnech se mi v logu začali objevovat následujicí hlášky.

Sep 19 11:02:40 10.0.1.1 admin: [DOS][Block][fraggle_attack][109.72.6.124:5678->255.255.255.255:5678][UDP][HLen=20, TLen=107]
Sep 19 11:02:59 10.0.1.1 admin: [DOS][Block][fraggle_attack][192.168.34.46:5678->255.255.255.255:5678][UDP][HLen=20, TLen=109]
Sep 19 11:03:34 10.0.1.1 admin: [DOS][Block][fraggle_attack][192.168.1.4:5678->255.255.255.255:5678][UDP][HLen=20, TLen=130]
Sep 19 11:03:40 10.0.1.1 admin: [DOS][Block][fraggle_attack][109.72.6.124:5678->255.255.255.255:5678][UDP][HLen=20, TLen=107]
Sep 19 11:03:59 10.0.1.1 admin: [DOS][Block][fraggle_attack][192.168.34.46:5678->255.255.255.255:5678][UDP][HLen=20, TLen=109]
Sep 19 11:04:34 10.0.1.1 admin: [DOS][Block][fraggle_attack][192.168.1.4:5678->255.255.255.255:5678][UDP][HLen=20, TLen=130]
Sep 19 11:04:40 10.0.1.1 admin: [DOS][Block][fraggle_attack][109.72.6.124:5678->255.255.255.255:5678][UDP][HLen=20, TLen=107]
Sep 19 11:04:59 10.0.1.1 admin: [DOS][Block][fraggle_attack][192.168.34.46:5678->255.255.255.255:5678][UDP][HLen=20, TLen=109]
Sep 19 11:05:34 10.0.1.1 admin: [DOS][Block][fraggle_attack][192.168.1.4:5678->255.255.255.255:5678][UDP][HLen=20, TLen=130]
Sep 19 11:05:40 10.0.1.1 admin: [DOS][Block][fraggle_attack][109.72.6.124:5678->255.255.255.255:5678][UDP][HLen=20, TLen=107]
Sep 19 11:05:59 10.0.1.1 admin: [DOS][Block][fraggle_attack][192.168.34.46:5678->255.255.255.255:5678][UDP][HLen=20, TLen=109]
Sep 19 11:06:34 10.0.1.1 admin: [DOS][Block][fraggle_attack][192.168.1.4:5678->255.255.255.255:5678][UDP][HLen=20, TLen=130]
Sep 19 11:06:40 10.0.1.1 admin: [DOS][Block][fraggle_attack][109.72.6.124:5678->255.255.255.255:5678][UDP][HLen=20, TLen=107]
Sep 19 11:06:59 10.0.1.1 admin: [DOS][Block][fraggle_attack][192.168.34.46:5678->255.255.255.255:5678][UDP][HLen=20, TLen=109]
Sep 19 11:07:34 10.0.1.1 admin: [DOS][Block][fraggle_attack][192.168.1.4:5678->255.255.255.255:5678][UDP][HLen=20, TLen=130]
Sep 19 11:07:40 10.0.1.1 admin: [DOS][Block][fraggle_attack][109.72.6.124:5678->255.255.255.255:5678][UDP][HLen=20, TLen=107]
Sep 19 11:08:34 10.0.1.1 admin: [DOS][Block][fraggle_attack][192.168.1.4:5678->255.255.255.255:5678][UDP][HLen=20, TLen=130]
Sep 19 11:08:40 10.0.1.1 admin: [DOS][Block][fraggle_attack][109.72.6.124:5678->255.255.255.255:5678][UDP][HLen=20, TLen=107]
Sep 19 11:08:59 10.0.1.1 admin: [DOS][Block][fraggle_attack][192.168.34.46:5678->255.255.255.255:5678][UDP][HLen=20, TLen=109]
Sep 19 11:09:34 10.0.1.1 admin: [DOS][Block][fraggle_attack][192.168.1.4:5678->255.255.255.255:5678][UDP][HLen=20, TLen=130]
Sep 19 11:09:40 10.0.1.1 admin: [DOS][Block][fraggle_attack][109.72.6.124:5678->255.255.255.255:5678][UDP][HLen=20, TLen=107]
Sep 19 11:09:59 10.0.1.1 admin: [DOS][Block][fraggle_attack][192.168.34.46:5678->255.255.255.255:5678][UDP][HLen=20, TLen=109]
Sep 19 11:10:34 10.0.1.1 admin: [DOS][Block][fraggle_attack][192.168.1.4:5678->255.255.255.255:5678][UDP][HLen=20, TLen=130]
Sep 19 11:10:40 10.0.1.1 admin: [DOS][Block][fraggle_attack][109.72.6.124:5678->255.255.255.255:5678][UDP][HLen=20, TLen=107]
Sep 19 11:10:59 10.0.1.1 admin: [DOS][Block][fraggle_attack][192.168.34.46:5678->255.255.255.255:5678][UDP][HLen=20, TLen=109]

Je to prosím něco, čemu bych měl věnovat větší pozornost, případně to začít řešit s poskytovatelem WiFi?

Děkuji za Vaše názory.

Odpovědi

[NN]

Bud se jedna o pokusi nejakeho amatera, nebo je to cileny utok. Nicmene se jedna o UDP obdobu ICMP "amplification" utoku "Smurf", s falsovanim zdrojove adresy(cile) a odesilanim na broadcast adresy site. Muzete se branit blokovanim takto definovaneho provozu. Pripadne se pokusit dohledat zdroj rozborem paketu.

NN

[lertimir]

Mě to jako fraggle_attack nepřipadá. Podle časů každá ta stanice posílá tento broadcast každou minutu. To je na DoS celkem málo. Wifi poskytovatel má pro vás veřejnou adresu nebo jde v dalším natu 192.168.0.0? co jsou ty 3 stanice které to posílají?

K popisu portu jsem našel:

Technical description for port 5678:

Officially, the network port 5678 is registered to the Remote Replication Agent Connection protocol. However, this port is also known for the remote execution of crexd/srexd services. Originally, prior to the ratification of the PPTP protocol, this communication port served as its default gateway. This port also plays host to a simple debugging package developed by Hewlett-Packard.

The system port 5678 is utilized primarily by the protocol of the SynCE project which is intended for the connection of computer systems with devices running under the Operating Systems PocketPC or Windows CE. This protocol is identified with the Remote Replication Agent that allows for the synchronization of these devices with computer systems.

[NN]

Jenze to je amplification ne flood, takze staci jediny paket.

NN

[Petr]

Díky moc za reakci. Máme veřejnou IP adresu, právě kvůli VPN. Nicméně, jak je veřejná IP adresa realizována uvnitř sítě ISP, do toho nevidím. Co jsou ty tři stanice, to opravdu netuším, jelikož to je opět ze sítě ISP.

Myslím, že touto odpovědí jste mi velmi pomohl. Vidím, že bude nejlepší zeptat se přímo ISP