Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Replies 8 replies
  • Subscribers 0 subscribers
  • Views 2094 views
  • Users 0 members are here
Options
Suggested

[8.174][DUPE][CLOSED] ipv6 sites ,ips false+

utm_kid
Hello Friends !

https://community.sophos.com/products/unified-threat-management/astaroorg/f/110/t/70281

same problem i am facing ,till now i have to disable ipv6 for astaro.org access problem but today i just want to test ipv6 and found the same problem 

as search with astro search and found my prv post was closed   

   id="2101" severity="warn" sys="SecureNet" sub="ips" name="Intrusion protection alert" action="drop" reason="WEB-MISC Multiple vendor Antivirus magic byte detection evasion attempt" group="500" srcip="2620:0100:e000:0000:0000:0000:0000:8001" dstip="2002[:D]b40:5bfd:0000:0000:0000:0000:0001" proto="6" srcport="80" dstport="48422" sid="17276" class="Attempted User Privilege Gain" priority="1"  generator="1" msgid="0"

2011:07:16-16:37:59 acenn snort[8869]: id="2101" severity="warn" sys="SecureNet" sub="ips" name="Intrusion protection alert" action="drop" reason="WEB-MISC Multiple vendor Antivirus magic byte detection evasion attempt" group="500" srcip="2620:0100:e000:0000:0000:0000:0000:8001" dstip="2002[:D]b40:5bfd:0000:0000:0000:0000:0001" proto="6" srcport="80" dstport="48445" sid="17276" class="Attempted User Privilege Gain" priority="1"  generator="1" msgid="0"

2011:07:16-16:37:59 acenn snort[8869]: id="2101" severity="warn" sys="SecureNet" sub="ips" name="Intrusion protection alert" action="drop" reason="WEB-MISC Multiple vendor Antivirus magic byte detection evasion attempt" group="500" srcip="2620:0100:e000:0000:0000:0000:0000:8001" dstip="2002[:D]b40:5bfd:0000:0000:0000:0000:0001" proto="6" srcport="80" dstport="48446" sid="17276" class="Attempted User Privilege Gain" priority="1"  generator="1" msgid="0"

2011:07:16-16:38:01 acenn snort[8869]: id="2101" severity="warn" sys="SecureNet" sub="ips" name="Intrusion protection alert" action="drop" reason="WEB-MISC Multiple vendor Antivirus magic byte detection evasion attempt" group="500" srcip="2620:0100:e000:0000:0000:0000:0000:8001" dstip="2002[:D]b40:5bfd:0000:0000:0000:0000:0001" proto="6" srcport="80" dstport="48452" sid="17276" class="Attempted User Privilege Gain" priority="1"  generator="1" msgid="0"

2011:07:16-16:40:11 acenn snort[8869]: id="2101" severity="warn" sys="SecureNet" sub="ips" name="Intrusion protection alert" action="drop" reason="WEB-CLIENT obfuscated javascript excessive fromCharCode - potential attack" group="320" srcip="2620:0100:e000:0000:0000:0000:0000:8001" dstip="2002[:D]b40:5bfd:0000:0000:0000:0000:0001" proto="6" srcport="80" dstport="55551" sid="15362" class="Misc activity" priority="3"  generator="1" msgid="0" 

thx
Parents
  • 0 
    Astaro Beta Report
    --------------------------------
    Version: 8.174
    Type: DUPE
    State: CLOSED
    Reporter: utm_kid
    Contributor: 
    MantisID: 
    Target version: 
    Fixed in version: 
    --------------------------------

  • 0 in reply to Astaro Beta Bot
    Why disable IPv6 for Astatro, why not just disable the IPS rule?

    I receive a number of those IPS warnings a day, most not from Astaro and mainly IPv4 from the site my sons surf to.

    All the W7 64 PCs (4) in my home receive varying numbers of those warnings daily.

    I also see a lot of UDP flood warnings all from the same address, an Australian hosting site.

    Having just built this system I will let it settle down overnight and investigate the IPS log and see if the warnings are real and if not disable the rule.

    Ian
Reply
  • 0 in reply to Astaro Beta Bot
    Why disable IPv6 for Astatro, why not just disable the IPS rule?

    I receive a number of those IPS warnings a day, most not from Astaro and mainly IPv4 from the site my sons surf to.

    All the W7 64 PCs (4) in my home receive varying numbers of those warnings daily.

    I also see a lot of UDP flood warnings all from the same address, an Australian hosting site.

    Having just built this system I will let it settle down overnight and investigate the IPS log and see if the warnings are real and if not disable the rule.

    Ian
Children
Unfiltered HTML