Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 3 replies
  • Subscribers 2 subscribers
  • Views 3153 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Port scanning

ezac222
How can some one on the Internet scan a host on my internal net??.
Or how can you explane this message?

A T T E N T I O N
=================

Portscan detected:
------------------
System Date: Oct 6 2002
System Time: 15:51:15

Source IP: 195.42.198.5
Target IP: 192.168.30.10


This thread was automatically locked due to age.
  • 0
    Do you have any DNAT rules pointing to that internal box?

    If so what is probably happenning is the port scan detection is happening after the dnat rule translates the dest. ip.
  • 0 in reply to tank
    The source IP is a DNS server ns.wineasy.se. When an internal system is accessing the internet it is scanned by the DNS server. I have found this only happens the first time a system on the internal LAN access the internet. 

    Add this IP to the PSD exclusion list to stop the notification.
  • 0 in reply to lanman
    but somehow portscanning is strange.

    this "attacks" from dns servers are reported and blocked.
    also "ftp-attacks" from web-editing-systems are detected to my www-server.

    but someone scanning my hole network aaa.bbb.ccc.0 for open port80 or port x is not detected as portscanner. I think this should be possible.
    so he can be detected while asking aaa.bbb.ccc.1 up to -maybe- aaa.bbb.ccc.50. Then hi should be blocked and my server aaa.bbb.ccc.51 would be protected.
    this is not the case.
    my filter-log has blocks of 253 entries like:
    Oct 14 04:48:16 TCP Drop: SRC=211.155.27.143 DST=134.169.18.33 SPT=4159 DPT=80
    Oct 14 04:48:16 TCP Drop: SRC=211.155.27.143 DST=134.169.18.52 SPT=4178 DPT=80
    Oct 14 04:48:16 TCP Drop: SRC=211.155.27.143 DST=134.169.18.63 SPT=4189 DPT=80
    Oct 14 04:48:16 TCP Drop: SRC=211.155.27.143 DST=134.169.18.55 SPT=4181 DPT=80
    (shortened)
    there is nothing between most of these entries (same timestamp)
    the real server of course is not blocked by filter rules.

    I really think that is somethink to improve!

    I think I read about possibilities of the portscanning programs, but ASL doesn't seem to handle these.

    kind regards, Christian