Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 4 replies
  • Subscribers 2 subscribers
  • Views 1146 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Intrusion detection gone wild

danitaz
Every time I open my NTTP client, I get these 10-20 a minute!:


Intrusion Protection Alert

An intrusion has been detected. The packet has been dropped
automatically.
You can toggle this rule between "drop" and "alert only" in WebAdmin.

Details about the intrusion alert:

Message........: EXPLOIT Apple Quicktime TCP RTSP sdp type buffer
overflow attempt
Details........: http://www.snort.org/pub-bin/sigs.cgi?sid=12741
Time...........: 2008:08:01-07:35:26
Packet dropped.: yes
Priority.......: 1 (high)
Classification.: Attempted User Privilege Gain
IP protocol....: 6 (TCP)

Source IP address: 130.57.5.50 
- http://www.dnsstuff.com/tools/ptr.ch?ip=130.57.5.50
- http://www.ripe.net/perl/whois?query=130.57.5.50
- http://ws.arin.net/cgi-bin/whois.pl?queryinput=130.57.5.50
- http://cgi.apnic.net/apnic-bin/whois.pl?search=130.57.5.50
Source port: 119 (nntp)
Destination IP address: 192.168.100.198 
- http://www.dnsstuff.com/tools/ptr.ch?ip=192.168.100.198
- http://www.ripe.net/perl/whois?query=192.168.100.198
- http://ws.arin.net/cgi-bin/whois.pl?queryinput=192.168.100.198
- http://cgi.apnic.net/apnic-bin/whois.pl?search=192.168.100.198
Destination port: 49253
        
This is the Novell, Inc. NNTP server address, and I don't know why ASG thinks this is an intrusion threat, but it's making me crazy [:)]

Is 12741 the "rule number" so I can make an exception and turn this off?

Thanks.

Danita


This thread was automatically locked due to age.
Parents
  • 0

    Is 12741 the "rule number" so I can make an exception and turn this off?



    Looks like it is - I'm turning off the notification for now, because even though I have a rule to delete these messages when they hit my mailbox, it's making my anti-spam digest crazy .

    Anyway, I'd like to know why Astaro thinks this is an intrusion attempt.  As far as I can tell, it's just the Novell server doing it's job fulfilling my NNTP requests.

    Any ideas?

    Thanks.

    Danita
  • 0 in reply to danitaz
    Astaro doesn't write these rules... they are written and distributed by Sourcefire (Astaro implements SNORT as its IPS engine).  What you are encountering is sort of the "nature of the beast" with an IPS system; some rules will generate false positives due to unforseen interactions with different server / client software, etc.  They all need adjusting from time to time... I'd say the rule should just be disabled.  I've seen a similar issue with a Quicktime rule (may be the same one) and certain POP3 servers... doesn't happen with all POP3 servers, just certain ones -- so at those sites, I disable the troublesome rule.
Reply
  • 0 in reply to danitaz
    Astaro doesn't write these rules... they are written and distributed by Sourcefire (Astaro implements SNORT as its IPS engine).  What you are encountering is sort of the "nature of the beast" with an IPS system; some rules will generate false positives due to unforseen interactions with different server / client software, etc.  They all need adjusting from time to time... I'd say the rule should just be disabled.  I've seen a similar issue with a Quicktime rule (may be the same one) and certain POP3 servers... doesn't happen with all POP3 servers, just certain ones -- so at those sites, I disable the troublesome rule.
Children
No Data