Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 4 replies
  • Subscribers 2 subscribers
  • Views 1144 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Intrusion detection gone wild

danitaz
Every time I open my NTTP client, I get these 10-20 a minute!:


Intrusion Protection Alert

An intrusion has been detected. The packet has been dropped
automatically.
You can toggle this rule between "drop" and "alert only" in WebAdmin.

Details about the intrusion alert:

Message........: EXPLOIT Apple Quicktime TCP RTSP sdp type buffer
overflow attempt
Details........: http://www.snort.org/pub-bin/sigs.cgi?sid=12741
Time...........: 2008:08:01-07:35:26
Packet dropped.: yes
Priority.......: 1 (high)
Classification.: Attempted User Privilege Gain
IP protocol....: 6 (TCP)

Source IP address: 130.57.5.50 
- http://www.dnsstuff.com/tools/ptr.ch?ip=130.57.5.50
- http://www.ripe.net/perl/whois?query=130.57.5.50
- http://ws.arin.net/cgi-bin/whois.pl?queryinput=130.57.5.50
- http://cgi.apnic.net/apnic-bin/whois.pl?search=130.57.5.50
Source port: 119 (nntp)
Destination IP address: 192.168.100.198 
- http://www.dnsstuff.com/tools/ptr.ch?ip=192.168.100.198
- http://www.ripe.net/perl/whois?query=192.168.100.198
- http://ws.arin.net/cgi-bin/whois.pl?queryinput=192.168.100.198
- http://cgi.apnic.net/apnic-bin/whois.pl?search=192.168.100.198
Destination port: 49253
        
This is the Novell, Inc. NNTP server address, and I don't know why ASG thinks this is an intrusion threat, but it's making me crazy [:)]

Is 12741 the "rule number" so I can make an exception and turn this off?

Thanks.

Danita


This thread was automatically locked due to age.
Parents
  • 0

    Is 12741 the "rule number" so I can make an exception and turn this off?



    Looks like it is - I'm turning off the notification for now, because even though I have a rule to delete these messages when they hit my mailbox, it's making my anti-spam digest crazy .

    Anyway, I'd like to know why Astaro thinks this is an intrusion attempt.  As far as I can tell, it's just the Novell server doing it's job fulfilling my NNTP requests.

    Any ideas?

    Thanks.

    Danita
  • 0 in reply to danitaz
    12741 is the rule number, so yes- you can create an exception.  That is a standard Snort rule, not a custom rule, so I would expect any system using Snort rules to also show this behavior.  A quick Google search doesn't come up with false positive reports, so it isn't very common.  If you are sure you are not vulnerable, simply create an exception for this rule.

    IPS rules are almost impossible to tune for every possibility, so these things happen occasionally.
  • 0 in reply to Jack Daniel
    Hi,
    it is a lot more common than you think around here. I disabled it because one of my e-mail accounts suddenly started triggering alarms. This is a recent occurrence, only one account out of 4 on the same ISP.

    Ian M
Reply Children
No Data