Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 16 replies
  • Subscribers 2 subscribers
  • Views 100037 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Newbie IPS question

wingman
I have the IPS default policy to drop silently and all the attack patterns are set to drop. However, the following attack was not dropped as I would expect.I am doing something wrong?

192.168.1.60 is the Wan interface of ASG



2009:03:19-23:08:06 Astaro barnyard[4095]: id="2101" severity="warn" sys="SecureNet" sub="ips" name="Intrusion protection alert" action="alert" reason="ICMP Destination Unreachable Communication Administratively Prohibited" group="420" srcip="91.18.54.6" dstip="192.168.1.60" proto="1" srcport="3" dstport="13" sid="485" class="Misc activity" priority="3" generator="1" msgid="0"
2009:03:19-23:12:57 Astaro barnyard[4095]: id="2101" severity="warn" sys="SecureNet" sub="ips" name="Intrusion protection alert" action="alert" reason="ICMP Destination Unreachable Communication Administratively Prohibited" group="420" srcip="91.18.54.6" dstip="192.168.1.60" proto="1" srcport="3" dstport="13" sid="485" class="Misc activity" priority="3" generator="1" msgid="0" 



Intrusion Protection Alert

An intrusion has been detected. The packet has *not* been dropped.
If you want to block packets like this one in the future,
set the corresponding intrusion protection rule to "drop" in WebAdmin.
Be careful not to block legitimate traffic caused by false alerts though.

Details about the intrusion alert:

Message........: ICMP Destination Unreachable Communication Administratively Prohibited
Details........: http://www.snort.org/pub-bin/sigs.cgi?sid=485
Time...........: 2009:03:19-23:12:57
Packet dropped.: no
Priority.......: 3 (low)
Classification.: Misc activity
IP protocol....: 1 (ICMP)

Source IP address: 91.18.54.6 (p5B123606.dip0.t-ipconnect.de)
- http://www.dnsstuff.com/tools/ptr.ch?ip=91.18.54.6
- http://www.ripe.net/perl/whois?query=91.18.54.6
- http://ws.arin.net/cgi-bin/whois.pl?queryinput=91.18.54.6
- http://cgi.apnic.net/apnic-bin/whois.pl?search=91.18.54.6
Source port: 3
Destination IP address: 192.168.1.60 (Astaro)
- http://www.dnsstuff.com/tools/ptr.ch?ip=192.168.1.60
- http://www.ripe.net/perl/whois?query=192.168.1.60
- http://ws.arin.net/cgi-bin/whois.pl?queryinput=192.168.1.60
- http://cgi.apnic.net/apnic-bin/whois.pl?search=192.168.1.60
Destination port: 13



Can someone confirm that the following is the way to solve the issue:

network security>>Intrusion Protection>>advanced and add the relevant rules id (2103,2102,3264,3335) with drop action


This thread was automatically locked due to age.
  • 0
    On the network security>>Intrusion Protection>>advanced when you create a rule under the Manual rule modification box and you tick the disabled notification, the summary view says that notification is on. (I've attached a picture).I am using v 7.401. Not sure if it's a known bug
  • 0 in reply to wingman
    Wingman, I submitted the inability to disable notification as a potential bug last week after I did a little test because of tubyyy's post.  Astaro Support US emailed me today that they had confirmed it.

    Depending on your situation, it's likely that there is "good" traffic that gets dumped if you haven't tuned your IPS already.

    Cheers - Bob
  • 0 in reply to BAlfson
    Wingman, I submitted the inability to disable notification as a potential bug last week after I did a little test because of tubyyy's post.  Astaro Support US emailed me today that they had confirmed it.

    Depending on your situation, it's likely that there is "good" traffic that gets dumped if you haven't tuned your IPS already.

    Cheers - Bob


    thanks for the reply BAlfson

    I am still getting only alerts and all fields are on drop action and NOT alert

    I will try to investigate further. Do you have similiar issues?
  • 0
    I have the IPS default policy to drop silently and all the attack patterns are set to drop. However, the following attack was not dropped as I would expect.I am doing something wrong?

    Can someone confirm that the following is the way to solve the issue:

    network security>>Intrusion Protection>>advanced and add the relevant rules id (2103,2102,3264,3335) with drop action


    Yep, create a rule and set it to drop and notify and NOT disable. Let the FW/ASG handle pings, icmp, and tracert so you do not break the internet.

    Note: Not all ICMP traffic is good. 
    c:\discoverHosts (ip range) and away we go. Your unblocked ICMP lets me map your network.

    SANS Institute - Intrusion Detection FAQ: I am seeing odd ICMP traffic, what could this mean?

    If the packet were normal, the rule would not have activated. That's why we have IPS.


    Jim
  • 0 in reply to Jim Tagert
    Yep, create a rule and set it to drop and notify and NOT disable. Let the FW/ASG handle pings, icmp, and tracert so you do not break the internet.

    Note: Not all ICMP traffic is good. 
    c:\discoverHosts (ip range) and away we go. Your unblocked ICMP lets me map your network.

    SANS Institute - Intrusion Detection FAQ: I am seeing odd ICMP traffic, what could this mean?

    If the packet were normal, the rule would not have activated. That's why we have IPS.


    Jim


    HI Jim

    I 've created the relevant rule.However, according to astaro blog the way to block a certain attack is by setting the relevantentry to drop. (Exactly what I did on my first post)

    Why should I create the rule again on the advanced tab to block the specific attack?
  • 0 in reply to wingman
    same issue with another rule 

    2009:04:09-19:19:56 Astaro barnyard[6010]: id="2101" severity="warn" sys="SecureNet" sub="ips" name="Intrusion protection alert" action="alert" reason="ICMP Destination Unreachable Communication with Destination Host is Administratively Prohibited" group="420" srcip="195.74.241.211" dstip="192.168.2.40" proto="1" srcport="3" dstport="10" sid="486" class="Misc activity" priority="3"  generator="1" msgid="0"



    regardless the fact that the default action is set to drop. I got an alert for this event (however, I can see the those attacts under the IPS: Top blocked attacks)

    I've created the rule on the advanced entry
  • 0 in reply to wingman
    I am not sure what you are asking.

    I think that you may have asked several questions. Why don't you number the questions so I can try to zoom in on what you are concerned about.

    Tha ASG does not drop all "snort" rules when all of the choices are checked. One must create the rules in advanced and set them to drop. Do NOT check disable notifications as you will always want to see potetial problems. To make an advanced rule one uses the sid="486" portion of the notification (just the number) for the advanced rule.

    Do you know why your lan address is listed in the notification?

    Do you have NAT disabled?
  • 0 in reply to Jim Tagert
    I am not sure what you are asking.

    I think that you may have asked several questions. Why don't you number the questions so I can try to zoom in on what you are concerned about.

    Tha ASG does not drop all "snort" rules when all of the choices are checked. One must create the rules in advanced and set them to drop. Do NOT check disable notifications as you will always want to see potetial problems. To make an advanced rule one uses the sid="486" portion of the notification (just the number) for the advanced rule.

    Do you know why your lan address is listed in the notification?

    Do you have NAT disabled?



    Hi Jim

    I was under the impression that once you set the attack pattern to drop,it will drop automatically. Didn't know that I had to manually the rule to the advanced tab


    The lan ip is the static ip configured for the torrent client I have. There is a DNAT rule allowing incoming and outgoing traffic for the torrent to work. The log says: 

    IPS: Top blocked attacks

    Total attacks blocked: 323

     	Rule ID	Rule Description	Rule group	Packets	% of total

    1	485	ICMP Destination Unreachable Communication Administratively Prohibited	Protocol Anomaly / ICMP	266	82.35

    2	486	ICMP Destination Unreachable Communication with Destination Host is Administratively Prohibited	Protocol Anomaly / ICMP	57	17.65
  • 0 in reply to wingman
    The "ICMP Destination Unreachable Communication Administratively Prohibited" rule can be a nuisance. I have it disabled.

    I'm not sure what you're trying to accomplish... is your torrent client working or not?

    Barry