Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 6 replies
  • Subscribers 2 subscribers
  • Views 4815 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

IPS / PING BSDtype

tuxi
Hi to all of you,

I'm experiencing some trouble with my UTM since the last past days.
Does anybody know what's going on here?
My mailbox is stuck with a few thousand emails with this message.

Weird is that I didn't change anything, so please be so kind and supply a hint for me! :-) 



Intrusion Prevention Alert



An intrusion has been detected. The packet has *not* been dropped.

If you want to block packets like this one in the future,

set the corresponding intrusion protection rule to "drop" in WebAdmin.

Be careful not to block legitimate traffic caused by false alerts though.



Details about the intrusion alert:



Message........: PROTOCOL-ICMP PING BSDtype

Details........: www.snort.org/.../368

Time...........: 2012-12-03 20:22:18

Packet dropped.: no

Priority.......: low

Classification.: Misc activity

IP protocol....: 1 (ICMP)



Source IP address: 109.230.243.166 (frankfurt01.worker.wemonit.de)

- www.dnsstuff.com/.../ptr.ch

- www.ripe.net/.../whois

- ws.arin.net/.../whois.pl

- cgi.apnic.net/.../whois.pl

Source port: 0

Destination IP address: 11.22.33.44 (www.mydomain.de)

- www.dnsstuff.com/.../ptr.ch

- www.ripe.net/.../whois

- ws.arin.net/.../whois.pl

- cgi.apnic.net/.../whois.pl

Destination port: 0

        

-- System Uptime : 1 day 22 hours 20 minutes System Load : 0.28 System Version : Sophos UTM 9.004033 Please refer to the manual for detailed instructions.



Cheers,
Michael


This thread was automatically locked due to age.
Parents
  • 0
    Hi Barry,

    thanks for replying. The limitation of notifications is already turned off.
    This does not limit the notifications as expected.

    Of course this is a scan from an outside system, as this "wemonit.de" is a free monitoring platform which can scan ICMP echo replies and scans ports 80 and 443.

    The main question still remains - what did change?
    I changed absolutely nothing on my UTM side.
    So why is the UTM now producing tons of mails suddenly?

    I want to get to know why it does this. There must be a reason...

    Is this because of changes in the IPS rules? Which came with pattern updates?

    Disabling the rule is not the right way of solving the problem I think.

    Cheers,
    Michael
Reply
  • 0
    Hi Barry,

    thanks for replying. The limitation of notifications is already turned off.
    This does not limit the notifications as expected.

    Of course this is a scan from an outside system, as this "wemonit.de" is a free monitoring platform which can scan ICMP echo replies and scans ports 80 and 443.

    The main question still remains - what did change?
    I changed absolutely nothing on my UTM side.
    So why is the UTM now producing tons of mails suddenly?

    I want to get to know why it does this. There must be a reason...

    Is this because of changes in the IPS rules? Which came with pattern updates?

    Disabling the rule is not the right way of solving the problem I think.

    Cheers,
    Michael
Children
  • 0 in reply to tuxi
    Hi Barry,

    thanks for replying. The limitation of notifications is already turned off.
    This does not limit the notifications as expected.


    Hi, ON would (partially) limit the notifications.
    However, in this case, make an exception for the the traffic source, as Bob recommended.

    Barry