Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 9 replies
  • Subscribers 2 subscribers
  • Views 4899 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Single Host Source Of 80% Of The Network Dropped Packets

NashBrydges
Hi All,

First time poster and newbie to Sophos.

I've installed Sophos Home edition a little over a week ago and I've noticed a pattern that I can't figure out. One of my hosts (teenage son's PC) is the source of >80% of packets dropped. Granted this is a gamer kid so I've had to implement a few exceptions to get his rig setup however I can't figure out why there are over 68k packets.

I'm attaching what the packet filter violations graph look like for yesterday as an example. That whole period is that one host dropping packets.

Looking at the log for yesterday, I can see there are over 68k packets being dropped all with srcport=49622. The strange thing is that often these paclets are destined for dstip of an internal IP range. I'm on a 192.168.1.X and these are dstip range of 192.168.2.X or 10.X.X.X range. Some are destined for public IPs but a large number seem to target a private IP range.

All of the other 38+ hosts are behaving but this one PC is causing all of this activity.

Is this something I should be concerned about? I ran an AV scan with AVG CloudCare and Sophos as well as Malwarebytes and all came back clean. Not sure if this normal or not. Appreciate any insight you might have.


This thread was automatically locked due to age.
Parents
  • 0
    Hi, 

    Can you post a matching entry from the full (not live) firewall log?

    Is he running BitTorrent or any other P2P apps?

    Barry
  • 0 in reply to BarryG
    Here is an interesting find. I ran an arp /a command and noticed that the dstmac (I've obfuscated it in the attachment to yy:yy:yy:yy:yy:yy) belongs to the UTM at IP 192.168.1.1. Why would the log show the dstip=192.168.2.2 for that mac address?

    Anyway, this is but an extract of the entire log obviously. The full log is 32MB in size. I've zipped this file down for ease of upload. 

    This file only contains the log entries for the one host (192.168.1.3) and the dstip=192.168.2.2 which doesn't exist on my network.
    192.168.2.2_extract_packetfilter-2015-03-23.log.zip
Reply
  • 0 in reply to BarryG
    Here is an interesting find. I ran an arp /a command and noticed that the dstmac (I've obfuscated it in the attachment to yy:yy:yy:yy:yy:yy) belongs to the UTM at IP 192.168.1.1. Why would the log show the dstip=192.168.2.2 for that mac address?

    Anyway, this is but an extract of the entire log obviously. The full log is 32MB in size. I've zipped this file down for ease of upload. 

    This file only contains the log entries for the one host (192.168.1.3) and the dstip=192.168.2.2 which doesn't exist on my network.
    192.168.2.2_extract_packetfilter-2015-03-23.log.zip
Children
No Data