TMG 2010 - intrusion prevention
Domanda
Risposte
-
Sarebbe utile mettere in quarantena IP che perseverano a rompere..
Ciao,
Provo a fare un po' di chiarezza oltre a quanto gia' detto da Edoardo.
L'alert segnalato da te si manifesta di solito dopo aver abilitato la feature "Intrusion Detection and DNS Attack Detection". Una ricerca velocissima (tipo Whois Lookup) puo' mostrarti a chi appartengono gli indirizzi IP. Ritieni che gli indirizzi IP all'origine possono essere anche fasulli, ovvero colui che inizia il port scan puo' veramente cambiare l'indirizzo IP all'origine (ci si trova in giro qualche tool apposito).
La pagina TechNet:
Enabling intrusion detection of common attacks
ti guida per attivare o disattivare separatamente ogni tipo di attacco in TMG (compreso il port scan).
Nel tuo caso, TMG fa proprio cio' che dovrebbe fare: sta difendendo la tua rete contro questo port scan lasciando giu' i pacchetti per cui non c'e' ascoltatore poi tiene traccia di tutta questa informazione per farti consapevole dell'"attacco".
Ovviamente TMG non e' in grado di riconoscere da quale origine reale e' stato iniziato il port scan, ma solo riceve i pacchetti da un router. Non c'e' qualcosa che Microsoft potrebbe fare per rimediarci, al massimo puoi bloccare tutto il traffico da questi indirizzi IP "fasulli" (ovviamente supponendo che non ti servono).
Poi c'e' da dire anche che l'attacco puo' continuare cambiando indirizzo IP.
Riferimenti:
Detecting Common Attacks using TMG Intrusion Detection
Spero che possa aiutare, sono felice di vedere che TMG protegge correttamente la tua rete :-)
Microsoft offre questo servizio gratuitamente, per aiutare gli utenti e aumentare il database dei prodotti e delle tecnologie. Il contenuto viene fornito “così come è” e non comporta alcuna responsabilità da parte dell'azienda.
- Contrassegnato come risposta Irina Turcu martedì 4 febbraio 2014 09:39
Tutte le risposte
-
Sarebbe utile mettere in quarantena IP che perseverano a rompere..
Ciao,
Provo a fare un po' di chiarezza oltre a quanto gia' detto da Edoardo.
L'alert segnalato da te si manifesta di solito dopo aver abilitato la feature "Intrusion Detection and DNS Attack Detection". Una ricerca velocissima (tipo Whois Lookup) puo' mostrarti a chi appartengono gli indirizzi IP. Ritieni che gli indirizzi IP all'origine possono essere anche fasulli, ovvero colui che inizia il port scan puo' veramente cambiare l'indirizzo IP all'origine (ci si trova in giro qualche tool apposito).
La pagina TechNet:
Enabling intrusion detection of common attacks
ti guida per attivare o disattivare separatamente ogni tipo di attacco in TMG (compreso il port scan).
Nel tuo caso, TMG fa proprio cio' che dovrebbe fare: sta difendendo la tua rete contro questo port scan lasciando giu' i pacchetti per cui non c'e' ascoltatore poi tiene traccia di tutta questa informazione per farti consapevole dell'"attacco".
Ovviamente TMG non e' in grado di riconoscere da quale origine reale e' stato iniziato il port scan, ma solo riceve i pacchetti da un router. Non c'e' qualcosa che Microsoft potrebbe fare per rimediarci, al massimo puoi bloccare tutto il traffico da questi indirizzi IP "fasulli" (ovviamente supponendo che non ti servono).
Poi c'e' da dire anche che l'attacco puo' continuare cambiando indirizzo IP.
Riferimenti:
Detecting Common Attacks using TMG Intrusion Detection
Spero che possa aiutare, sono felice di vedere che TMG protegge correttamente la tua rete :-)
Microsoft offre questo servizio gratuitamente, per aiutare gli utenti e aumentare il database dei prodotti e delle tecnologie. Il contenuto viene fornito “così come è” e non comporta alcuna responsabilità da parte dell'azienda.
- Contrassegnato come risposta Irina Turcu martedì 4 febbraio 2014 09:39
