[grnog] Abnormal Upstream traffic

[michalis.bersimis at hq.cyta.gr]

For the record, αντιμετωπίστηκε το παρακάτω κόβοντας την επικοινωνία προς και από τους προορισμούς.

Συμφωνώ το 1900 port δεν πρέπει να είναι ανοιχτό προς το Internet, αλλά μπορεί κάποιος να θέλει να την χρησιμοποιήσει… οπότε θέλει προσοχή.


Μιχάλης Μπερσίμης

From: Αλέξανδρος Σταμάτης [mailto:a.stamatis at hostmein.net]
Sent: Thursday, March 15, 2018 2:06 PM
To: grnog at lists.grnog.gr
Cc: Spyros Kakaroukas; Μπερσίμης Μιχάλης (900356)
Subject: Re: [grnog] Abnormal Upstream traffic


Καλησπέρα,

Η εικασία του Σπύρου είναι μάλλον σωστή.

Απ'ότι όλα δείχνουν δυστυχώς υπάρχουν ακόμη χιλιάδες συσκευές που είναι vulnerable σε ένα παλιό (τέλος του 2012) κενό ασφαλείας στο libupnp.
https://www.kb.cert.org/vuls/id/922681

Και η cloudflare πριν κάποιους μήνες ανέβασε ένα σχετικό άρθρο για ssdp amplificiation που δέχθηκαν στα 100Gbps. Άρα το ως άνω πρόβλημα σίγουρα παραμένει σε πολύ μεγάλο βαθμό ανάμεσα σε παλαιότερους και unpatched soho routers πχ dlink. Είναι ενδιαφέρον κατά την γνώμη μου το παρακάτω.
https://blog.cloudflare.com/ssdp-100gbps/<https://urldefense.proofpoint.com/v2/url?u=https-3A__blog.cloudflare.com_ssdp-2D100gbps_&d=DwMFaQ&c=RhEinAcLrNl6jZKlpkVEOcYc5Szwoo-BLctDiWqf1Y8&r=--KdJ_jkRe0buHeGS6pnHshcZKoiVKAoHSvqs-s_NXs&m=QaqpgL-B3tRl5FuLa_W63AYB_1QDEdekIau_jq3cEaA&s=qwv85EM7GhtXOEPJl-c4rdHOd6O5mUiDdpX55UpvjJY&e=>

Στο εξωτερικό υπάρχουν ISP που κόβουν για αυτό το λόγο το port 1900.
Ίσως και να είναι μια καλή ιδέα για όλους. Άλλωστε δεν νομίζω ότι υπάρχει κάποιος λόγος το port 1900 να είναι ανοιχτό προς το internet.
https://www.xfinity.com/support/articles/list-of-blocked-ports<https://urldefense.proofpoint.com/v2/url?u=https-3A__www.xfinity.com_support_articles_list-2Dof-2Dblocked-2Dports&d=DwMFaQ&c=RhEinAcLrNl6jZKlpkVEOcYc5Szwoo-BLctDiWqf1Y8&r=--KdJ_jkRe0buHeGS6pnHshcZKoiVKAoHSvqs-s_NXs&m=QaqpgL-B3tRl5FuLa_W63AYB_1QDEdekIau_jq3cEaA&s=TfENciEesajEsDKphfsUCzvYQrCkQbxOoPjp1C0CjHU&e=>


---
Με εκτίμηση,
Kind Regards,

Alexander Stamatis,
Chief Technology Officer

HostMeIn ΙΚΕ
Internet Services
32 Kifisias ave, 151 25, Marousi, Athens (Atrina Tower)
Tel: +30 212 213 5061

Like us on Facebook : https://www.facebook.com/HostMeIn<https://urldefense.proofpoint.com/v2/url?u=https-3A__www.facebook.com_HostMeIn&d=DwMFaQ&c=RhEinAcLrNl6jZKlpkVEOcYc5Szwoo-BLctDiWqf1Y8&r=--KdJ_jkRe0buHeGS6pnHshcZKoiVKAoHSvqs-s_NXs&m=QaqpgL-B3tRl5FuLa_W63AYB_1QDEdekIau_jq3cEaA&s=BlFTjW_0h7FP6lVzY0QOsAt_Cd0NdftPoEAJ9RqKlqI&e=>
Follow us on Twitter : https://twitter.com/HostMeIn<https://urldefense.proofpoint.com/v2/url?u=https-3A__twitter.com_HostMeIn&d=DwMFaQ&c=RhEinAcLrNl6jZKlpkVEOcYc5Szwoo-BLctDiWqf1Y8&r=--KdJ_jkRe0buHeGS6pnHshcZKoiVKAoHSvqs-s_NXs&m=QaqpgL-B3tRl5FuLa_W63AYB_1QDEdekIau_jq3cEaA&s=NTSuPVd4CH5vQ9P3jsYY5DilseQSc8YPYIQPSPcGqI0&e=>



Στις 15-03-2018 12:40, Spyros Kakaroukas έγραψε:
Καλημέρα Μιχάλη,

Δεν έχει τύχει να δω ιδιαίτερη κίνηση από αυτό το AS πριν από χτες. Χτες και σήμερα παρατηρώ τις IP που αναφέρεις να στέλνουν udp πακέτα προς συγκεκριμένους ( λίγους ) προορισμούς στο δίκτυο μου στο port 1900 ( ssdp ) χωρίς να λαμβάνουν κάποια απάντηση, πέρα από icmp 3/1 . Η συνολική κίνηση είναι της τάξης των kbps. Κοιτώντας καθαρά τη δική μου κίνηση, δεδομένου ότι επιμένουν σε λίγες συγκεκριμένες destination IPs με μικρό σχετικά ρυθμό πακέτων, αν θεωρήσουμε ότι είναι όντως κακόβουλη και αν έπρεπε να κάνω κάποια υπόθεση, θα μου έμοιαζε με απόπειρα χρήσης ssdp για reflection/amplification attack. Δε θεωρώ όμως ότι έχω αρκετά στοιχεία για να στηρίξω την παραπάνω υπόθεση με ιδιαίτερη σιγουριά.


My thoughts and words are my own.

Spyros

From: <grnog-request at lists.grnog.gr<mailto:grnog-request at lists.grnog.gr>> on behalf of "michalis.bersimis at hq.cyta.gr<mailto:michalis.bersimis at hq.cyta.gr>" <michalis.bersimis at hq.cyta.gr<mailto:michalis.bersimis at hq.cyta.gr>>
Reply-To: "grnog at lists.grnog.gr<mailto:grnog at lists.grnog.gr>" <grnog at lists.grnog.gr<mailto:grnog at lists.grnog.gr>>
Date: Thursday, 15 March 2018 at 12:11
To: "grnog at lists.grnog.gr<mailto:grnog at lists.grnog.gr>" <grnog at lists.grnog.gr<mailto:grnog at lists.grnog.gr>>
Subject: [grnog] Abnormal Upstream traffic

Καλημέρα,

Παρατήρησα από χτες, ένα περίεργο pattern κίνησης ( Upload traffic σταθερό γύρω στα 3G) με πολλαπλά flows από διάφορα sources του δίκτυου μας, προς συγκεκριμένα dst IPv4 ( 200.16.68.253 ή 200.16.68.84 ) που ανήκει στο AS52320.

Έχει κάποιος προσέξει κάτι παρόμοιο ?

Φιλικά,

Μιχάλης Μπερσίμης
-------------- next part --------------
An HTML attachment was scrubbed...
URL: <http://nogalliance.org/pipermail/grnog-members/attachments/20180315/b1475b99/attachment.html>