Кто сканирует Интернет. Время ковать железо

[mxuser]

«Дорогой» админ будет дешевле, имхо

[KirillNazarov]

Погодите, я правильно понимаю, что тут заново изобретают IDS?

[ooptimum]

Красный маркер это пример НСА. В данном случае признаком является то, что ни адрес источника ни адрес назначения не принадлежат ЗС.… Каким образом прилетает этот трафик я пока не разобрался.

Это мультикаст-траффик.

[R_Voland]

Вот мультикастовый диапазон:
Сеть: 224.0.0.0 / 4
Минимальный IP: 224.0.0.1
Максимальный IP: 239.255.255.254

[ooptimum]

Ну и? Там 225-я сеть. 224 < 225 < 239

[R_Voland]

Да, но какое это имеет отношение к адресу 91.122.49.173?
Насколько я понимаю порт должен быть подписан на IGMP группу чтобы в него лился этот трафик. Иначе это броадкаст. И в это время не наблюдается активности по IGMP.

[ooptimum]

Я не знаю всех деталей, чтобы ответить на заданный вопрос. IGMP мог быть выполнен ранее. IGMP — протокол сетевого уровня, наравне с IP, и вы его можете вообще не фильтровать, сосредоточившись только на IP. Да мало ли что. Вы спросили про красный маркер — я ответил.

[R_Voland]

Ok. Спасибо. Вы мне подали отличную идею -ловить подписки на мультикаст.

[Zagrebelion]

посмтрите вначале вайршарком, что именно валится в этом UDP-мултикасте.

[remzalp]

У меня есть объяснение — почему к Вам добирается левый трафик.
Все адреса после 224.0.0.0 используются для служебных целей.
225 сеть — скорей всего multicast трафик, возможно цифровое телевидение.

[ooptimum]

Не возможно, а это точно мультикаст, судя по адресации.