Beantwoord

Portscan & IP flood issue (svp ook Mod even naar kijken)

  • 17 juli 2018
  • 9 reacties
  • 511 keer bekeken

Reputatie 7
Badge +17
Een apart issue, wellicht ook iets voor een mod.
vandaag controleerde ik na heel lang eens mijn logfile in de Horizon mediabox (oudje nog van voor de nieuwe naam 😎 )
en zag mijn hele log vol staan (honderden) met deze meldingen :

Jul 17 16:59:59 Port Scan is detected
Jul 17 16:59:08 IP Flood is detected
Jul 17 16:59:08 Port Scan is detected
Jul 17 16:59:08 Port Scan is detected
Jul 17 16:58:51 IP Flood is detected
Jul 17 16:58:51 Port Scan is detected

Uiteraard denk je dan als eerste dat er iemand van buiten af loopt te klooien, dus WAN IP vrijgegeven en internetverbinding eraf gehaald.

Maar wat blijkt? het gaat gewoon door...

Jul 17 17:01:42 IP Flood is detected
Jul 17 17:01:42 Port Scan is detected
Jul 17 17:01:42 Port Scan is detected
Jul 17 17:00:56 IP Flood is detected
Jul 17 17:00:56 Port Scan is detected
Jul 17 17:00:56 Port Scan is detected
Jul 17 17:00:43 IP Flood is detected
Jul 17 17:00:41 IP Flood is detected
Jul 17 17:00:41 IP Flood is detected
Jul 17 17:00:14 Internet is disconnected 77.249.xxx.xxx

Dus dacht ik: misschien iemand via de WiFi..
2.4 en 5 Ghz uitgeschakeld, maar meldingen blijven komen.
Dan maar gaan kijken welke van mijn apparaten misschien geinfecteerd is en het probleem veroorzaakt. Dus:
Netwerkprinter, Switch, NAS 1, NAS2, PC 1, PC2, kortom alles uitgeschakeld en van het netwerk af.
Koffie gedronken en PC weer aan om log te bekijken.

Tot mijn grote verbazing gaan de meldingen nog steeds door. Dus het lijkt erop dat deze portscans en IP flooding (ik meen dat er ooit eerder iemand een draadje over had) vanuit de Horizon zelf komen.

ter verduidelijking, ook voor een eventuele mod, ik heb om 17.05 alles eruitgetrokken en echt uitgezet, dus ook nog steeds met een verbroken internetverbinding...
Om 17.20 PC weer ingeschakeld en zie hier het log :

Jul 17 17:22:39 IP Flood is detected
Jul 17 17:22:34 Internet is connected 77.249.xx.xx
Jul 17 17:21:27 IP Flood is detected
Jul 17 17:21:27 Port Scan is detected
Jul 17 17:21:27 Port Scan is detected
Jul 17 17:20:13 IP Flood is detected
Jul 17 17:19:46 IP Flood is detected
Jul 17 17:19:32 IP Flood is detected
Jul 17 17:19:25 IP Flood is detected
Jul 17 17:19:22 IP Flood is detected
Jul 17 17:19:19 IP Flood is detected
Jul 17 17:19:19 IP Flood is detected
Jul 17 17:17:58 IP Flood is detected
Jul 17 17:17:58 Port Scan is detected
Jul 17 17:17:58 Port Scan is detected
Jul 17 17:17:31 IP Flood is detected
Jul 17 17:17:31 Port Scan is detected
Jul 17 17:17:31 Port Scan is detected
Jul 17 17:16:42 IP Flood is detected
Jul 17 17:16:35 IP Flood is detected
Jul 17 17:16:35 Port Scan is detected
Jul 17 17:16:35 Port Scan is detected
Jul 17 17:16:29 IP Flood is detected
Jul 17 17:16:15 IP Flood is detected
Jul 17 17:16:01 IP Flood is detected
Jul 17 17:16:01 IP Flood is detected
Jul 17 17:15:54 IP Flood is detected
Jul 17 17:15:50 IP Flood is detected
Jul 17 17:15:48 IP Flood is detected
Jul 17 17:15:47 IP Flood is detected
Jul 17 17:15:47 IP Flood is detected
Jul 17 17:15:41 IP Flood is detected
Jul 17 17:15:40 IP Flood is detected
Jul 17 17:15:40 Port Scan is detected
Jul 17 17:15:40 Port Scan is detected
Jul 17 17:15:37 IP Flood is detected
Jul 17 17:15:34 IP Flood is detected
Jul 17 17:15:34 Port Scan is detected
Jul 17 17:15:34 Port Scan is detected
Jul 17 17:15:34 IP Flood is detected
Jul 17 17:15:34 IP Flood is detected
Jul 17 17:15:29 IP Flood is detected
Jul 17 17:15:29 Port Scan is detected
Jul 17 17:15:29 Port Scan is detected
Jul 17 17:15:14 IP Flood is detected
Jul 17 17:15:14 Port Scan is detected
Jul 17 17:15:14 Port Scan is detected
Jul 17 17:14:22 IP Flood is detected
Jul 17 17:14:07 IP Flood is detected
Jul 17 17:14:07 Port Scan is detected
Jul 17 17:14:07 Port Scan is detected
Jul 17 17:13:54 IP Flood is detected
Jul 17 17:13:41 IP Flood is detected
Jul 17 17:13:34 IP Flood is detected
Jul 17 17:13:30 IP Flood is detected
Jul 17 17:13:27 IP Flood is detected
Jul 17 17:13:27 IP Flood is detected
Jul 17 17:12:12 IP Flood is detected
Jul 17 17:12:12 Port Scan is detected
Jul 17 17:12:12 Port Scan is detected
Jul 17 17:11:39 IP Flood is detected
Jul 17 17:11:39 IP Flood is detected
Jul 17 17:09:50 IP Flood is detected
Jul 17 17:09:50 Port Scan is detected
Jul 17 17:09:50 Port Scan is detected
Jul 17 17:08:33 IP Flood is detected
Jul 17 17:08:33 Port Scan is detected
Jul 17 17:08:33 Port Scan is detected
Jul 17 17:08:03 IP Flood is detected
Jul 17 17:08:03 Port Scan is detected
Jul 17 17:08:03 Port Scan is detected
Jul 17 17:05:42 IP Flood is detected
Jul 17 17:05:42 Port Scan is detected


Zou een mod misschien kunnen kijken of er een (nog niet ontdekte) bug danwel security issue met de mediabox XL/ Horizon is waardoor deze dus zelf de scans en flooding uitvoert? Want dit klopt natuurljik niet.
icon

Best beantwoord door Mark Ziggo 26 juli 2018, 09:13

Voor de geïnteresseerden:

De oorzaak zat in het DTV deel van de Mediabox XL, deze zat in een soort loop waardoor er constant aanvragen werden gedaan (ook zonder aangesloten LAN apparatuur en bij modem offline). Na een reset van dat gedeelte is het 'probleem' opgelost.
Bekijk origineel

Dit topic is gesloten. Staat je antwoord hier niet bij, stel dan je vraag in een nieuw topic.

9 Reacties

Reputatie 7
Badge +17
Zit mij even af te vragen of het hier ook een mediabox XL betrof :
https://community.ziggo.nl/internetverbinding-102/ip-flood-is-detected-28142/index1.html#post278951
Reputatie 7
Badge +17
Aangezien er geen reactie komt en de log nog steeds vol blijft lopen kan @Sander Ziggo of @Michael Ziggo eens een blik werpen? want het is vrijwel zeker een issue van de Mediabox XL die zichzelf staat te flooden met packets dus mogelijk iets van (een van) de laatste updates.

Aangezien de logfile maar een x aantal regels kan bevatten worden ook de "echte" log meldingen weggedrukt zodat andere problemen niet meer zichtbaar worden.
Deze meldingen kunnen ook komen doordat de firewall een stroom data aan één stuk voor een flood aanziet.

Op het TC7210 modem heb ik IP Flood Detection en Port Scan Detection uit staan, vanwege blokken van grote hoeveelheden downloads en streams en meldingen van Port Scans, dat gaat de hele dag door.
Port scans kunnen ook komen doordat apparaten de verbinding in stand willen houden en de firewall interpreteert dit als portscans.

Moeilijk eigenlijk met zekerheid iets zinnigs over te zeggen, het ligt aan het achterliggende systeem wat de in en out beoordeeld en hoe dit gebeurd is niet te zien, ook niet wat de criteria zijn om een foutmelding te maken.
Reputatie 7
Badge +17
@Be rt Het probleem is dat de box dit zelf doet. Ook als ik de box van internet afhaal en het hele netwerk loskoppel dan nog blijft de box kennelijk intern portscans etc uitvoeren op zichzelf en flooden.. Dat zou niet nodig moeten zijn want ieder onnodig pakketje van de box betekent toch een (zij het minimale) vertraging op het netwerk.
En zoals ik al schreef, ik kan nu niet eens meer de reguliere firewallmeldingen van het modem en wifi etc zien.
Ah, je had hem al los, wat je toch bedenkt als je over een zinnetje heen leest.🤔
Reputatie 7
Badge +17
Geeft niet, het is ook warm he. 😁 😁
Ben alleen benieuwd wat dit kan veroorzaken, want zoals je ziet gaat het gewoon gestaag door, dag en nacht :

Jul 18 22:40:20 IP Flood is detected
Jul 18 22:40:20 Port Scan is detected
Jul 18 22:40:20 Port Scan is detected
Jul 18 22:40:17 Successful login from 192.168.192.26
Jul 18 22:39:56 IP Flood is detected
Jul 18 22:39:56 Port Scan is detected
Jul 18 22:39:56 Port Scan is detected
Jul 18 22:39:39 IP Flood is detected
Jul 18 22:39:39 Port Scan is detected
Jul 18 22:39:39 Port Scan is detected
Jul 18 22:39:13 IP Flood is detected
Jul 18 22:39:13 Port Scan is detected
Jul 18 22:39:13 Port Scan is detected
Jul 18 22:38:26 IP Flood is detected
Jul 18 22:38:26 Port Scan is detected
Jul 18 22:38:26 Port Scan is detected
Jul 18 22:38:23 IP Flood is detected
Jul 18 22:38:23 Port Scan is detected
Jul 18 22:38:23 Port Scan is detected
Jul 18 22:37:58 IP Flood is detected
Jul 18 22:37:58 Port Scan is detected
Jul 18 22:37:58 Port Scan is detected
Jul 18 22:37:45 IP Flood is detected
Jul 18 22:37:45 Port Scan is detected
Reputatie 7
Inderdaad vreemd, we kijken het samen na!
Reputatie 7
Badge +17
Alles lijkt nu opgelost. Logs blijven weer leeg. @Mark Ziggo super bedankt weer voor de hulp!
Reputatie 7
Voor de geïnteresseerden:
De oorzaak zat in het DTV deel van de Mediabox XL, deze zat in een soort loop waardoor er constant aanvragen werden gedaan (ook zonder aangesloten LAN apparatuur en bij modem offline). Na een reset van dat gedeelte is het 'probleem' opgelost.