Доброго времени суток.
Существует следующая проблема.
Есть много 3526 (Firmware: Build 5.01.B52).
на нем прописаны правила на блокирование портов 137-139, 445(TCP).
С недавнего времени сетевые экраны, и сервер начали фиксировать атаки на 445 порт (TCP).Лезет вот это FIntrusion.Win.NETAPI.buffer-overflow.exploit.

Все фильтры проверены на стендах. Имитировались все ситуации подключения (воткнутый в него 3028, 1008D). Везде фильтры отрабатывают (не пробовал только тестовый ноут этой заразой заражать). Так же пробовал опцию NetBIOS Filtering просто и Extensive NetBIOS Filtering. Не помогает, продолжает лезть.
Все оборудование на идентичных прошивках с одинаковыми правилами и настройками.
Может кто то сталкивался с подобной проблемой.
Вот что отвечает за фильтрацию:
create access_profile packet_content_mask offset_32-47 0x0 0x0 0xffff0000 0x0 profile_id 7
config access_profile profile_id 7 add access_id auto_assign packet_content_mask offset_32-47 0x0 0x0 0x00870000 0x0 port 1-26 deny
config access_profile profile_id 7 add access_id auto_assign packet_content_mask offset_32-47 0x0 0x0 0x00890000 0x0 port 1-26 deny
config access_profile profile_id 7 add access_id auto_assign packet_content_mask offset_32-47 0x0 0x0 0x008a0000 0x0 port 1-26 deny
config access_profile profile_id 7 add access_id auto_assign packet_content_mask offset_32-47 0x0 0x0 0x008b0000 0x0 port 1-26 deny
config access_profile profile_id 7 add access_id auto_assign packet_content_mask offset_32-47 0x0 0x0 0x01bd0000 0x0 port 1-26 deny
config access_profile profile_id 7 add access_id auto_assign packet_content_mask offset_32-47 0x0 0x0 0x076c0000 0x0 port 1-26 deny

При необходимости могу выложить полный конфиг.
Заранее спасибо.

_________________
новичек

Тоже заметил две проблемы на DES-3526:
прошивка: 6.00B28
1) включен фильтр
config filter netbios 1-24 state enable
при этом еще включено IPMB ACL и dhcp_local_relay.
Свич пропускает udp пакеты 137,138 порты не фильтруя их.
2) плюс еще момент, когда приходит ответ от dhcp_relay в формате 255.255.255.255 он рассылается во все порты, ф-ия dhcp_local_relay не отрабатыает.
Похожая проблема присутствует на 3028 свиче.

Ilya_87
А нет ли у Вас возможности снять сниф такого трафика?

maxfs
1. Я проверю

2. Как это от dhcp релея идёт пакет на 255.255.255.255? Он же юникастом идти должен.

клиент -> запрос 255.255.255.255 -> relay -> unicast -> dhcp server
dhcp server - > unicat -> relay -> 255.255.255.255 -> клиент

Проблема только в том, что при ответе релея к клиенту 255.255.255.255 попадает к другим коммутаторам и ф-ия dhcp_local_relay его не фильтрует. Мне почему-то кажетс, ответ должен отправляться в тот порт, с которого он пришел, а не во все порты. А так получается из-за этого ответа получаем еще запрос * кол-во коммутаторов и ф-ия dhcp_local_relay тут не помогает.

Alexandr Zaitsev

В ближайшее время постараюсь сделать сниф.

_________________
новичек

maxfs

1. Таков дизайн устройства, UDP он действительно не блокирует.
2. Какой у Вас DHCP сервер и что используется в качестве релея? Я не могу воспроизвести ситуацию, ответы от релея к клиенту идут юникастом.

Alexandr Zaitsev

Куда лучше выложить или отправить сниф?

_________________
новичек

Большой получился?
Можно мне на почту.

Alexandr Zaitsev! Поясните пожалуйста:
0. для каких прошивок это действительно?
(если присутствует в текущих прошивках, то 1 и 2)
1. какие пакеты UDP нельзя заблокировать АЦЛ-ом из 1-го поста?
2. каким АЦЛ-ом их можно заблокировать?

_________________
не важно, из какого места растут золотые руки

Alexandr Zaitsev
Нет, там 4 пакета, дальше каспер блокирует. (Запускать сервак без каспера нет желания). Принцип работы такой, размер пакета меняется. Source порт тоже постоянно изменяется, перебором. Destination порт 445.

_________________
новичек

Alexandr Zaitsev

Выслал вам на почту

_________________
новичек

DHCP сервер ISC-DHCPD
в качестве релея используется DES-3526

Прикольно...
дес3526, 6.00.b32
Вот кусок конфига

По вашему он не заблокирует 137 порт?

Посмотрел, проверил.

Netbios filtering фильтрует пакеты на основе source порта. Т.е. если у пакета исходящий порт всегда меняется, а порт назначения - 445, то такие пакеты отфильтрованы не будут.

таким образом, лучше их не использовать, а написать свои?:)