MAC Spoofing
Posted: 2007-08-14 15:20
Hallo allerseits,
ich habe seit langem einen Rootserver bei 1&1 (Confixx; ja, das neuste Update ist auch drauf). In den letzten Monaten hat mir 1&1 mehrfach den Switchport dicht gemacht, weil angeblich ein Paket mit einer falschen Absender-MAC (aka MAC Spoofing attempt) empfangen wurde. Ich habe zu den Zeitpunkten überhaupt keine Anhaltspunkte für externe Zugriffe gefunden, keine SSH-Logins, keine verdächtigen Webseitenaufrufe etc. Hat jemand irgendeine Erklärung, wie es zu sowas kommen kann oder wie man dem Problem auf den Grund gehen kann? Oder irgendwelche Fingerprints von Tools, die mir vielleicht aufs System gekommen sein könnten? VMWare oder sonstige Virtualisierungstools sind auch nicht drauf.
Auf dem Server läuft zwar noch Suse 9.2, aber ich halte den Rechner manuell so weit wie möglich auf dem aktuellen Stand. Die nach außen erreichbaren Dienste habe ich sowieso selber kompiliert und nicht als altes Suse-RPM installiert, die neueren Kernel eingespielt usw., so dass ich mich was Sicherheitslücken betrifft relativ sicher gefühlt habe. (Schon klar, das kann immer täuschen).
Seht ihr eine andere Möglichkeit als das System zu reinitialisieren? Klar, ein Update auf eine neuere Distribution wird sich mittelfristig nicht umgehen lassen. Das möchte ich eigentlich zumindest in nächster Zeit vermeiden, weil nicht auf Plesk umsteigen möchte. Außerdem möchte ich schon das Problem analyisieren und wissen, was das schief gelaufen ist.
Viele Grüße,
Dennis
ich habe seit langem einen Rootserver bei 1&1 (Confixx; ja, das neuste Update ist auch drauf). In den letzten Monaten hat mir 1&1 mehrfach den Switchport dicht gemacht, weil angeblich ein Paket mit einer falschen Absender-MAC (aka MAC Spoofing attempt) empfangen wurde. Ich habe zu den Zeitpunkten überhaupt keine Anhaltspunkte für externe Zugriffe gefunden, keine SSH-Logins, keine verdächtigen Webseitenaufrufe etc. Hat jemand irgendeine Erklärung, wie es zu sowas kommen kann oder wie man dem Problem auf den Grund gehen kann? Oder irgendwelche Fingerprints von Tools, die mir vielleicht aufs System gekommen sein könnten? VMWare oder sonstige Virtualisierungstools sind auch nicht drauf.
Auf dem Server läuft zwar noch Suse 9.2, aber ich halte den Rechner manuell so weit wie möglich auf dem aktuellen Stand. Die nach außen erreichbaren Dienste habe ich sowieso selber kompiliert und nicht als altes Suse-RPM installiert, die neueren Kernel eingespielt usw., so dass ich mich was Sicherheitslücken betrifft relativ sicher gefühlt habe. (Schon klar, das kann immer täuschen).
Seht ihr eine andere Möglichkeit als das System zu reinitialisieren? Klar, ein Update auf eine neuere Distribution wird sich mittelfristig nicht umgehen lassen. Das möchte ich eigentlich zumindest in nächster Zeit vermeiden, weil nicht auf Plesk umsteigen möchte. Außerdem möchte ich schon das Problem analyisieren und wissen, was das schief gelaufen ist.
Viele Grüße,
Dennis