На что ругается snort?

Question

[Раиль Хамдеев]

Всем доброго дня!
Поставил на днях snort на сервер. Т.к. опыта работы с ним практически не имею оставил дефолтные конфиги. Так вот alert-логе стали появляться вот такие записи:

[**] [1:527:8] BAD-TRAFFIC same SRC/DST [**]
[Classification: Potentially Bad Traffic] [Priority: 2]
10/23-05:04:22.637386 0.0.0.0 -> 224.0.0.1
IGMP TTL:1 TOS:0xC0 ID:0 IpLen:24 DgmLen:32 DF
IP Options (1) => RTRALT
[Xref => http://www.cert.org/advisories/CA-1997-28.html][Xref => http://cve.mitre.org/cgi-bin/cvename.cgi?name=1999... => http
://www.securityfocus.com/bid/2666]

Стоит ли на них реагировать?

P.S.
И еще в конфигах снорт куча настроек для мониторинга портов сервисов которых у меня нет (к примеру ORACLE). Можно ли это дело как то совсем отключить и будет ли в этом какой то толк в плане экономии ресурсов?

Answer 1

[3vi1_0n3]

Он пишет о том, что замечен подозрительный трафик, пакеты, в которых источник и назначение совпадают, и потенциально такой трафик может быть попыткой DoS'а.
Это еще не говорит о том, что у вас есть какие-то проблемы.
Также он дает ссылку на информацию. Там написано следующее:

II. Impact
Topic 1 - Teardrop
Any remote user can crash a vulnerable machine.
Topic 2 - Land
Any remote user that can send spoofed packets to a host can crash or "hang" that host.

То есть потенциально могут возникнуть следующие проблемы: удаленный пользователь может вызвать сбой и любой удаленный пользователь может "повесить" хост, на который такие пакеты идут.
Там же видим следующее:

Red Hat Software
Topic 1 - Teardrop
Linux is not vulnerable.
Topic 2 - Land
Linux is not vulnerable.

Если у вас Linux, то проблем скорее всего не возникнет.

Answer 2

[Евгений Ферапонтов]

Адрес Значение
224.0.0.1 Все узлы данного сегмента

Похоже на IGMP general query. habrahabr.ru/post/217585 -- вот тут хорошая статья на тему мультикаста.
По поводу Snort ничего сказать не могу, т.к. после Вашего сообщения впервые о нем узнал.

Comments

[Vladimir Zhurkin]

@E1ferapontov Лучше сразу смотрите - suricata-ids.org