Вторжение в сеть. - Форум UBIQUITI.RU

Вторжение в сеть., wifiman

Ramhound

Guest

04.03.2025 02:59:00

Меня заспамили уведомлениями о том, что обнаруживается угроза, связанная с моим устройством Vontage. У кого-нибудь есть советы, как создать исключение для этого устройства?

Угроза не всегда связана с TFTP, но постоянно обнаруживает дюжину угроз одновременно. Пока что я просто отключил сигнатуру TFTP и включил подробное логирование клиентской стороны. Полагаю, судя по количеству обнаружений, у меня ситуация с ложными срабатываниями. Использую Vonage более десяти лет, никогда не было проблем, так что сомневаюсь, что уязвимость или обнаружение угрозы подлинны.

Ramhound

Guest

04.03.2025 06:20:00

Оповещение udp $HOME_NET any -> [$EXTERNAL_NET,!255.255.255.255] 69 (
msg:"ET TFTP Outbound TFTP Read Request";
content:"|00 01|";
depth:2;
classtype:policy-violation;
sid:2008120;
rev:4;
metadata:created_at 2010_07_30, signature_severity Informational, updated_at 2019_07_26;)

Не могу понять, как перекинуть это устройство на другую VLAN, потому что оно подключено к тому же L2-коммутатору, что и Device Bridge Pro, который связан с другим Device Bridge Pro, поддерживающим расширитель Verizon. Так что единственный способ, который я знаю, как это сделать – поместить Layer 2 (Switch Flex 2.5G) на эту VLAN. Я не полностью против этого решения, но мой план состоял в том, чтобы подключить принтер к Flex также.Switch Pro Max -> Flex Mini 2.5G -> (Device Bridge Pro, Vonage Device, Printer) | Device Bridge Pro -> Flex Mini -> Verizon Extender. Думаю, мне нужно подключить Device Bridge Pro к Switch Pro Max, выделить этот порт на определенной VLAN, чтобы Device Bridge Pro(s) могли быть подключены к этой VLAN по беспроводной сети. Это позволит мне поместить принтер на подходящую (другую) VLAN. В конце концов, я только что понял, что mini flex не поддерживает VLAN-тегирование, а flex 2.5G — да, так что у меня нет проблем, и я могу управлять адаптером!

travis.vitek

Guest

04.03.2025 05:04:00

Это правило просто указывает на то, что устройство пытается TFTP-запросом выйти из вашей локальной сети (LAN) в глобальную сеть (WAN).alert udp $HOME_NET any -> [$EXTERNAL_NET,!255.255.255.255] 69 (
msg:"ET TFTP Outbound TFTP Read Request";
content:"|00 01|";
depth:2;
classtype:policy-violation;
sid:2008120;
rev:4;
metadata:created_at 2010_07_30, signature_severity Informational, updated_at 2019_07_26;)

Как отмечено, это просто информационное сообщение. Я не сильно удивлен, что устройство этого типа использует TFTP для обновлений. Если вы не хотите получать эти обновления, вы можете использовать DHCP option 66, чтобы клиенты использовали локальный TFTP-сервер, который на самом деле не существует. Что касается остальных правил, я думаю, что там будет примерно то же самое. Возможно, стоит поместить это устройство на VLAN без IPS/IDS, или оставить его где оно есть и отключить их по одному.

travis.vitek Guest	#4 04.03.2025 16:04:00 Вам нужно просто настроить VLAN, затем указать опцию Native VLAN / Network для порта(ов) на Flex Mini к этому VLAN, а затем установить опцию VLAN Management в значение Block All. Сделайте это для всех проводных устройств, которые вы хотите подключить к этой VLAN. Вам не потребуется никаких специальных VLAN тегов, только access порты.

Читают тему (гостей: 1)