Это сделано для оповещения об атаках ITW CVE-2018-10561 и CVE-2018-10562. Эти CVE связаны с обходом аутентификации и удалённым выполнением кода (RCE) на домашних маршрутизаторах GPON. Похоже, у вас там массовые сканирования ботами на это.

https://github.com/f3d0x0/GPON  
https://twitter.com/luc4m/status/994851471194836994

Проверил IP — это был мой iPhone. Странно.

Продолжаю тему... Получаю такие оповещения:  
IPS Alert 1: Обнаружен сетевой троян. Сигнатура ET USER_AGENTS Suspicious User Agent (agent). От: 192.168.x.x:50152, к: 23.211.124.88:80, протокол: TCP, интерфейс: eth1.  
Судя по всему, это скорее всего ложное срабатывание. Я проверял IP в AbuseIPDB, и там указано, что это американская компания Akamai Technologies Inc.  
Есть мысли или подтверждения?

Сегодня пришёл на работу и увидел почти 100 тревог на похожие сообщения:  
IPS Alert 1: Обнаружен сетевой троян. Сигнатура ET MALWARE Suspicious User-Agent (1 space). От: 10.1.1.98:46105, до: 13.56.215.15:443, протокол: TCP, интерфейс: eth0 12:41 19.05.2018  
IPS Alert 1: Обнаружен сетевой троян. Сигнатура ET MALWARE Suspicious User-Agent (1 space). От: 10.1.1.98:43676, до: 52.9.169.109:443, протокол: TCP, интерфейс: eth0 12:40 19.05.2018  
IPS Alert 1: Обнаружен сетевой троян. Сигнатура ET MALWARE Suspicious User-Agent (1 space). От: 10.1.1.98:55802, до: 13.56.136.168:443, протокол: TCP, интерфейс: 12:40 19.05.2018  
IPS Alert 1: Обнаружен сетевой троян. Сигнатура ET MALWARE Suspicious User-Agent (1 space). От: 10.1.1.98:57200, до: 52.9.50.218:443, протокол: TCP, интерфейс: eth0 12:36 19.05.2018  
IPS Alert 1: Обнаружен сетевой троян. Сигнатура ET MALWARE Suspicious User-Agent (1 space). От: 10.1.1.98:36692, до: 52.9.21.5:443, протокол: TCP, интерфейс:  

Похоже, это телефон ночного охранника, но я не вижу, как получить MAC-адрес, чтобы сверить с прошлыми соединениями в Insights. Это вообще возможно?

Мы отправили эту сигнатуру 11 мая, поэтому вы только сейчас начинаете её видеть. Вкратце, IP 187.175.46.70 обращался по http с юзер-агентом ровно «Hello, World», что как минимум подозрительно. Я пытаюсь раздобыть больше документации о том, откуда взялись данные для этой сигнатуры, но человек, который её писал, сейчас где-то над Атлантикой. Постараюсь вернуться с ответом, если найду какие-то документы, объясняющие природу этого трафика. Спасибо, Франсис.

Та же проблема у меня.

Я не уверен, что справедливо ожидать от UniFi комментариев по каждому предупреждению из-за множества возможных вариантов и того, что каждое из них во многом специфично для конкретного пользователя или сайта. Большая часть информации общедоступна (многие из этих IPS-правил — с открытым исходным кодом), и такие предупреждения на самом деле должны интерпретироваться IT-специалистами на месте с учётом контекста. Я рассчитываю, что они дадут решение, которое вызвало эти предупреждения, а не обязательно будут советовать, что с ними делать. Если эти опасения связаны с моими и чужими постами выше о том, нормально ли работает IPS, то есть ещё несколько обсуждений, где было в целом подтверждено, что всё функционирует как надо. У меня была такая беседа с представителем UBNT здесь: https://community.ui.com/questions/efeeabaa-4af3-47e8-b60e-6a2f24163b56#comment/b3b5f875-7869-43db-8cf7-0039f8b236a9.

Сказав это, есть ли у вас конкретные опасения по этому (или другому) предупреждению? Думаю, уже вполне понятно, что это конкретное предупреждение возникает из-за рекламы, отслеживающей действия пользователей в браузере, как подробно объяснил выше Bares, и что оно не представляет серьёзной угрозы. Очистка кэша браузера, как правило, решает проблему, но предупреждение может появиться снова со временем, когда пользователи продолжают серфить в интернете. Возможно, это можно считать ложным срабатыванием, но по крайней мере в моём понимании оно блокирует отмеченный трекер от отправки данных на сервер.

Кстати, я удалял всё с компьютера, где возникало такое предупреждение, но в основном из-за того, что Windows на том же ПК потеряла активацию за пару часов до этого. Два потенциальных нарушения безопасности за такой короткий промежуток времени заставили нас перестраховаться и сделать чистую установку. После этого, на других устройствах с таким предупреждением я просто советовал очистить браузер.

По поводу этого предупреждения:  
IPS Alert 1: Обнаружен сетевой троян. Сигнатура ET CNC Zeus Tracker, зафиксирована группа CnC серверов 12. От: localworkstation:54846, до: 199.59.242.150:443, протокол: TCP, интерфейс: eth1.

У меня была такая же проблема, и сначала я был в замешательстве, потому что, насколько я знаю, троян Zeus работает только на Windows, а я использую Mac. Я переустанавливал систему три раза, но предупреждение всё равно появлялось. Затем я установил Little Snitch (демо-версия меня вполне устроила) и пару часов отслеживал все подключения, пока предупреждение не появилось снова. После этого я смог найти нужные данные по IP-адресу и отфильтровать их по времени появления предупреждения. Так мне удалось отследить это до Safari и до конкретного сайта (ww7.eqyourears.com).

Раньше я добавил этот сайт в раздел «Топ-сайты» в Safari, но потом больше его не открывал. Сейчас сайт не работает и стал рекламным. Однако, поскольку он был в моих Топ-сайтах, а они синхронизируются через iCloud, даже чистая переустановка macOS проблему не решала. При первом запуске Safari автоматически загружал этот сайт в фоне, чтобы сгенерировать иконку.

После удаления сайта из Топ-сайтов периодические предупреждения прекратились. Надеюсь, это поможет. Little Snitch — отличный инструмент для расследования таких проблем, и демо-версии хватает в большинстве случаев.

У меня тоже был такой сигнал, он был для iPhone (если это что-то меняет). Похоже, что большинство ответов здесь говорят, что это безвредно.