(Large) Ping Of Death Attacks

[NikC]

Gegeven is:

Achter mijn Telenet Modem, heb ik een router steken.

Alles van mijn thuisnetwerk zit achter deze TP-Link router.

Alles buiten een paar IOT devices.

De router heeft een mooie set aan beveiligingsmogelijkheden.

In de log van de router vind ik Ping of death attacks en Large ping of death attacks en dit zeer frequent.

Een paar voorbeelden.

839	2024-06-19 15:29:55	Firewall	WARNING	Detected Ping of Death attack. Dropped 10 packets.
840	2024-06-19 15:29:49	Firewall	WARNING	Detected Ping of Death attack. Dropped 10 packets.

De firewall / router houdt ze dus tegen.

Dit wil dus zeggen dat deze pings gegenereerd worden ofwel

• ts de Telenet modem  en de router
• ofwel door de Telenet modem van het internet binnen komen.

Graag advies

• Hoe kan ik snel te weten komen vanwaar deze pings komen?
• welke free IDS raden jullie aan?

Alvast bedankt,

Dominiek

[Janneke_Dust]

Welk management adres is ingesteld op je router? Toch niet 192.168.0.1 als je telenet subnet ingesteld is op 192.168.0.xx.

Welke Telenet modem heb je? 

[NikC]

Hoi,

Hoi,

• Ik heb een Docsis 3.1 Wifi6 (docsis)
• mijn intranet subnet staat op x.x.10.x. Eens die keuze gemaakt val je terug op de vooraf gedefinieerde setup van Telenet, voor de Telenet modem.
• mijn router zit op twee poorten in de vaste adressen range, zoals gedefinieerd door Telenet, in de 10.
• op mijn router zijn er maar 3 x.x.10.yy adressen mogelijk, twee eigen v d router en dat van de Telenet modem. Het is dichtgetimmerd.
• voor de rest staat alles van security op de modem aan.

nog een fijne dag,

-dc

[janne_man]

Heb je uw router in DMZ staan? Doe je portforwarding?

[NikC]

Hoi Janne_the_man,

• Mijn router staat expliciet niet in de DMZ van de Telenet modem. Ik verkies 2 firewalls achtereen staan (van verschillende merken en versies) en mijn private IP adressen krijgen enkel toegang na 2x filtering. 
• enkel de klassieke port forwarding staat aan.

Een van deze draai ik eens een analyse met suricata, dat weet ik waar die pakketjes vandaan komen.

Nog een fijne dag,

-dc

[Master-Magic]

@NikC  Ik weet dat safespot op de modem ook aanvragen doet, maar of dit het ding is wat jij ervaart is de vraag natuurlijk.

[Arnie]

Voor IPv4 zal de standaard Telenet NAT router/firewall de (vanaf het internet) binnenkomende ICMP echo request pakketjes eigenlijk moeten tegenhouden (DROP). Zonder explicite port-forwarding zouden deze niet tot aan je eigen TP-link router mogen belanden. Iets wat de Telenet router volgens mij zelfs niet kan.

Vermoedelijk gaat het dus om IPv6 verkeer. Heb je daarvoor ook de nodige veiligheid op de Telenet router aangezet?

[NikC]

Voila.

Zoals je zei, eigenlijk moet dit toestaan,

[Arnie]

Gisteren geraakte ik niet in de ¨mijn thuisnetwerk"optie binnen my telenet. Vandaag wel, dus kon even één en ander nakijken.

Probeerd anders een een firewall regel toe te voegen. Een netwerk analyse (of een traaffic capture met bijvoorbeeld wireshark) zou zeker ook handig zijn.

[NikC]

Hoi Arnie,

Bedankt voor de firewall tip. Dit gaat helpen bij het uitsluiten. Komen de pakketjes van buiten (internet) of is mijn 192.168.xx.y besmet.

Wireshark is idd handig maar dat is mijn tweede optie. Maar dan begint het zoeken en filteren.

Daarom ben ik nog wat aan het spelen (gewoon voor de lol) met een gratis Intrusion detection systeem  Home - Suricata  Dat capteert ook de netwerk trafiek met WinPcap - Home . Ik hoop door regels en alerts in te stellen sneller van het uitvlooien af te zijn.

Verder sluit ik niet uit dat mijn tp-link router kuren heeft. Er zijn nog anderen gebruikers die dit ook op hun router zien maar TP-Link zwijgt erover in alle talen in hun forum.

Nog een fijne dag,

Dominiek

[NikC]

Hoi Arnie,

Na het instellen van je firewall rule op de Telenet modem komen er geen DDOS attacks meer binnen. Ze komen van het grote boze internet

Nog een fijne avond,

Dominiek