OVH Cloud OVH Cloud

drôles d'alertes

2 réponses
Avatar
MONROUX philippe
Bonjour,

Depuis que j'ai installé prelude sur ma machine j'ai des <<POP3 TOP
overflow attempt>> à peu près toutes les 10 ou 20 min ayant pour
source MA MACHINE et pour destination toujours 193.252.22.* ou
193.252.23.* aux horaires suivants.

À chaque fois cela se produit quand fetchmail me rapatrie mon
courrier.

Pourquoi un <<POP3 TOP overflow attempt>> dans ces conditions ?

Mais comment supprimer toutes ces alertes inutiles qui risque de noyer
les vraies alertes ?

par avance merci
--
Ph

2 réponses

Avatar
Rakotomandimby (R12y) Mihamina
MONROUX philippe :

Mais comment supprimer toutes ces alertes inutiles qui risque de noyer les
vraies alertes ?


En modifiant le "loglevel" de l'application qui les génère. Mais comme
on n'a pas plus de détails,... Tu peux trouver cela dans la documentation
de l'application en question si c'est implémenté, ou trouver des gens
qui ont eu les mêmes problèmes et qui en ont parlé en cherchant sur un
moteur de recherche.

--
Miroir de logiciels libres http://www.etud-orleans.fr
Développement de logiciels libres http://aspo.rktmb.org/activites/developpement
Infogerance de serveur dédié http://aspo.rktmb.org/activites/infogerance
(En louant les services de l'ASPO vous luttez contre la fracture numerique)

Avatar
MONROUX philippe
Le Wed, 29 Jun 2005 12:58:55 +0200,
Dans le forum fr.comp.os.linux.configuration,

Mais comment supprimer toutes ces alertes inutiles qui risque de
noyer les vraies alertes ?


En modifiant le "loglevel" de l'application qui les génère. Mais
comme on n'a pas plus de détails,...


Si on supprime la température on n'est plus malade ?

Voici les détails :

Debian Sarge.
fetchmail : Version: 6.2.5-12 en demon

/etc/fetchmailrc
,----
| set idfile "/var/mail/.fetchmail-UIDL-cache"
| set postmaster "*****"
| set bouncemail
| set spambounce
| set properties ""
| poll pop.wanadoo.fr with proto POP3 and options no dns uidl user
| '*****' there with password '*****' is '*****' here options forcecr
| stripcr
`----

Quant aux détails sur l'alerte les voici :

************************************************************************
*/.../
* Classification: POP3 TOP overflow attempt
*/.../
* Analyzer ID: 384582393689206107
* Analyzer model: Prelude NIDS
* Analyzer version: 0.8.6
* Analyzer OS version: 2.6.8-2-686

* Impact severity: high
* Impact description: Attempted Administrator Privilege Gain
*** Source information *************************************************
* Addr[ipv4-addr]: 10.0.0.1
* Service: portW615 protocol=tcp
*** Target information *************************************************
* Addr[ipv4-addr]: 193.252.22.69
* Service: port0 (pop3) protocol=tcp
*** Additional data within the alert **********************************
* Ethernet header: 0:11:d8:51:5b:9 -> 0:90:d0:36:f7:38 [ether_type=ip
* (2048)]
* Ip header:
* 10.0.0.1 -> 193.252.22.69 [hl ,version=4,tos=0,lenh,,
* ttld,prot=6,frag=[DF ]]
* Tcp header: 57615 -> 110 [flags=PUSH ACK
* ,seq"21119320,ack08869322,winX40]
* Tcp options: nop,nop,timestamp 334242136 1411344169
* Payload header: size bytes
* Payload Hexadecimal Dump: 54 4f 50 20 31 20 39 39 39 39 39 39 39 39
* 0d 0a TOP 1 99999999..
* Detection Plugin Name: SnortRules
* Detection Plugin Description: Snort signature parser.
* Snort rule ID: 2109
* Snort rule revision: 1
************************************************************************

Tu peux trouver cela dans la documentation de l'application en
question si c'est implémenté, ou trouver des gens qui ont eu les
mêmes problèmes et qui en ont parlé en cherchant sur un moteur de
recherche.


ok. Merci.
--
ph