Сырые журналы брандмауэра pfSense

Вопрос или проблема

4,,,1000000103,mvneta0,match,block,in,4,0x0,,50,50087,0,DF,47,gre,1090,59.127.81.214,192.168.2.11,datalength=1070

Ответ или решение

Чтобы проанализировать ваш лог событий pfSense, давайте разберем строку лога, которую вы предоставили, и объясним значения всех полей. Вот разбиение приведенного вами лога:

4,,,1000000103,mvneta0,match,block,in,4,0x0,,50,50087,0,DF,47,gre,1090,59.127.81.214,192.168.2.11,datalength=1070

Разбор полей лога:

1. Номер журнала (4) – Ключевая информация о логах, указывающая на номер события в системе.

2. Пропуски (пустые поля) – Эти поля могут быть зарезервированы для будущего использования или для других метрик. В данном контексте они пустые.

3. Идентификатор интерфейса (1000000103) – Уникальный идентификатор интерфейса, через который произошло соединение или логирование данного события.

4. Имя интерфейса (mvneta0) – Имя сетевого интерфейса, который обрабатывает входящие или исходящие пакеты.

5. Состояние (match) – Указывает, что пакет соответствовал правилам фильтрации pfSense.

6. Действие (block) – Указывает, что этот пакет был заблокирован.

7. Направление (in) – Указывает на направление трафика. В данном случае это входящий трафик.

8. Протокол (4) – Определяет протокол, используемый в данном сообщении (в данном случае это IPv4).

9. Поле для дополнительных опций (0x0) – В данном случае не используется (ноль).

10. Порт назначения (50) – Порт, на который пришел пакет. Порт 50 обычно соответствует IGMP.

11. Порт источника (50087) – Порт, с которого пришел пакет.

12. Метрики (0) – Дополнительная информация о трафике или состояние пакета (в данном случае также не используется).

13. Флаги (DF) – Указывает на установку флага "Don’t Fragment" (не фрагментировать) для пакета.

14. Протокол (47) – Идентифицирует протокол на более высоком уровне (в данном случае это GRE).

15. Длина заголовка (1090) – Общая длина заголовка пакета.

16. IP-адрес источника (59.127.81.214) – IP-адрес, с которого пришел пакет, в вашем случае это адрес, подозреваемый в атаке.

17. IP-адрес назначения (192.168.2.11) – Локальный IP-адрес вашего устройства, к которому направлен пакет.

18. Дополнительная информация (datalength=1070) – Указывает на длину данных в пакете; в данном случае 1070 байтов.

Рекомендации:

1. Блокировка IP-адреса: Рассмотрите возможность добавления IP-адреса 59.127.81.214 в список блокируемых адресов на вашем pfSense для предотвращения дальнейших попыток атаки.

2. Мониторинг системы: Убедитесь, что у вас включен мониторинг трафика и ведение журналов, чтобы отслеживать подозрительный трафик.

3. Обновление системы: Важно следить за обновлениями pfSense и других компонентов вашего сетевого оборудования, чтобы защититься от известных уязвимостей, таких как CVE-2022-20946.

Заключение:

Для более глубокого понимания и анализа записей в логах pfSense, рекомендуется обращаться к официальной документации и сообществу пользователей pfSense, которые могут предоставить дополнительную информацию и советы по вашему вопросу. Надеюсь, это поможет вам лучше понять ваши логи и предпринять необходимые меры безопасности.