Sicherheitsinformation zu Ihrem Internetanschluss

Es gibt 17 Antworten in diesem Thema, welches 5.062 mal aufgerufen wurde. Der letzte Beitrag () ist von Naichbindas.

    Moin


    Ich wollte euch mal drann teilhaben lassen. Vlt hat schon jemand das gleiche Problem, bzw. dieselbige Situation gehabt.


    Heute kam die Email von Vodafone Sicherheit mit folgendem Inhalt:

    Zur Information, alles was da in Frage kommen würde wurde darauf hin überprüft und nix derartiges wurde festgestellt.

    Also alle Endgeräte und alles Netzwerke sowie Firewall auf der UDM wurden überprüft.

    Das einzige was ich tatsächlich habe ist die Fritzbox im Briddgemode, nichts ist aber dort freigegeben als Exposed Host oder aktiviert.

    Vlt. liegt ja da trotzdem der Hase begraben. Weil ich eine gekaufte Fritzbox nutze an dem Anschluss.

    Denn die beschreiben ja als Ursache das es die Fritte als "Exposed Host" sein könnte.


    Nichts zu trotz habe ich mir den Bericht angeschaut und selber auch getestet und folgendes kahm dabei heraus.

    Code
    ip address: 31.xxx.xxx.xxx
asn: 31334
port: 32414


    32414
    closed, incoming traffic denied


    Dieser Port umden es hier geht ist ein Plex Port, der aber hier garnicht benutzt wird. Weder in meiner Synolgy noch im meinem System.

    Komme ich also wieder zum in der Email erwähnten Problem. Wo die Fritzbox als Problem gelten soll.

    Es gibt hier bestimmt einige wenige die das so eingerichtet haben mögen. Damit ihre UDM oder USG Internet haben, das sie dann einen Sicherheitsproblem erliegen könnten.

    MFG


    PS: Nachtrag. Ich habe auch kein UPnP aktiv.

    Mann hat es nicht leicht, aber leicht hat es einen.. :face_with_tongue:

    Einmal editiert, zuletzt von Naichbindas ()

    Zitat von Naichbindas

    Dieser Port umden es hier geht ist ein Plex Port, der aber hier garnicht benutzt wird.

    Port 32414 da klingelt es...


    Ist dem wirklich so ? Je nach Setup und dank UPNP könnte Plex auch selber Weiterleitungen in die NAT Tabelle

    Router einbauen. Zu mindestens steht Plex mit seinem DLNA und Port 32414 schon öfters in Kritik

    da er Kram vortrefflich dazu taugt relay Attacken auszuführen bei den kleine Daten Packete an den Port

    größere Datenströme zurück erzeichen die sich dank spooffing auf eine andere IP lenken lassen.

    Hallo Zusammen,


    ich kann bestätigen, dass im Zeitraum vom 12. bis 16.01.2023 unter dem Port 32414 ein SSDP-Dienst aktiv war, welcher einen Plex-Server annonciert hat.

    Am 17.01. (um 04:17 Uhr) wurde dieser stattdessen auf Port 1024 erkannt, allerdings mit den gleichen Plex-Informationen (gleicher Plex-Instanzname) - ob der Port hier fehlerhaft gemeldet wurde, lässt sich nicht nachvollziehen.


    Diese Informationen stammen aus Meldungen des CERT-Bund und der Shadowserver Foundation, welche Netzbetreiber über das Vorhandensein von SSDP-Diensten informieren, da diese (wie von gierig und dem zitierten Text oben beschrieben) einfach für Amplification-DDoS-Attacken ausgenutzt werden können. SSDP ist besonders beliebt, da hierbei hohe Verstärkungsgrade erreicht werden können (kleine Anfrage -> große Antwort) - im vorliegenden Fall mit einem Verstärkungsfaktor von >300.


    Da seit dem 17.01. keine weiteren Meldungen eingegangen sind, ist der Fall wohl erledigt.

    Danke, dass Du das Netz ein wenig sicherer gemacht hast!


    Mit freundlichen Grüßen,

    Felix

    Zitat von FelixE-VF

    ich kann bestätigen, dass im Zeitraum vom 12. bis 16.01.2023 unter dem Port 32414 ein SSDP-Dienst aktiv war, welcher einen Plex-Server annonciert hat.

    Bei dir ? den Unbekannten TO ? oder bei Mir ?

    Zitat von FelixE-VF

    Diese Informationen stammen aus Meldungen des CERT-Bund und der Shadowserver Foundation, welche Netzbetreiber über das Vorhandensein von SSDP-Diensten informieren,

    Nummern ? Grade das Cert des Bundes hat IMMER ein ID..

    Zitat von gierig

    Bei dir ? den Unbekannten TO ? oder bei Mir ?

    Beim originalen Poster (Naichbindas) - wir haben den Vorgang per Direktnachricht geklärt.


    Zitat von gierig

    Nummern ? Grade das Cert des Bundes hat IMMER ein ID..

    Ich bin mir nicht ganz sicher, was für Nummern du meinst - wenn du von der Ticket/Vorgangsnummer des CERT-Bund sprichst, sehe ich keinen Grund warum diese online geteilt werden sollte. Diese Vorgangsnummern sind auch üblicherweise nicht relevant für den betroffenen Kunden/die betroffene Kundin.

    Zitat von gierig

    Das dann aber ein Support Mitarbeitet sich hier anmeldet um was dazu zusagen ist aber dann aber

    auch eher seltsam oder ?

    Das kann man wohl so sagen :smiling_face: Natürlich ist dies kein offizieller Supportkanal, aber wenn ich dann mal privat über ein Thema stolpere, bei dem ich helfen kann... Außerdem arbeite ich in dem Team, was diese Benachrichtigungen versendet und habe natürlich ein großes Interesse daran, dass unsere Kunden ihr Problem lösen können.

    Hallo zusammen,

    ich habe seit einer Woche die gleiche Mittelung von Vodafone bekommen.

    Meine Konfiguration ist die gleiche wie von Naichbindas Original Fritz!Box von Unitymedia im Bridgemode auf Port 2.

    Kein Exposed Host aktiviert.


    Sicherheitsinformation zu Ihrem Internetanschluss


    Im Bericht steht folgendes:


    Offener SSDP Service

    Code
    ip address: 176.xxx.xxx.xxx source_port: 1900 TransportProtocol: udp

    Wenn ich den vom BSI vorgeschlagenen Test mit tcdump von extern durchführe wird kein offener Port angezeigt. Die Sicherheitsmeldung kommen trotzdem täglich. Macht mich etwas nervös. Hat jemand schon mal ein solches SSDP service Problem gehabt ?

    Gruß aqua

    Zitat von gierig

    Nummern ? Grade das Cert des Bundes hat IMMER ein ID..

    Habe zwar auch keine Nummer gefunden, aber dafür das hier:

    CERT-Bund-Reports
    www.bsi.bund.de


    Und unten noch weitere interessante Links, z.B.

    Offene Ubiquiti-Device-Discovery-Dienste
    www.bsi.bund.de

    Ja ich habe einen wiregate vpn auf einer VM laufen mit entsprechender Portweiterleitung aber das ist ein Port mit einer 54XXX Nummer und nicht 1900 wie in dem Report genannt. Der VPN läuft auch schon 2-3 Jahre aber die Meldung kommt seit ca.3 Wochen.

    razor , den CERT Bund Test habe ich gemacht ohne einen offenen Port zu finden. ich versuche morgen vom Büro aus (extern) mal den ubiquiti device discovery Dienst.

    Einmal editiert, zuletzt von razor () aus folgendem Grund: Ein Beitrag von aqua mit diesem Beitrag zusammengefügt.

    LAN 2 ist im Bridge Mode. An Lan 4 hängt die Telefonanlage. Diese hat aber eine andere WAN Adresse. Die Meldung bezieht sich auf der gebridgten UDM Wan Adresse. Exposed host ist nicht aktiv.

    Ich verstehe das, aber trotzdem kann auch unabhängig auf der Fritzbox noch was aktiv sein eine Portfreigabe oder sonst was. Das hatt nix mit dem Portfreigaben in der der UDM und so zu tun. Deshalb frage ich, damit wir vlt. bei dir den Fehler finden können.

    Mann hat es nicht leicht, aber leicht hat es einen.. :face_with_tongue:

    Ok habe noch mal auf der Fritz Box nachgesehen. Unter Freigaben sind keine Portfreigaben eingetragen und selbständige Portfreigaben sind deaktiviert. So wie ich das versteh läuft die Fritz!Box in einem anderen Netz. So komme ich ja auch vom meinem LAN auf die Box mit einem FRITZ VPN ist völlig isoliert vom IP Bereich der UDM.

    Ich habe hier im UDM Lan aber ziemlich viel IoT und Zeugs am laufen. Ca. 50 Adressen habe schon mal teilweise Geräte vom Netz genommen um einzukreisen wer der Übertäter ist. Seit zwei Tagen kam jetzt auch keine Meldung mehr. Eventuell ist das auch immer nur temporär. Was es nicht wirklich erleichtert. Aber eventuell Kann FelixE rausfinden welcher Dienst die Meldung generiert.

    Einmal editiert, zuletzt von razor () aus folgendem Grund: Ein Beitrag von aqua mit diesem Beitrag zusammengefügt.

    Ah Ok das ist schonmal gut das du solche Geräte in einem gesonderten Netz hast. Die Dinger telefonieren gern nach Hause und von Absicherrung dieser Geräte garnicht erst zu sprechen.

    Sonst schau noch mal deine Firewalleinstellungen auf der UDM durch ob das alles so richtig ist wie du das brauchst, damit IOT Wirklich isoliert ist.

    Mann hat es nicht leicht, aber leicht hat es einen.. :face_with_tongue: