Cosa dura 21 secondi su Google? Analisi del modello

-2

Sono un po 'nuovo nella sicurezza IT e sto analizzando alcuni flussi.

Le uniche informazioni che ho sono: * ip dst * timestamp * porto dst * numero di fonti e flussi.

Ho notato alcuni flussi sospetti provenienti da ********* 1e100.net. I miei sospetti si basano sul fatto che ogni timestamp è separato dall'ultimo di 21 secondi esattamente, l'addr IP di destinazione è quindi diverso (ma non casuale, è spesso il precedente ip + 1)

Questo riguarda 5 o 6 flussi successivi, quindi si ferma ma torna dopo pochi minuti (nessun modello qui). Le porte di destinazione possono essere 80 o 443. Quando la porta = 80, source = 1 e flussi = 1 o 2. Quando la porta = 443, source = 1 e flussi = 2 o più.

Non ho idea di cosa possa essere e dovrei già scusarmi per il mio livello di inglese.

Grazie per il tuo aiuto!

    
posta Ezay 31.03.2015 - 16:00
fonte

1 risposta

2

Risposta breve: i flussi stanno identificando qualsiasi traffico verso qualsiasi server gestito da google su Internet.

Risposta più lunga:

Il collegamento di quack sta dicendo che ogni di proprietà di Google L'indirizzo IP si risolve nel dominio 1e100.net.

$ dig +short www.google.com
74.125.239.52
74.125.239.48
74.125.239.49
74.125.239.51
74.125.239.50
$ dig +short -x 74.125.239.52
nuq04s19-in-f20.1e100.net.

La tua domanda su che sta causando questo - con le informazioni che hai fornito può essere qualsiasi che contatti i server di google.

Quasi tutte le pagine web hanno google analytics installato, gmail, google search, google appengine, blogspot e google compute sono tutti servizi gestiti da google, e alcuni di loro sono in esecuzione software installato da chiunque (blogspot, appengine, compute) .

Dandoci 1e100.net equivale a dire ho notato qualcosa nella mia rete che contatta Internet e Internet è sospetto. Puoi aiutarmi a capire di cosa si tratta ? Non con le informazioni che hai fornito.

Se vuoi intercettarlo, disattiva 80 e amp; out in uscita 443, installa calamaro (trasparente, SSL MITM) e osserva cosa stanno effettivamente facendo i sistemi.

Un altro modo più veloce e più laborioso è quello di osservare le tue richieste DNS. Inizia a monitorare quali nomi di dominio (nomi host) i sistemi stanno chiamando e mappali agli IP che inviano la ricerca al * .1e100.net di cui sei curioso.

È DNS

but not random, its often the previous ip + 1

Ecco come i sistemi usano i risultati DNS che hanno più di un IP per il nome dell'host. Vedere la mia precedente query DNS per google.com: sono stati restituiti 5 IP e il mio sistema utilizzerà il primo, quindi il secondo, quindi il terzo, quindi .. si ottiene il punto.

    
risposta data 31.03.2015 - 16:55
fonte

Leggi altre domande sui tag