ISA erkennt IP-Half-Scan-Angriff von Fräsmaschine

[MiLLHouSe 15]

Hallo,

 

wir haben hier in der Firma eine Fräsmaschine über's LAN an unseren SBS angebunden, damit die Programme nicht mehr auf dem Speicher der Maschine sondern auf dem FTP-Server abgelegt werden können.

 

Die Verbindung hat bis vor kurzem auch funktioniert, doch aus irgendwelchen Gründen vermeldet mein ISA-Server jetzt, dass er einen Angriff erkannt hat und die Verbindung getrennt hat:

 

Ereignistyp: Warnung

Ereignisquelle: Microsoft-Firewall

Ereigniskategorie: Keine

Ereigniskennung: 15102

Datum: 12.02.2010

Zeit: 07:44:31

Benutzer: Nicht zutreffend

Computer: xxxxxxxxx

Beschreibung:

ISA Server hat einen IP-Half-Scan-Angriff von IP-Adresse xxx.xxx.xx.xxx festgestellt.

 

Weitere Informationen über die Hilfe- und Supportdienste erhalten Sie unter http://go.microsoft.com/fwlink/events.asp.

 

 

Leider habe ich bislang nichts gefunden, was mir weiterhelfen könnte. Hat jemand von euch eine Idee, was die Ursache sein könnte bzw. wie ich das Problem beheben kann?

 

Im ISA habe ich eine Regel angelegt, die aber nix gebracht hat:

 

Protokolle: Gesamten ausgehenden Datenverkehr

Von: Name des Computers & Intern (Computer wurde entsprechend angelegt (Name & IP-Adresse)

Nach: Name des Computers & Intern

 

 

Danke euch schonmal!

 

Alex

bearbeitet 12. Februar 2010 von MiLLHouSe

[MiLLHouSe 15]

Guten Morgen,

 

gibt's denn keinen, der irgendwie ne Idee hat, wie ich dem ISA-Server mitteilen kann, dass die Fräsmaschine ihm nichts böses will?

 

Alex

[Dr.Melzer 191]

Woher willst du wissen das sdie Fräsmaschine nichts böses will?

 

Was läuft für ein BS auf der Maschine? kann dieses infiziert sein?

[MiLLHouSe 15]

Na davon will ich doch mal ausgehen, dass die Maschine dem ISA nix böses will, zumal es bis vor einiger Zeit noch reibungslos funktioniert hat. Nur leider hat der Bediener der Maschine vergessen, mir mitzuteilen, dass der Netzwerkzugriff nicht mehr funktioniert. Somit lässt sich auch nicht mehr nachvollziehen, woran es evtl. liegt, dass der Zugriff geblockt wird.

 

Soweit ich weiß, läuft da DOS drauf. Infiziert dürfte die Maschine aber nicht sein, denn es werden keine Disketten verwendet, somit ist das Teil, bis auf den bis vor einiger Zeit funktionierenden FTP-Zugriff, ein in sich geschlossenes Teil.

[Dr.Melzer 191]

zumal es bis vor einiger Zeit noch reibungslos funktioniert hat.

 

Berühmte letzte Worte:

 

Bis gestern hat noch alles reibungslos funktioniert...