juniper srx系列防火牆ip被當跳板發送smtp封包(已解決)

firewall

andy2230666 2023-12-01 09:18:01 ‧ 1521 瀏覽

分享至

各位大大大家好，
如題所示
我們公司有買一個防火牆、有接ISP，
我們對外的interface ip被當跳板不斷地對其他公司的防火牆丟smtp的封包
我們source port:50000~65535port------->destination port:25、465、587

請問該怎麼辦，換ip嗎還是要買ips服務?

bluegrass iT邦高手 1 級 ‧ 2023-12-01 10:23:22 檢舉

你SMTP SERVER沒搞驗證嗎=.=? 正常是應該驗證好了才能SEND EMAIL

登入發表討論

直播研討會

{{ item.channelVendor }} {{ item.webinarstarted }} |

直播中

4 個回答

sd3388

iT邦好手 1 級 ‧ 2023-12-01 10:02:42

有可能是你公司內部被入侵並被植後門了
如果能查看Log
先看看誰在發這些不必要的通訊服務對外

防火牆規則將trust到untrust的
沒必須要這些聯外服務的IP都關掉
你需要的不是換IP或買IPS
而是加強你防火牆管理資安的技能
要不就找SI來協助
問他為什麼買了防火牆還會有資安問題
他應該會有說法才對

防火牆不是裝飾品
是需要每天觀察log
並且進行相關調整的

回應 3
分享
檢舉

andy2230666 iT邦新手 5 級 ‧ 2023-12-01 11:50:25 檢舉

目前我們只有DMZ(192.168.10.10)--->untrust(192.168.20.20) (沒有用到trust)
我們只有接一條ISP出去
我把DMZ interface拔掉之後他還是有透過untrust interface傳封包出去
所以我們判斷是fw被當跳板。
btw 我看session log完全沒有untrust對外的ip(192.168.20.20)出現,所以我們才會判斷fw被當跳板

sd3388 iT邦好手 1 級 ‧ 2023-12-01 13:52:17 檢舉

你們的untrust不是對外的ISP喔?
要查看你 session log
關於SNAT是怎麼做的?來源是SNAT後的結果
因為會有對其他公司的防火牆丟smtp的封包
通常要查跟對方IP連線時你的Source IP來源

回頭來說：
如果真的FW被當跳板是很嚴重的事
通常表示原廠防火牆有漏洞要發新聞稿
Juniper可不是小公司
你聯絡原廠了沒有

BKY iT邦好手 1 級 ‧ 2023-12-01 14:57:18 檢舉

fw被當跳板可能性極低
你拔掉DMZ後有將fw重啟嗎（或 clear all sessions)

登入發表回應

cmwang

iT邦大師 1 級 ‧ 2023-12-02 14:02:46

FW本身被當跳板的機率應該很低(Juniper不是小公司,連這點都搞不定的話就甭混了),既然DMZ和trust都沒機器還是有outbound traffic,那比較可能是config錯誤,讓inbound traffic透過FW作SNAT出去了(也就是FW變成別人的VPN GW了),像附圖的destination如果改成any,NAT又enable的話(在此NAT是指SNAT),那destination看到的Src IP就會是FW的IP,最好先確認一下FW的config吧....