|
今天发现一条防火墙报警,日志详情如下图:其中,192.168.10.110是一台办公区实际存在的客户端地址,192.168.178.1是客户端配置的首选DNS服务器,是网络运营商提供的路由器的内网地址。网络拓扑是:路由器(外网)—防火墙—客户端(办公区)。 我迅速检查源IP地址客户端对应的sysmon日志,筛选端口号是64676的日志,结果有且只有一条,日志显示的Utc time与防火墙记录的告警时间一致。因为我的sysmon中对Event ID 3的设置基本上是记录所有的网络连接:可以认为这条日志对应的就是防火墙拦截的那次连接。 与此同时,我提前开启了防火墙的抓包工具,对所有目的IP是192.168.178.1、端口是53的连接进行抓包。实际上也确实抓到一个在相同时间、相同源IP、源端口、目的IP和目的端口的包,而且这样的包也只有一个。 但是解析的域名与告警的域名不一致! 想请教大家为什么会出现这样情况?是防火墙误报了吗?还是这个隐藏的木马可以在chrome发起那个连接的同时,伪造一条同样源端口的连接,被拦截后还删除了日志? |