Pour que le scanner puisse obtenir quelque chose (autre que de créer une attaque DOS), il doit recevoir les paquets. Si le scan semble provenir d'un sous-réseau attaché localement, alors il ne peut pas être n'importe où sur une route entre la source et l'origine, car il n'y a rien entre la boîte CentOS et 10.51.1.15.
Tu pourrais :
- Exécuter
tcpdump con -e l'en-tête. Cela vous indiquera l'adresse MAC de l'auteur de l'analyse.
- Faites un ping sur 10.51.1.15 à différents moments et voyez si l'entrée arp correspond aux en-têtes de la couche liaison contenus dans le tcpdump.
- Si vous avez un commutateur géré, vous pouvez vous y connecter et voir d'où viennent les trames. Cela vous indiquera la prise dans laquelle le scanner est branché. Cette méthode fonctionnera également si le scanner veut simplement inonder votre cache ARP.
Il est peu probable que le scan provienne de l'extérieur du réseau 10.51.0.0/16. Les règles typiques de pare-feu laissent tomber les paquets qui prétendent provenir d'un réseau connecté localement et qui passent par une mauvaise interface. Alors, peut-être avez-vous des règles de pare-feu atypiques ;).
Je ne suis pas sûr d'avoir bien compris votre question, mais si 10.51.1.15 est l'adresse IP de la machine CentOS, alors en dehors de l'adresse IP de la machine CentOS, il n'y a pas de problème. tcpdump -e les idées ci-dessus n'ont pas de sens. Si les paquets semblent provenir de la machine locale, alors elle a des paquets à livrer à ces adresses. Dans ce cas, vous pourriez configurer des règles iptables qui enregistrent les paquets destinés aux adresses invalides du réseau 10.51.0.0/16. Par adresses invalides, j'entends les adresses qui n'ont été attribuées à aucun hôte. Si quelque chose essaie d'y accéder, il n'a probablement aucune raison légitime de le faire. Une telle règle d'enregistrement (avec la règle de limite correspondante pour empêcher le remplissage du journal) vous indiquera l'origine d'un tel paquet -- s'il provient d'une boîte locale, ou de l'un des réseaux distants.
Si les paquets semblent provenir de la boîte CentOS elle-même, vous pouvez également jeter un coup d'œil à l'adresse suivante ps lors d'une analyse suspecte et le comparer à ps la sortie sauvegardée lorsqu'il n'y a pas eu de numérisation. Vous trouverez peut-être des réponses évidentes.
