作者duck0515 (SULIN)
看板AntiVirus
標題[問題] 裝公司的賽門鐵克後 常跑出這個訊息...?
時間Wed Jun 13 00:32:33 2012
最早是用買的時候送的趨勢一年
後來到期砍掉換M$的MSE
中間都一切安好
前陣子開始上班 公司規定要裝企業版賽門鐵克
然後平常用電腦偶爾會跑出這個訊息
http://imgur.com/9Fql3
想請問各位代表甚麼意思?
我被攻擊了嗎??
另外
我看了流量日誌
有很多像這樣的內容
12755 2012/6/9 下午 04:41:38 已攔截 15 內送
UDP 219.75.74.137 03-00-20-00-02-00 13281 118.166.238.15 00-00-02-00-00-00 6699 Commander Commander-PC
預設 3 2012/6/9 下午 04:40:37 2012/6/9 下午 04:40:37 攔截所有其他 IP 流量並記
錄
12756 2012/6/9 下午 04:42:09 已攔截 15 內送
TCP 111.243.129.171 03-00-20-00-02-00 2664 118.166.238.15 00-00-02-00-00-00 15339 Commander Commander-PC
預設 3 2012/6/9 下午 04:41:07 2012/6/9 下午 04:41:12 攔截所有其他 IP 流量並記
錄
12757 2012/6/9 下午 04:42:14 已攔截 15 外寄
UDP FF02:0:0:0:0:0:1:2 33-33-00-01-00-02 547 FE80:0:0:0:911D:E95B:ABE:649F BC-AE-C5-64-DB-D1 546 Commander Commander-PC
預設 1 2012/6/9 下午 04:41:12 2012/6/9 下午 04:41:12 攔截所有其他 IP 流量並記
錄
安全日誌則是有
1 2012/6/9 上午 05:07:53 入侵預防 重要 內送
TCP 118.167.244.216 54256 N/A 118.166.238.15 135 N/A \DEVICE\HARDDISKVOLUME2\WINDOWS\SYSTEM32\SVCHOST.EXE 20386 71944 OS
Attack: MS RPCSS Attack CVE-2004-0116 2 預設 1 2012/6/9 上午
05:06:52 2012/6/9 上午 05:06:52 [SID: 20386] OS Attack: MS RPCSS Attack
CVE-2004-0116 2 攻擊已攔截。 已攔截此應用程式的流量:
\DEVICE\HARDDISKVOLUME2\WINDOWS\SYSTEM32\SVCHOST.EXE
2 2012/6/9 上午 05:07:53 入侵預防 重要 內送
TCP 118.167.244.216 54256 N/A 118.166.238.15 135 N/A \DEVICE\HARDDISKVOLUME2\WINDOWS\SYSTEM32\SVCHOST.EXE 20624 71956 OS
Attack: MS RPCSS Attack CVE-2004-0116 3 預設 1 2012/6/9 上午
05:06:52 2012/6/9 上午 05:06:52 [SID: 20624] OS Attack: MS RPCSS Attack
CVE-2004-0116 3 攻擊已攔截。 已攔截此應用程式的流量:
\DEVICE\HARDDISKVOLUME2\WINDOWS\SYSTEM32\SVCHOST.EXE
3 2012/6/9 上午 05:07:53 主動回應 主要 內送 無
118.167.244.216 0 N/A 118.166.238.15 0 N/A 預設 1 2012/6/9 上午
05:06:52 2012/6/9 上午 05:06:52 用戶端會在接下來的 600 秒內 (從 2012/6/9 上午
05:06:52 至 2012/6/9 上午 05:16:52) 攔截來自 IP 位址 118.167.244.216 的流量。
4 2012/6/9 上午 05:17:55 已斷開主動回應 資訊 無 無
118.167.244.216 0 N/A 118.166.238.15 0 N/A 預設 1 2012/6/9 上午
05:16:53 2012/6/9 上午 05:16:53 解除始於 2012/6/9 上午 05:06:52 的「主動回應
」。IP 位址 118.167.244.216 的流量攔截持續時間為 600 秒。
還有一個叫竄改防護日誌的東西是csv檔
COMMANDER-PC Commander 已攔截 程序 建立 C:\PROGRAM FILES
(X86)\BUMPTOP\BUMPTOP.EXE (PID 2564) C:\Program Files (x86)\Symantec\Symantec
Endpoint Protection\12.1.1000.157.105\Bin\ccSvcHst.exe (PID 1712) C:\Program
Files (x86)\Symantec\Symantec Endpoint
Protection\12.1.1000.157.105\Bin\ccSvcHst.exe (PID 1712) 2012/6/6 上午
12:11:07
COMMANDER-PC SYSTEM 已攔截 檔案 設定屬性 C:\WINDOWS\SYSWOW64\RUNDLL32.EXE
(PID 1364) C:\PROGRAM FILES (X86)\Symantec\SYMANTEC ENDPOINT
PROTECTION\12.1.1000.157.105\Bin\Help\CLIENTHELP_SBE.CHM (PID 0) (PID
0) 2012/6/6 上午 01:33:57
抱歉 因為這些東西我真的看不太懂意思
拜託各位幫我看看我遇到的是甚麼狀況
內容太多所以只貼一小部分上來
如果有需要我可以把檔案上傳
真的 感激不盡
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 114.45.79.38
1F：推 shemale:從部分的資料看來，似乎有人在利用系統漏洞想入侵你的電腦 06/13 01:05
2F：推 SDUM:不理會沒關係的，有些防火牆喜歡這樣嚇人。 06/13 11:25
3F：→ SDUM:一般防火牆，直接安靜的阻止。 06/13 11:25
4F：推 SakeruMT:只要連外網就會遇到這種網路嗅探，不需理會 06/13 14:31
5F：→ y3k:就是幫你擋了一些危險連線 交給防火牆自行運作就好 06/13 15:15
6F：→ y3k:另外這是企業級的防火牆 進行這種警告和紀錄是必要的好嗎= = 06/13 15:16
謝謝諸位的回答
所以這樣是正常的意思 不需要擔心囉?
但是我在公司用電腦時不會出現這些訊息
都是出現在我家裡使用 連我家的網路才會有 請問這樣也屬正常嗎?
另外有點在意的是 所以我在進公司安裝賽門鐵克之前 這些攻擊如果也存在
但是都沒看到有訊息跑出來 代表之前的防毒並沒有攔下這些攻擊嗎?
再次感謝
※ 編輯: duck0515 來自: 114.45.8.91 (06/13 21:19)
7F：→ y3k:有些是內定就會不報告 有些是沒攔下來 但是前者機率略高些 06/13 21:52
8F：→ y3k:因為居家使用者需要的安全等級和企業不一樣 企業產品需要較好 06/13 21:53
9F：→ y3k:的可診斷性和中控性 06/13 21:53