有人能帮助我了解我的家庭网络发生了什么吗？

Question

我在 Ubuntu 22.04 中安装了 snort 2.9。从上个月开始，我在开始扫描时发现了一些奇怪的流量。我不太了解渗透测试或安全浏览，但这对我来说似乎很可疑。

>>>>此处为 PCAP 示例<<<<

Answer 1

您的网络良好，并且网络上没有“恶意流量”。

感谢您捕获的数据包（我在沙箱中打开了它），Snort 看到的所有多播流量都来自不同的来源。

• 多播 DNS 又称为 MDNS。MDNS 使用多播将 DNS 发送到网络上的所有内容，尝试找到 IP 地址 <--> 主机名请求匹配的响应，从而将主机名解析为网络中的 IP 地址。

• SSDP（简单服务发现协议）用于发现 UPnP 和其他开放端口协议，以进行简单服务发现。这会产生 UPnP 数据包噪声。假设 192.168.100.254 是您的路由器，它会主动搜索网络上的任何 UPnP 设备，以便可以执行其工作。 这需要在你的网络路由器上关闭这超出了这个问题和 Ask Ubuntu 的范围。

还有 ARP 数据包（系统如何识别请求的 IP 所在的网段上有哪些 MAC 地址）和 IPv6 路由器通告。两者都很正常。

因此，虽然没有真实的UPnP 服务发现对您的计算机造成的威胁，并且您可能认为这些 Snort 警报“不是问题”，那么如果可以的话，您应该关闭路由器上的 UPnP。如果由于您无法控制网络路由器而无法做到这一点，那么您可能需要开始微调 Snort 警报，使其针对您想要阻止的实际恶意流量类别，而不是低级信息和非问题流量。