Bonjour,
Merci d'avance de me lire car ça m'inquiète un peu...
Voilà ma config :
-Debian 8
-Rutorrent (tuto seedbox de a à z)
-Plex
-Owncloud
-BIND
-Postfix (smpt listen)
HTTPS activé partout avec let'sencrypt et plusieurs sous-domaines eux aussi en HTTPS avec let'sencrypt.
Alors voila mon problème qui m'inquiète un peu, j'ai commencé récemment à sécuriser mon serveur j'ai donc installé et configuré :
-Portsentry
-OSSEC
-Snort (en IDS avec active response activé) + barnyard2
-Prelude (lml - correlator + manager) + Prewikka
Hier et aujourd'hui Snort à commencé à afficher des alertes HTTP_INSPECT classé en gravité low, je n'y ai pas prêté attention tous de suite. Et puis j'ai vu que systématiquement les IP source du trafic sont des serveurs situés sur la même tranche IP que le mien tous chez Online et surtout que la destination du trafic n'est pas mon serveur mais une autre adresse IP ?!? Je n'avais jamais logé de trafic ou la cible n'était pas mon serveur on dirait vraiment que du traffic HTTP transite par mon serveur.
La ou ça devient plus inquiétant c'est que toutes les adresses cible ont de très mauvaise réputation quand je les check sur internet...Ce que je ne comprend pas c'est que j'ai fait tous mes logs je ne trouve rien d'anormal et je ne trouve surtout aucune trace de ce trafic. J'ai ensuite pensé au proxy intégré à seedbox-manager que j'ai supprimé mais les logs continus...Ce qui est intéressant c'est qu'avant de le supprimer j'ai essayé le proxy pour voir si cela générait un log de snort et OUI j'ai eut exactement le même genre de log sauf que l'ip cible était celui de mon serveur et que le contenu était en clair.
-Le message d'erreur est le suivant :
http_inspect: NO CONTENT-LENGTH OR TRANSFER-ENCODING IN HTTP RESPONSE
-Le contenu :
-Le port source 80, le port cible change tous le temps du genre 60536
Je ne m'y connais pas trop en réseaux alors il y à peut être une explication très simple à ce trafic mais ça m'inquiète suffisamment pour vous demander de l'aide car je n'est pas trouvé grand chose sur google...
Merci d'avance !!
