Сетевые атаки? Или реакция антивируса?

[Denitornado]

Всем привет.
Ни как не пойму, что же все таки не так настроено у меня. Купил я недавно Mikrotik ROUTERBOARD 951UI-2HND. Сделал несколько правил, которые нашел на просторах инета, вроде бы сетка дома задышала и инет появился. Но на моем ПК установлен Касперский Интернет Секьюрити 2014. И после того как я настроил на маршрутизаторе сетевые правила, Каспер стал часто выдавать предупреждение "ddos syn flood attack", что такой-то такой-то ПК <ip адрес>, типа злоумышленник и его IP будет временно заблокирован! Точно сообщение не помню, но приблизительно так. И атакуются разные порты: и 40 и 1100, и 70. Причем это сообщение от антивируса может появиться в самый безобидный момент, когда к примеру, читаю статью на Яндексе, чаще всего это сообщение возникает при закачке торрентов. За час скачивания может вылезти это сообщение раз 40-50. Хотя порты в настройках торрент клиента разные прописывал и динамический тоже пробовал.
Вот у меня и пара вопросов:
1) Я правильно понимаю, что действительно мой ПК кем-то сканируется или подвергается сетевой атаке? Если так, то какие еще правила следует внести или отредактировать мои?
2) Думаю второй вопрос не связан с первым, но заметил, что периодически, не нашел пока что на это влияет, роутер может сам перезагрузиться! Или сеть отвалится и пошел минуты через 2-3 в ребут (роутер)

Прошивка самая последняя стоит.
Буду благодарен за помощь.
Спасибо!

[plin2s]

В связи с трудной экономической ситуацией, штат телепатов был расформирован. Без полного конфига советов вам никто дать не сможет.

[Denitornado]

В связи с трудной экономической ситуацией, штат телепатов был расформирован. Без полного конфига советов вам никто дать не сможет.

)) Правила скину часа через 2-3 как домой с работы доберусь. Роутер то дома. Спасибо.

[podarok66]

Ну Вы на другом ресурсе тоже самое спросили, а вот поиском воспользоваться не удосужились. А ведь там есть рецепт http://sysadmins.ru/topic409334.html
Пробуйте, думаю это антивирь параноит...

[Denitornado]

Там, да ответили про какие-то пороги и я тогда не понял как это настроить.
Пришел вот домой, залез на роутер, хочу отобразить в терминале список правил и не могу вспомнить команду. )) Подскажите плиз как вывести на экран все созданные правила, чтобы сюда их предоставить для анализа.

А вообще еще вопрос назрел, давно еще. Я так понимаю, я сижу за НАТом провайдера. Реально ли каким-то способом проверить какие у меня порты открыты снаружи и вообще что у роутера со стороны инета? 2ip.ru и т.п. сайты пишут что все у Тебя пацан закрыто! Не парься. Но я так понимаю, они сканят получается не внешний интерфейс моего роутера, а провайдерский?


P.S. Вот, кстати, поймал сейчас Касперкино предупреждение из-за чего и тема. Зашел на сайт aimp.ru и вот...

[Denitornado]

Нашел вроде как вывести список правил:

[DeniTornado@MikroTik] /ip firewall filter> print
Flags: X - disabled, I - invalid, D - dynamic
0 ;;;
chain=input action=drop connection-state=invalid log=no log-prefix=""

1 ;;;
chain=forward action=drop connection-state=invalid log=no log-prefix=""

2 ;;;
chain=input action=accept connection-state=established log=no log-prefix=""

3 ;;;
chain=forward action=accept connection-state=established log=no log-prefix=""

4 ;;;
chain=input action=accept connection-state=related log=no log-prefix=""

5 ;;;
chain=forward action=accept connection-state=related log=no log-prefix=""

6 ;;; ,
chain=input action=drop protocol=icmp src-address-list=!Administrator in-interface=bridge1-local log=no log-prefix=""

7 ;;;
chain=input action=drop in-interface=WAN log=no log-prefix=""

Оно ведь?

[Denitornado]

Сегодня каспера прям прет! Надеюсь поможете разобраться как это победить. Пока не понял


Раньше не замечал но вот порт 1500 чаще всего долбит

[Dragon_Knight]

Я что-то не понял одного. Если Вы используете роутер, значит Вы за натом, а значит никакая атака не доберётся до компа, если конечно конкретно атакуемый порт не проброшен.
Значит Вы пробросили эти порты специально. Вспоминайте, - зачем?
Вариант два, у Вас на компе уже находиться какой-то паразит, который через UPnP открывает эти порты, в таком случае такие порты будут с пометкой 'D' в "IP->Firewall->NAT".

[Denitornado]

Я что-то не понял одного. Если Вы используете роутер, значит Вы за натом, а значит никакая атака не доберётся до компа, если конечно конкретно атакуемый порт не проброшен.
Значит Вы пробросили эти порты специально. Вспоминайте, - зачем?
Вариант два, у Вас на компе уже находиться какой-то паразит, который через UPnP открывает эти порты, в таком случае такие порты будут с пометкой 'D' в "IP->Firewall->NAT".

Ну про провайдерский НАТ я может Вас немного запутал - это не основной вопрос. Да я за натом, на своем роутере настраивал НАТ по инструкции. Ни какие порты я ни куда не пробрасывал и ни чего лишнего не открывал. Посмотрите на мои правила выше. Вирусня исключается, проверял!

Если дать пояснение по своим правилам на Роутере то:
0) Заблокировать все invalid соединения на роутер
1) Заблокировать все invalid соединения в мою сеть (forward)
2) Разрешить все успешно установленные соединения на роутер
3) Разрешить все успешно установленные соединения в мою сеть (forward)
4) Разрешить все родственные соединения на роутер
5) Разрешить все родственные соединения в мою сеть (forward)
6) Запретить пинг всем кроме админа роутера
и завершающее правило
7) Запретить все остальное, что явно не разрешено.

Может чего не правильно?

[vkrum]

может вирус в домашней сети?