UDP Port 19:
Das ist prinzipiell ein "Character Generator" (
https://tools.ietf.org/html/rfc864) und wird zur Fehlerbehebung in TCP/IP Stacks verwendet. Prinzipiell generiert man damit mit einer hohen Rate zufällige Zeichen.
Bei einem Angriff versuchen Angreifer den Port auf den echo port (
https://tools.ietf.org/html/rfc862) durchzuschleifen um damit einen DOS zu bewirken.
Prinzipiell sollte das die in deinem Router integrierte Firewall aber einfach verwerfen und du musst dir darüber keine Sorgen machen. Ich denke dabei handelt es sich einfach um einen "wild gewordenen Server" der jetzt munter versucht Angriffe durchzuführen.
Die IP in deinem Log gehört laut Whois.net dieser Person:
[Redirected to whois.ripe.net:43]
[Querying whois.ripe.net]
[whois.ripe.net]
% This is the RIPE Database query service.
% The objects are in RPSL format.
%
% The RIPE Database is subject to Terms and Conditions.
% See
http://www.ripe.net/db/support/db-terms-conditions.pdf
% Note: this output has been filtered.
% To receive output for a database update, use the "-B" flag.
% Information related to '109.200.206.0 - 109.200.206.255'
inetnum: 109.200.206.0 - 109.200.206.255
netname: HostHatch-Inc-NL
remarks: Please contact
[email protected] for any issues
descr: HostHatch Inc
country: NL
admin-c: KC1600-RIPE
tech-c: KC1600-RIPE
status: ASSIGNED PA
mnt-by: AS49544-MNT
source: RIPE # Filtered
person: Kelvin Choy
address: HostHatch Inc
address: 1609 N. Tampa St. Tampa, Florida 33602
address: United States
phone: +18133733050
nic-hdl: KC1600-RIPE
mnt-by: AS49544-MNT
source: RIPE # Filtered
abuse-mailbox:
[email protected]
% Information related to '109.200.192.0/20AS49544'
route: 109.200.192.0/20
descr: Interactive 3D
origin: AS49544
mnt-by: MNT-I3D
source: RIPE # Filtered
% This query was served by the RIPE Database Query Service version 1.19.9 (WHOIS4)
Eventuell könntest du eine Abuse mail mit den Logs senden damit die Person bzw der Hoster sich darum kümmern kann.
RIP:
Die zweite Meldung ist über ein Packet des Routing Information Protocols RIP (
https://tools.ietf.org/html/rfc2453). RIP wird dazu verwendet um Routingtabellen von Routern automatisch zu erstellen.
RIP kann "gespoofed" werden in dem gefälsche RIP packete erstellt und an die gateaways gesendet werden um ihre Routen zu verändern und damit das routing im Netzwerk zu verändern.
Auch das sollte deine Firewall prinzipiell einfach wegfiltern können. Auch hier geht der Angriff denke ich mal wieder von einem wildgewordenen Server aus und du könntest eine Abusemail verfassen.