Snort Logs

[403]

09/06-00:58:21.263194 127.0.0.1 -> 127.0.0.1
ICMP TTL:64 TOS:0xC0 ID:52238 IpLen:20 DgmLen:85
Type:3 Code:3 DESTINATION UNREACHABLE: PORT UNREACHABLE
** ORIGINAL DATAGRAM DUMP:
127.0.0.1:57131 -> 127.0.0.1:512
UDP TTL:64 TOS:0x0 ID:0 IpLen:20 DgmLen:57 DF
Len: 29
** END OF DUMP
00 00 00 00 45 00 00 39 00 00 40 00 40 11 3C B2 ....E..9..@.@.<.
7F 00 00 01 7F 00 00 01 DF 2B 02 00 00 25 FE 38 .........+...%.8
6E 6F 62 6F 64 79 40 37 34 35 37 38 3A 2F 76 61 nobody@74578:/va
72 2F 6D 61 69 6C 2F 6E 6F 62 6F 64 79 r/mail/nobody


Wer unterhält sich da via ICMP über meinen User nobody?
Also 1. Ich habe so einen User und 2. geht Traffic auch von localhost
zu localhost, aber ich hab mal nachgeschlagen, Port 512 wird
für remote process execution verwendet.

Ich vermute mal das ist der Snort Process der grad die Logging DB
nicht findet?

edit: es ist ja udp Das wäre dann comsat :-)