Snort Meldung 119:4

[timmbo]

Hi,

ich bekomme öfters diese Meldung von Snort:


snort[20836]: [119:4:1] (http_inspect) BARE BYTE UNICODE ENCODING[Priority: 3]: {TCP} 85.126.111.210:48992 -> 199.7.50.72:80
snort[20836]: [119:4:1] (http_inspect) BARE BYTE UNICODE ENCODING[Priority: 3]: {TCP} 85.126.111.210:57517 -> 199.7.52.72:80

Habe mal nachgelesen, aber das macht überhaupt keinen Sinn, denn die 85.126 IP ist meine ausgehende beim Surfen. Die 199iger IP ist eine aus USA.

Ich surfe mit openSuse 11.1 und Firefox.
Was passiert da?

Thx
Timm

[marce]

http://www.google.de/search?q=snort+BARE+BYTE+UNICODE+ENCODING&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:en-US:official&client=firefox-a
findet z.B.
http://www.snort.org/archive-3-146.html

[timmbo]

Hi,

ja das habe ich ja gelesen, aber es ist ja andersrum, der Traffic kommt ja von meiner IP.

Grüße
Timm

[403]

moins,

,host 199.7.50.72
72.50.7.199.in-addr.arpa domain name pointer OCSP.NYC3.verisign.com.


ocsp wird vom Brauser verwendet. (Online Certificate Status Protocol -) Snort hat also ein Zertifikat Status Event entdeckt ;)

[timmbo]

Hi,



Snort hat also ein Zertifikat Status Event entdeckt.

Das sagt mir nichts, was bedeutet das?
Ich vermute dass das von der Xing Seite kommt, denn die ist https.

Grüße
Timm

[marce]

die IP schon mal im Browser aufgerufen? Oder den ripe-Eintrag dazu angeschaut? Die damit verfügbaren Daten lassen zumindest diese These eher unwahrscheinlich erscheinen...

[timmbo]

Hi,

da kommt nur eine DL Aufforderung.
Was ist dann Deine Meinung dazu Marce?

Thx
Timm