Printable View
Имеется Сервер 2003, на котором живут АктивДиректори, DHCP, DNS и прочие 1Сы. Напал на мою сеть злобный конфикер.ав, никак его извести не могу. Решил запустить на серваке утильку для чистки от конфикера (econfickerremove), вирус был найден и удален, сказал что после перезагрузки больная DLL будет переименована. После перезагрузки начались глюки...
Не работают принтеры по сети, а локально работают. Не работает DHCP. Вход в домен происходит по 3-5 минут.
Стало еще хуже, половина компов вобще перестали видеть сеть.
[size="1"][color="#666686"][B][I]Добавлено через 1 час 7 минут[/I][/B][/color][/size]
Выяснил что всю прошлую ночь сервер упорно сканировал порты.
[QUOTE=sveloga;390530]Стало еще хуже, половина компов вобще перестали видеть сеть.
[SIZE=1][COLOR=#666686][B][I]Добавлено через 1 час 7 минут[/I][/B][/COLOR][/SIZE]
Выяснил что всю прошлую ночь сервер упорно сканировал порты.[/QUOTE]
Это нормально ... лечение простое, нужно в срочном порядке:
1. ставить апдейты на сервера и рабочие станции - причем желательно все апдейты, дабы закрыть большинство "дыр"
2. Позакрывать расшаренные папки, отключить админшары
3. Отключить автозапуск
4. Всем пользователям задать длинные и корявые пароли, содержащие буквы и цифры, типа "DbhecYtGhjqltn99"
5. Массированный запуск kidokiller от ЛК на всех ПК (поможет толкьо временно, пока не сделано 1-4)
6. Установка хорошего антивируса и его обновление на всех ПК юзеров несколько раз в день
Параллельно с этим необходимо мониторить и снифферить сеть, поставить пару ловушек для детекта зараженных ПК и их первоочередного лечения.
Плюс меры общей технической защиты:
1. выход в Инет позвкрыть по максимуму на Firewall, всех пользователей запустить через проксик,порты 25/110 позакрывать всем кроме корпоративного почтаря (а иначе юзеры будут тащить всякую заразу из Инет), логи прокси изучать раз в день и за подозрительную активность наказывать
2. Истребить сотовые телефоны, сотовые и WiFi модемы. Пока они есть и применяются, то получаем прямой выход незащищенного ПК в Инет, его заражение чем-то типа Kido, который далее накроет всю сеть ... и борость так можно до бесконечности
[QUOTE=Зайцев Олег;390614]
Параллельно с этим необходимо мониторить и снифферить сеть, поставить пару ловушек для детекта зараженных ПК и их первоочередного лечения.
[/QUOTE]
Чем мониторить сеть ?
Что такое ловушки ?
И еще: у меня открыт на один комп порт для мюТоррента. Закрываю торрент, а входящие соединения на этом порту остались, я закрыл соединения, они опять повылазили. Закрыл порт, ес-но все прошло. Торрент тоже дырка в защите?
[QUOTE=sveloga;390779]Чем мониторить сеть ?
Что такое ловушки ?
И еще: у меня открыт на один комп порт для мюТоррента. Закрываю торрент, а входящие соединения на этом порту остались, я закрыл соединения, они опять повылазили. Закрыл порт, ес-но все прошло. Торрент тоже дырка в защите?[/QUOTE]
Мониторить - да чем угодно, можно любой сниффер (tcpdump, CommView ... ), можно IDS поднять типа Snort, можно свой небольшой сниффер написать (там коду то на два экрана) - путей тьма. Главная идея - мониторить трафик и искать аномалии, поведение сетевого червяка довольно характерное. При этом следует помнить, что при использвоании свитчей нельзя прослушивать весь трафик сети - только свой сегмент, следовательно необходимо или переходить из сегмента в сегмент с ноутбуком, или применять мониторинговый порт на свитче (что куда лучше), или поставить агенты на множество ПК.
Ловушка - это выделенный на растерзание компьютер, на котором или поднимается IDS (т.е. идет регистрация событий и анализ логов), таковые почти во всех современных "продвинутых" Firewall есть, или там ничего не ставится защитного, но трафик этого ПК мониторится и идет наблюдение. В качестве приманки неплохо расшарить на полный доступ несколько папок и поднять аудит того, кто и что в них пишет - поможет поймать червяков, которые раскладывают себя на доступне ресурсы.
Но в обще-то принцип простой - необходимо составить четкий план действий, и ему следовать. Причем одна из позичий плана должна состоять в создании жесткой инструкции для юзеров и доведении ее под роспись всем - иначе порядка не будет, технические меры будут конкурировать с шебутными юзерами, которые к примеру тот-же KIDO будут заносить на флешках
Чистил сервер сотней всяких приблуд и антивирусов. обновления все не встали, 21 обновление пишет что загрузка потерпела неудачу.
Отрубил всю сетку от сервера, оставил только сервак и одну рабочую станцию.
Ничего так и не изменилось.