TRAFFIC לא ברור בשרת שלי

[oferlaor]

יש לי שרת W2003 שאני רואה שהוא עושה TRAFFIC ברשת ולא ממש ברור לי מול מי.

אני לפעמים תופס אותו עם 1M (אני רואה את זה דרך TASK MANAGER)

TCPVIEW לא מראה לי חיבורים פתוחים וגם הראוטר שלי לא רואה CIRCUITS פתוחים.

יתכן שזה נעשה דרך UDP.

אני חושש מ-ROOTKIT או משהו כזה. איך אני בודק?

סגרתי מלא SERVICES שחששתי שהם האחראיים לזה (כמו AUTOMATIC UPDATES וכו').

איך אני בודק מה ה-PROCESS שמנצל את הרשת?

[Nunatak]

תנסה את Netlimiter.

[nir11]

תתקין WIRESHARK ותעשה SNIFFING לרשת בזמן שיש את ה TRAFFIC החשוד הזה. אתה תוכל לראות מאיפה לאיפה הולכות הפקטות, וגם לאיזה פורט. זה יתן לך רמז די עבה לגבי איזה אפליקציה עושה את זה.

[geblig]

netstat לא יעזור ?

[Eyal_W]

Netlimiter הוא יופי של פתרון (אם כי אני לא סגור שהוא יעבוד על 2003 )
פתרון נוסף הוא להשתמש בכלים לש SYSINTENALS (מייקרוסופט ) TCP VIEW .

[ufffnick]

גם אני ממליץ על: http://www.wireshark.org/
גיליתי אותו כשעברתי אל מערכות הפעלה של לינוקס,
אבל יש לו גם קובץ התקנה לחלונות.

[oferlaor]

Tcpview=netstat

שניהם לדעתי לא מכסים udp

[geblig]

עופר,

Parameters
Parameters used with this command must be prefixed with a hyphen (-) rather than a slash (/).

-a : Displays all active TCP connections and the TCP and UDP ports on which the computer is listening.

[michael123]

וגם אני ממליץ על WireShark (לשעבר Ethereal)

[Shed]

עופר,

Parameters
Parameters used with this command must be prefixed with a hyphen (-) rather than a slash (/).

-a : Displays all active TCP connections and the TCP and UDP ports on which the computer is listening.

...

זה יגלה אך ורק פורטים ב0-UDP שהמחשב מאזין להם. תעבורת UDP יוצאת מהמחשב לא תיראה ב-netstat. אני יכול לשלוח את כל התוכן של הדיסק ב-UDP לשרת בסין ו-netstat לא יראה כלום.

אני לא ממליץ על wireshark, רק על ethereal .
ודרך אגב, ההמלצה שלי היא להריץ את ethereal על מחשב אחר המחובר ל-HUB (לא switch) אשר אליו יחובר גם השרת שאותו רוצים לבדוק.

[nir11]

אין צורך לחבר ל HUB, ממילא ניראה על המשרת את התקשורות בשני הכיוונים. HUB יתן לך את כל הרשת, וזה רק יעשה רעש שממילא תצטרך לפלטר אותו החוצה.
אני גם רוצה לציים שWIRESHARK עדיף בהרבה על ETHREAL

[oferlaor]

שמתי לב שאם אני סוגר את ה-SERVICE של DHCP CLIENT, ה-TRAFFIC המסתורי יורד.

וירוס?

[nir11]

המחשב הזה מקבל טרפיק ב 1M, או שולח ב 1M?

[michael123]

שמתי לב שאם אני סוגר את ה-SERVICE של DHCP CLIENT, ה-TRAFFIC המסתורי יורד.

וירוס?

...

restart מן הסתם לא עוזר?
(גם לשרת DHCP..)

[nir11]

שמתי לב שאם אני סוגר את ה-SERVICE של DHCP CLIENT, ה-TRAFFIC המסתורי יורד.

וירוס?

...

תחושת הבטן שלי אומרת לי שאולי יש לך מעגל ברשת. מעגל כזה יבוא ביטוי כיש רבה BROADCAST, וזה מה שקורה כש DHCP CLIENT עולה.
שווה לבדוק.