Windows 2000 gik ned i nat...

Har du forbindelse til internetter,
Har du en firewall installeret

Den kører med IIS.
Der er forbindelse til internettet via en router.
Ingen HW-firewall (udover router)
SW-firewall = sygate personal.

Du kan være blevet hacket eller udsat for et DOS angreb. En personlig firewall er lavet til en personlig computer (PC) og ikke en server, den giver ikke beskyttelse nok til dette.

ER din win 2000 server fuldt opdateret med alle patches og sikkerhedsupdates
Er din IIS fuldt opdateret med alle paches og updates

Alt fra windowsupdate er instaleret, samt alt fra Microsoft Baseline Security Analyzer er instaleret...

Måske er en forklaring her

http://www.faqchest.com/msdn/DCOM/dcom-01/dcom-0109/dcom01092621_30502.html

Det lyder som om nogen udefra har lagt noget ind, virus/trojan, men
der er noget her:
http://support.microsoft.com/default.aspx?scid=kb;en-us;262999
Det burde være muligt at se hvilken applikation ved hjælp af id-nummeret i AD?

Har du servicepack 3 installeret? ellers kan det være problemet

Inden nogen begynder at tale om angreb, virus og deslignende, skal vi så ikke lige have løftet sløret for hvilket porte der er åbne udefra og ind?

Er din server direkte på Internettet eller er den i et privat subnet (ex. 192.168.0.x). Hvis den er på privat subnet, hvilket porte mapper du så ind til serveren.

Det kan også siges på en anden måde: Hvilke porte/services på din servers WAN side, kan man tilgå fra Internettet?

JP

Jeg ville nok heller ikke køre en personal firewall på en server - der kan være problemer forbundet med dette. Du bør som minimum kontakte producenten og høre deres mening om anvendelsen.

Har du kørt en antivirusscan?f.x. norton
Og antitrojan scan?
Prøv Anti trojan http://www.anti-trojan.net/en/

Med antitrojan kan du se hvilke porte der er åbne og hvilke der er kendte trojanporte. Samtidig kan den scannne dine drev for antitrojanere.

Internet via router
port 80 går til en linux server, og noget af trafikken redelegeres via et proxypass til windows serveren.

ftp 20/21, mail,  går direkte til windows.

>>danyboyd
Jeg har instaleret sp3.
Prøver lige med antitrojan...

>>bufferzone & jpvj
Hvilken firewall bør jeg bruge? (ms isa måske?)

Resultat fra antitrojan:

Initializing Anti-Trojan 5.5.407

Begin of search: 04-03-2003 13:39:57

Portscan:

Port 7 open.
Port 9 open.
Port 13 open.
Port 17 open.
Port 19 open.
Port 21 open. Possible trojans. FTP-Server (possible Trojaner: Fore, Invisible FTP, FTP, WebEx, WinCrash)
Port 25 open. Possible trojans. Mail-Server (possible Trojaner: Antigen, Email Password Sender, Haebu Coceda, Shtrilitz Stealth, Terminator)
Port 42 open.
Port 53 open.
Port 80 open. Possible trojans. Webserver (possible Trojaner: Executor)
Port 135 open.
Port 139 open.
Port 443 open.
Port 445 open.
Port 1025 open.
Port 1026 open.
Port 1028 open.
Port 1034 open.
Port 1037 open.
Port 1042 open. Possible trojans. Bla1 0.1
Port 1044 open.
Port 1244 open.
Port 1400 open.
Port 3372 open.
Port 5800 open.
Port 5900 open.

Registry-Scan:

Drive-Scan:


The following drives/folders have been scanned
c:\


The following drives/folders have been scanned
d:\


The following drives/folders have been scanned
e:\

Number of scanned files: 35435

Number of found trojan files: 0

End of search: 04-03-2003 14:12:28

Finished searching.
Congratulations! No trojans have been found in your system.

Du har vel ikke installeret kasa?

kazaa?  nej port 5800 5900 er til vnc

Du bør fjerne "executor+Bla 1,01+ jvf:Port 25 open. Possible trojans. Mail-Server (possible Trojaner: Antigen, Email Password Sender, Haebu Coceda, Shtrilitz Stealth, Terminator)
Hvis du starter antitrojan igen og vælger:options - hak i alle.
under search: hak i alle og så kør for at fjerne.

Og så har du forhåbentlig sikret at brugere udefra ikke kan bruge din VNC? (password enabled)

øhh.
Den skrev ellers: Finished searching.
Congratulations! No trojans have been found in your system.

Så der er vel ikke noget at fjerne, eller er der?

VNC er naturligvis konfigureret til at bruge kode..

Det er ikke "normalt" eller bra aa kjoere med en hel skog (skov) av aapne porter paa en server som er tiknyttet internett. Win 2000 server har en innbygget firewall som er noenlunde ok. Gaa inn paa network proporties og finn fram til og aktiviser for firewall funksjonen paa Win 2000 server. Aapne saa kun for de porter som er i praktisk og fornuftig bruk. Drop personal firewall.

Porter som kan kanske kan staa aapne:
21 FTP
80 Web server
5800 VNC
5900 VNC

Bruger du serveren som webserver/ftp?
Når du kører IIS bør du checke adgangen til serveren udefra.
Kan brugere f.x. execute.    evt. stram dine adgangspermissions. og permissions til mapper.

>> dannyboyd
Ja jeg bruger maskinen til web/ftp.
Jeg har et subdome fra en linux-box, som vidre sender trafikken, til windows-serveren. Ftp derimod går til windows maskinen direkte.

>>langbein
Hvor slår jeg win2kserver's firewall til... kan ikke lige finde den?

.. men den fejl som jeg beskrev her i starten... hvad med den?
Jeg formoder at jeg ikke har en trojan, men at jeg har været udsat for et angræb af en art...?

Jeg har prøvet på MS support - uden held.
SIger dette tal dig noget? 02D4B3F1-FD88-11D1-960D-00805FC79235
Prøv at finde objektet udfra guid nr. i AD.

Nej det siger mig ikke noget...

guid nr i AD.. hvad er det?

02D4B3F1-FD88-11D1-960D-00805FC79235
Det her nummer som hører til objektet i AD

win 2000 server firewall - er i spania og serveren staar hjemme, avslaat. Det er i naerheten av der du kan sette opp ip adressem. Det finnes en aller annen knapp eller arkfane "advanced" eller noe slikt. Der kam man sette til firewall.

Fant det bare for XP men det skal vaere ganske likt hos 2000 server (Mener da aa huske det.):
http://www.microsoft.com/windowsxp/pro/using/howto/networking/icf.asp

Synes ellers feilmeldingen din kanskje kan likne paa et hacker angrep gjennom den ordinaert aapne port 80 der man forsoeker aa utnytte en eventuelt manglende patch eller sikkerhetsopdatering for IIS. Disse boer vare paa plass. Mange slike "hacking forsoek" skjer automatisert fra maskiner som selv er infisert av trojan el liknende. Har mange av dem i loggen paa min Red Hat Linux som stadig vekk blir foroekt hacket som windows 2000 server.
Feilmeldingen din tyder vel paa at det som skjedde var at din server gikk ned enten det naa eventuelt var en vellykket eller mislykket hacking (avhengig av maalseeting.)
Tror ikk feilmeldingen tyter paa at det har vaert i gang programmer paa serveren som ikke skulle vaert i gang dvs at trojaner har blitt installert.

I forhold til mange av de typiske angrep som gjelder i forhold til 2000 server / IIS saa vil en firewall ikke gi noen beskyttelse ettersom angrepene skjer gjennom port 80 som er aapen uansett. Kun oppdatering med servicepakker og patches kan hjelpe i en slik sammenheng.

Man boer selvfoelgelig bruke firewall allikevell !! Det finnes jo mange andre typer angrep ogsaa !

Jeg kan anbefale spywareblaster som kan lukke kendte trojanere ude, og kan opdateres. Desuden gratis endnu.Du kan lave en genvej til det i start, så du er sikker på det altid kører.
http://www.webattack.com/get/spywareblaster.shtml             spywareblaster

langbein> Prøv lige at forklare, hvad en firewall skal bruges til, hvis der kun er indgående traffik på bestemte porte styret af en router mellem serveren og Internettet?

Der er IKKE indbygget firewall i Windows 2000 server. Produktet fra MS hedder ISA 2000. Eneste indbyggede funktionalitet er TCP/IP filtre eller en alternativ brug af IPSec som jeg ikke vil komme ind på her.

Man kan evt. køre en HTTP URL scanner for at sikre sig imod fejl i WEB server softwaren, men hvis alle skal have adgang til WEB serveren udefra, så er det spildt arbejde.

Jeg er helt enig med dannyboyd i, at der skal lukkes for alle porte, der ikke skal bruges til noget.

For at vende tilbage til det oprindelige problem: Jeg indrømmer blankt, at jeg ikke ved hvad fejlmeddelelsen betyder, men det er der vist heller ikke andre her der gør. Jeg ser en masse "det kan være" og "måske er det dit eller dat". Jeg ville have foreslået dig at gå til support.microsoft.com - vælg at søge engelske artikler og søge på fejlen. Så kan du få noget information om hvad det betyder, og først derefter begynde at fejlsøge, men det har dannyboyd allerede gjort uden held. Følg hans anvisning og at finde objektet i AD og først herefter kan du komme videre.

JP

JP

OK jeg takker mange gange for hjælpen, og prøver mig nu frem på egen hånd :-)

Følgende sætning kom vist lidt forkert ud af mine tanker:
>Man kan evt. køre en HTTP URL scanner for at sikre sig imod fejl i WEB server softwaren, men hvis alle skal have adgang til WEB serveren udefra, så er det spildt arbejde.

Skulle nok have heddet noget i stil med
Man kan evt. køre en HTTP URL scanner for at sikre sig imod fejl i WEB server softwaren, men hvis alle skal have adgang til WEB serveren udefra, så er det spildt arbejde at have en ekstra firewall imellem WEB serveren og routeren.

Med firewall mener man vel vanligvis som grunnfunksjon "pakketfiltering" Det har Windows 2000 server.

Man kan vel også betegne en proxy med firewall funsjon for en "application level firewall". Mener at det man vanligvis legger i begreper "firewall" svarer til det samme som en "packet filtering firewall" altså den typen firewall som finnes hos windows 2000.

Mener vel også at dette står beskrevet som "firewall" i windows 2000 sin dokumentasjon (?) Står proxy servern beskrevet som "firewall" ????

(Driver selv for det meste med Linux.)

Mange interesante problemstillinger aa se litt naermere paa:

"langbein> Prøv lige at forklare, hvad en firewall skal bruges til, hvis der kun er indgående traffik på bestemte porte styret af en router mellem serveren og Internettet?"

"men hvis alle skal have adgang til WEB serveren udefra, så er det spildt arbejde at have en ekstra firewall imellem WEB serveren og routeren."

Ikke umiddelbart enig i dette. Enhver router er ikke noedvendigvis en firewall. Selv om det dreier seg om en (nat) router med innebygget fitrerings eller firewall funsjon, saa vil det allikevell vaere en god ide aa aktivisere den innebygde firewall i windows 2000.

Hvis det dreier seg om en nat router saa vil jo den som oftest enten direkt eller indirekte ha innebygget en packet filtering funksjon.

Med "direkte" saa mener jeg at det skjer en forwarding pluss en reel packet filtring der den enkelte pakke blir maalt mot visse kriteria.

Med "indirekte" saa mener jeg en nat router (altsaa en som adresserer interne ip paa lan) som forwarder bestemte porter til en server paa lan. Paa denne maaten saa skjer det indirekte en "filtrering" av alle de portene som ikke blir forwardet til lan.

Alle routere behoever vel paa den annen side ikke aa adressere tillokale adresser paa lan. Lan kan godt ogsaa varer satt opp med globale adresser og det behoever ikke aa ligge noen filtering (firewall) funcrion i en router. Mange routere er, vil jeg mene satt opp med 100 % gjennomgang av trafikk.

"hvis der kun er indgående traffik"

En god firewall boer filtrere baade inngaaende og utgaaende trafikk. Det er vel imidlertid ikke helt uvanlig at firewalls leveres default konfigurert med trafikk ut 100 % aapen ?
Firewall (funksjon for packet filtering) hos windows 2000 server (og windows xp) kan bare fitrere for inngaaende trafikk. En av de store ulempene med dette er at man ikke er i stand til aa begrense trafikk ut satt opp av trojanske hester eller spyware.

"men hvis alle skal have adgang til WEB serveren udefra, så er det spildt arbejde at have en ekstra firewall imellem WEB serveren og routeren."


Gode sikkerhetsloesninger boer innholde sikkerhetsbarierer i flere nivaaer, slik at naar man eventuelt har hacket den foerste barieren for eksempel en router med firewall saa rekker man bare fram til den neste sikkerhetsbariere som sperrer for videre angrep. Samtidig saa boer den foerste sikkerhetsbariere fortrinnsvis vaere utstyrt med en varlingsmekanisme som sier fra om at den er hacket.

"Der er IKKE indbygget firewall i Windows 2000 server. Produktet fra MS hedder ISA 2000. Eneste indbyggede funktionalitet er TCP/IP filtre"

ISA er da en proxy ??!! Denne vil vel ikke kunne brukes til noe annet enn som application firewall i forhold til arbeidstasjoner paa lan og i forbindelse med delt internettforbindelse.

ISA har vel noenlunde de samme funksjoner som Squid hos LInux ??

Man kan vel i praksis ikke bruke ISA som firewall for en web server paa dmz eller paa Lan ????????? (Mener da aa vite at man i hvert fall ikke bruker Linux og Squid paa denne maaten altsaa naermes som en "proxy server i revers" ???) Kan MS ISA server brukes paa denne maaten ???

"Eneste indbyggede funktionalitet er TCP/IP filtre"

Kan ikke MS server ogsaa filtrere udp pakker ?? (Har faktisk aldri satt opp og testet dette.) Man kunne jo eventuelt sette opp en dns server som kjoerer udp protokoll for aa teste ut. Er det ikke mulig aa filtrere trafikken inn til dns serveren (men til alle andre server funksjoner) ???

Trodde at fitreringsfunksjonen i Windows 2000 filtrerte baade tct og udp, dvs jeg tok det for gitt, men maa inroemme at jeg faktisk ikke er sikker.

jpvj -> kunne du vaere snill aa legge et par ord. Naar det gjelder sikkerhetsrelaterte problemstillinger saa er det jo slik at virkeligheten forandrer seg hele tiden slik at det som var riktig paa mandag, det er kanskje stadig riktig paa tirsdag, men ikke paa fredag. Man maa liksom hele tiden revidere sine synspunkter paa hvordan tingene egentlig er og hvordan de fungerer.

Staar ikke direkte noe om firewall, men allikevell interessant artikkel synes jeg:
http://www.microsoft.com/windowsserver2003/techinfo/overview/security.mspx

Min sammenlikning med Suid ser faktisk ikke ut til aa vaere 100 % rett:

"ISA Server provides two tightly integrated modes—a multilayer firewall and a high-performance Web cache server."

http://www.microsoft.com/isaserver/evaluation/productguide.asp

ISA har foruten cacing funksjonen tydeligvis ogsaa en fitering og routing module med blandt annet statefull inspection.

Maa tilstaa at jeg ikke var klar over dette.

Implementeringen av firewalling funksjonene synes aa vaere noe forskjellig fra Linux. Der Linux har sin firewalling og sin routing funksjon inklusive statefull inspection innbygget i sin kernel, saa levere altsaa Microsoft dette som tillegsmoduler utenfor kernel .. Intersant !!

Naar det gjelder problemstillingen om hvorvidt MS server har innebygget "firewall" eller ikke, saa mener jeg det stadig vekk vil vaere riktig aa si at den har det i forhold til de firewalling funksjoner som vil vaere aktuelle og viktige i forhold til en typisk web / ftp server.

Den primaere sikkerhetsfunsjonen vil her vaere ren paket filtering og det finnes vel (om en usikkert med hensyn til udp)

Statefull inspection vil vel for eksempel ikke vaere blandt de aller mest sentrale funsjonene for beskyttelse av en server, med mindre man oensker aa sette opp filtrering av trafikken ut ??

Catching og routing funsjoner i ISA som staar nevnt har vel heller ingen betydning i forhold til det aa sette opp en firewalling paa en web server ?? (Med mindre serveren da staar bake en slik "ISA router".

Konlusjon: I forhold til de mest sentrale firewalling funsjonene som vil vaere aktuelle for aa beskytte en webserver saa har windows 2000 innebygget en firewall. De fleste funkjoner som ingaar i MS ISA server vil i denne sammenheng vaere uten betydning. (Med mindre trafikken foest paserer gjennom en annen maskin som har MS ISA server installert.)

Og elles: .. de samme funsjoner som ivaretas av MS 2000 server og ISA til sammen kan ivaretas av Linux som er gratis, kun med den forskjell at firewall og routing funksjonen hos Linux er intgrert tett inn i kernel mens web cachinf funsjonen (Squid og Socs) ligger "utenfor". Hos Microsoft saa ligger det hele "utenfor".

Et lite spoersmaal:

Hos Linux saa kan man sette opp separate firewall rules for den trafikk som gaar inn til de interne prosesser som kjoerer inne i selve firewall maskinen og den trafikk som kjoerer til lan og dmz.

Kan man filtrerre trafikken hver for seg paa denne maaten hoss MS ISA server ??

(Det kunne man rent umiddelbart ikke i de tidligere versjoner av Linux ved anvendlese av de grunfunksjoner som er bygget inn i kernel. Fra Linux kernel 2.4.x saa kan man det.)

Du skulle skrive en bog Langbein, på dansk

dannyboyd ->

He, he, det er vanskelig nok som det er !! :-)

Haaper paa et par synspunkter, for jeg forsoeker jo aa oppdatere meg hele veien. Det er et problem synes jeg at som har grie paa Linux og Unix ofte ikke vet saa mye om M$

Connor -> Apropos det opprinnelige spoersmaal:

En type angrep som har vaert litt populaere i det siste og som har vaert rettet mot M$ IIS det er ved hjelp av url'er som inneholder systemkald og parametre til deler i operativssytemet som ikke skulle vaere tilgjengelige men som paa grunn av sikkerhetshull alikevell er tilgjengelige.

Altsaa man lager en url / link av denne typen:

http://www.eksempeldoneme.dk/<sti til programvare + parametre>

Kan ikke se noe ved din feilmelding som sier eksakt hvorfor din server gikk ned. Det kunne ha vaert en slik "port 80 sak" basert paa url eller det kunne vaere noe helt annet.

Noe av grunnen til at jeg kom tenke paa url varianten er at jeg stadig vekk finner slike "IIS port 80 attack" i loggen paa min Linux server. En del av disse angrepene skjer som automatiserte angrep fra infiserte maskiner.

"Noe av grunnen til at jeg kom tenke paa url varianten er at jeg stadig vekk finner slike "IIS port 80 attack" i loggen paa min Linux server. En del av disse angrepene skjer som automatiserte angrep fra infiserte maskiner."
->Langbein . Lyder som om hackere bruger inficerede maskiner til at distribuere virus på internnettet til andre webservere. Og hvis det kan lade sig gøre ved hjælp af url, så skal sikkerheden selvfølgeluig være HØJ her.
Har du  prøvet spywareblaster som jeg anbefalede?eller hvad bruger du så?

Jo det kan la seg gjoere ved hjelp av url og det eneste middel her blir jo service paches og opdateringer for programvaren ettersom firewalls ikke hjelper (for denne typen angrep.)

Kjoerer sjekk paa Windows maskinene med lavasoft av og til:
http://www.lavasoftusa.com/
Og for "vanlig" virus
http://housecall.trendmicro.com/

og opdateringer for programvaren viktige ..

Portscanner fra egen extern linux server vha nmap

Ok det må jeg prøve angang når jeg installerer redhat 8.0

http://www.agnitum.com/