Skjult belastning af server

Uden at kunne vide noget om det er det der er problemet, Så vil et rootkit lagt ind af en hacker sagtens kunne skjule både processer, Visning af forbrug, filer på diskene, oprettede brugere og andet.

Der er tale om en IIS med SQL, hvilket eren relativ let sag at hacke.

Er du haft sikker på at du ikke har haft besøg?
Har du prøvet at sniffe din forbindelse for at se om der kører noget trafik fra din server der ikke kan forklares?

Prøv e.v.t. at lave en ren installation på en anden maskine og se om forbruget er det samme på denne

Jeg har selv haft denne mistanke, og vil heller ikke udelukke den definitivt.
Dog har jeg forsøgt at holde den patched op så godt som muligt, dertil har jeg også fjernet nogle åbenlyse overflødige rettigheder.
Serveren er desuden placeret bag en firewall, som jeg desværre ikke har kontrollen med, og derfor heller ikke er 100% sikker på at den er restrektiv nok.

Kender du noget til hvordan jeg skulle kunne checke om der er et "rootkit" installeret?

Når først et rootkit er installeret, er men fuc... og eneste mulighed er at formatere. Rootkittet skjuler effektivt hackeren for alle de værktøjer systemet kommer med, og alle de værktøjer der installeres efterfølgende. Det er ekstremt vigtigt at man opdager ham inden rootkittet installeres.

Et host based intrution detection værktøj vil nogle gange kunne vise nogle spor, Et sådant system virker ved at tage hash værdier at filerne og så alarmere når disse filer ændres. IDS vil altså kunne fortælle dig at nogle filer er blevet ændret, men ikke hvem der har ændret dem (hvis hackeren arbejder under et rootkit)

Du kan ikke en gang geninstallere fra backup, for du ved jo ikke hvor længe han har været der.

Har du kendskab til om "Hacker Defencer v1.0.0" fra "http://hxdef.czweb.org/"
er noget som eventuelt kan bruges, eller er det endnu en bagdør man får installeret?