Store mængder indgående trafik

bufferzone (fra gammelt spørgsmål):

Jeg tvivler på her er tale om hackeraktivitet. Serveren er lukket helt ned mht. åbne porte, der er kun 3 åbne (via software firewall dog). Alle passwords er "stærke". 100% tilfældige mix af store og små bogstaver, tal og tegn.

Der er ikke oprettet nogen nye brugere, der er heller ikke blevet ændret password på nogen af brugerne. Der er ikke blevet brugt noget plads på mine diske og der kører heller ingen underlige ukendte processor på mit system. Event loggen er som sagt "clean", og den logger alt.

Yderligere skal det siges at maskinen holdes opdateret konstant. MBSA køres hver dag, og alle security updates er installeret.

Det er ikke åbne porte der definere sikkerheden, jeg har selv været med til at komprommitere en web server, der stod bag en applikations proxy firewall (den type der giver højest sikkerhed) med kun port 80 åben for indgående trafik. Det tog os 5 minutter at skaffe administrator rettigheder på serveren, hvorefter vi kunne alt. Dine 3 åbne porte er mene end rigeligt, hvis det er de rigtige porte og hvis din sikkerhed ikke er iorden, så det kan sagtens være en hacker

Okay, så lad os sige det er en hacker. Burde der så ikke netop være nogle tegn på denne hacker?

Som sagt er rettighederne de samme for filer/mapper. Det samme gælder de brugere jeg har. Passwords er de samme, og der er ikke oprettet nye brugere. Yderligere kører der ingen nye processor i forhold til normalt. Event loggen viser ingen logins som jeg ikke kender til.

Hvad skulle de indgående 26mb gå til?

Ikke hvis han har anvendt er rootkit. Har han det, vil du ikke have ret mange chancer for at se ham. Alle de processor han starter vil være skjult, alle de brugere han opretter vil være skjult, alle de biblioteker og filer han lever vil være skjult.

Det eneste du kan se er at din båndbredde bruges, men ikke af hvad, at din prosessor kraft bruges, men ikke af hvilke prosesser, at din harddisk plads optages, men ikke af hvilke biblioteker.

Eneste løsning er formatering. Du kan ikke en gang bruge din backup, da du ikke kan være sikker på hvornår han er kommet ind.

Hvis han er rigtig god, har han redigeret i dine logfiler, oglukket de huller han er kommet ind af, så andre hackere ikke kommer ind og ødelægger det for ham.

Du kunne e.v.t. placere en sniffer maskine mellem din server og internettet, og så undersøge trafikker uden for serveren, der vil du kunne opdge hvad der sker

de indgående 26 Mb er selvfølgelig hans værktøjer og andre utils der skal loades op, herunder rootkittet og andet

Et oplagt bud er netop opdateringen af maskinen - når den står og holder sig selv opdateret, kunne man sagtens forestille sig, at der der ind imellem kunne blive hentet nogle ordentligt klumper ned, hvad enten det så måtte være opdateringer til OS'et, til applikationer, eller måske bare virus-definitioner til et antivirus-program.

Hvis din firewall kan sættes til at logge forbindelser til og fra maskinen, var det måske en måde at få et hint om, til hvilke servere der er trafik - og dermed måske også hvad det er for typer trafik der er tale om?

Måske kan du evt. sende lidt dump fra en sådan log her til forum'et, så der kunne lidt konkret at forholde sig til.

Men min harddiskplads er som sagt hvad den burde være, intet underligt der. Min CPU kører også normalt, den har ikke haft problemer.

Jeg har svært ved at acceptere et svar der lyder på at jeg skal formatere maskinen.

Jeg har lige prøvet at slå den automatiske opdatering fra, det kunne godt være den, 26mb lyder bare stadig af meget. Jeg har samtidig sat logging til maksimum i firewallen.

Du skulle vel ikke tilfældigvis have en SUS server kørende som henter danske og engelske opdateringer, på den server ? Microsoft har jo lige frigivet en række nye opdateringer, og ved gårsdagens synkronisering hentede min SUS nemlig ca. 23MB nye/opdaterede updates.

Men i og med at MS jo lige har frigivet nye opdateringer og at du netop har haft automatisk opdatering slået til, så er det vel rimelig sandsynligt at det er det der har genereret de MB trafik.

Den har hentet opdateringer jo, men var det ikke igår de udkom? Jeg mener det var der de blev installeret. Jeg har som sagt lige slået den automatiske opdatering fra, og serveren får en genstarter her i aften. I løbet af i morgen vil jeg så monitorere den nøje og se hvad der sker.

Jeg har svært ved at acceptere et svar der lyder på at jeg skal formatere maskinen>

Det kan jeg godt forstå, men når du acceptere at overlade din sikkerhed på en server til en personlig firewall, kan det være eneset udvej, hvis du er blevet hacker og der er lagt et rootkit ind. Rådet med sniffer maskinen kan give dig klare indikationer på hvad der sker, da du med snifferen ser datapakkerne med deres rå indhold

Jeg ved ikke helt om vores opfattelse af en personlig firewall er den samme. Min opfattelse af en personlig firewall er noget i stil med Norton Personal Firewall, ZoneAlarm og.l. Den software firewall jeg har, det er jo en del af selve netværksprotokellen, som lukker for alt trafik på portene. Den kommer ikke op og spørger om hvisse programmer må få lov at gå på nettet, det er den ligeglad med. Men det er måske det samme?

Ang en sniffer, så har jeg ikke mulighed for at sætte en fysisk maskine op til det, desværre. Jeg kan dog installere en på serveren, men det hjælper vel ikke noget?

Jeg har lige prøvet at køre lidt stress test på min IIS, og jeg er nu ret overbevist om at mine problemer ikke er hacker relaterede.

Når jeg stresser min IIS (sender en masse requests af sted), så stiger min indgående trafik propertionelt med min udgående trafik, desværre er propertionerne noget nær 10:1. Det burde da være lige omvendt?

Følgende graf viser mit trafikforbrug for de sidste 24 timer: http://www.improve.dk/trafik.png

Ignorer udsvinget omkring kl. 22, det er udviklingsarbejde.

Min stress test foregik lige omkring kl. 12, og som i kan se, så går mængden af indgående trafik i vejret. På samme tid stiger min udgående trafik - som forventet - da der bliver foretaget en masse requests. Men hvad går den indgående trafik mon til?

Da det næppe er hacker aktivitet, så kan jeg vel godt installere en packet sniffer på selve serveren. Jeg vil prøve at få dette gjort, og se om jeg kan få noget fornuftigt ud af det.

PS. Dette billede tegner sig for flere sites jeg har kørende, og det er altså ikke kun for et enkelt site.

Så er mysteriet løst... Og det var simplere end man skulle tro. Linieudbyderen havde ved en fejl byttet om på målerne for ind og -udgående trafik, så min indgående trafik figurerede som udgående, og omvendt. Efter dette er blevet opklaret, og rettet, da passer tallene meget bedre.

På trods af hackere ikke var problemet, så takker jeg dog for hjælpen, og du får point for din indsats Bufferzone.