ReSQL.ru
     
powered by simpleCommunicator - 2.0.61     © 2026 Programmizd 02
Мобильная версия    Контакт    Правила    FAQ    Помощь
Целевая тема:
Создать новую тему:
Автор:
Закрыть
Цитировать
Доб. в избранное | Игнор. тему | Прикреп. тему | Пометить прочит. / непрочит. | Фильтр
Форумы / Windows [игнор отключен] [закрыт для гостей] / Найти злоумышленника....
23 сообщений из 23, страница 1 из 1
Найти злоумышленника....
    #34128314
Фотография Megazoid
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Megazoid
Участник
Доброго времени суток.

У меня ситуация :

В сети завелся какой-то умник, который меняет имя компьютера и ИП-адрес на статический, а потом меняет обратно (для доступа к Инету).
В сети работает ДХЦП.
На утро в ДНС видно что был комп с именем Компьютер1 и ИП-адресом 192.168.0.Х.
На фаерволе статистика в пару Гигабайт по етому компу.
Как мне вычислить МАК- адрес этого компа.

Если бы написать батник который таблицу ИП-адресов и МАК-адресов записывал в файл, тогда бы я запускал шедулером его и за сутки промониторил бы кто меняет.

Скажите какая команда.
Или может есть еще идеи. Я могу и грубыми методами ограничить всех, но хотелось бы найти негодяя...
...
Рейтинг: 0 / 0
14.11.2006, 18:28
| Ответить | Цитировать | Написать  
Найти злоумышленника....
    #34128354
miksoft
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
miksoft
Участник
Можно посмотреть текущий MAC-адрес компа, которому выдан конкретный ip-адрес в управлении DHCP.

Можно сделать
ping 192.168.0.1
arp -a
...
Рейтинг: 0 / 0
14.11.2006, 18:43
| Ответить | Цитировать | Написать  
Найти злоумышленника....
    #34128861
aleks2
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
aleks2
Участник
MegazoidДоброго времени суток.

У меня ситуация :

В сети завелся какой-то умник, который меняет имя компьютера и ИП-адрес на статический, а потом меняет обратно (для доступа к Инету).
В сети работает ДХЦП.
На утро в ДНС видно что был комп с именем Компьютер1 и ИП-адресом 192.168.0.Х.
На фаерволе статистика в пару Гигабайт по етому компу.
Как мне вычислить МАК- адрес этого компа.

Если бы написать батник который таблицу ИП-адресов и МАК-адресов записывал в файл, тогда бы я запускал шедулером его и за сутки промониторил бы кто меняет.

Скажите какая команда.
Или может есть еще идеи. Я могу и грубыми методами ограничить всех, но хотелось бы найти негодяя...

А ты не провоцируй людей, скотина... Сис. админ называется.
Выпускай по парольной авторизации - и все станут честными.
А искать дураков станет легше.
---------------------------
:Cycle
arp -a >>arp.log
sleep 1000
goto :Cycle
...
Рейтинг: 0 / 0
15.11.2006, 03:57
| Ответить | Цитировать | Написать  
Найти злоумышленника....
    #34128862
aleks2
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
aleks2
Участник
Ах да.. ты наверное не знаешь... MAC адрес в современных карточках/Ос-ях менять не сложнее чем IP.
...
Рейтинг: 0 / 0
15.11.2006, 03:59
| Ответить | Цитировать | Написать  
Найти злоумышленника....
    #34128868
Фотография Di_LIne
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Di_LIne
Участник
MegazoidНа утро в ДНС видно что был комп с именем Компьютер1 и ИП-адресом 192.168.0.Х.
На фаерволе статистика в пару Гигабайт по етому компу.

На фаере - запрети выход с любых IP вне диапазона ДХЦП.

зы: ДХЦП - зло от мелкомягких, имхо конечно...
...
Рейтинг: 0 / 0
15.11.2006, 04:34
| Ответить | Цитировать | Написать  
Найти злоумышленника....
    #34128916
Фотография Green2
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Green2Привилегированный пользователь
Участник
Код: plaintext
1.
2.
3.
4.
del c:\name.txt
for /L %%d in ( 1 , 1 , 255 ) do ping -n  1  -w  100   192 . 168 . 0 .%%d >> c:\name.txt && nbtstat -A  192 . 168 . 0 .%%d >> c:\name.txt
date /t >> c:\name.txt
time /t >> c:\name.txt
у меня есть такой файл и perl скрипт для его разбора где-то завалялся...
--
...
Рейтинг: 0 / 0
15.11.2006, 06:49
| Ответить | Цитировать | Написать  
Найти злоумышленника....
    #34138404
Фотография Megazoid
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Megazoid
Участник
Добрый день.
Решил не заводить новую ветку, так как вопрос остается тотже, а только методы другие...

В общем нашел я кто качает с нета по 5-8 гигабайт за сутки...
Сменил все пароли (локальные тоже).
У пользователя привилегий ни каких нету, только права пользователя домена.
Так он запускает утилиту PWLtool и смотрит пароль локального админа. Потом меняет настройки сети и как-то умудряется минуя аутентификацию на ISA 2004 качать фильмы (может с помощью дополнительного софта).

Как бороться ?
Спасибо.
_____________________
У меня контролер домена 2003,
ISA 2004.
...
Рейтинг: 0 / 0
18.11.2006, 12:36
| Ответить | Цитировать | Написать  
Найти злоумышленника....
    #34138409
Фотография mayton
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
mayton
Участник
MegazoidТак он запускает утилиту PWLtool и смотрит пароль локального админа. Потом меняет настройки сети и как-то умудряется минуя аутентификацию на ISA 2004 качать фильмы (может с помощью дополнительного софта).

Я думаю, у тебя скоро будет замечательный опыт поиска уязвимостей своей сетки.

А с этим пользователем обязательно подружись. Тебе есть чему у него поучиться.
...
Рейтинг: 0 / 0
18.11.2006, 12:46
| Ответить | Цитировать | Написать  
Найти злоумышленника....
    #34138428
Фотография Megazoid
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Megazoid
Участник
Да... уж.... скоро мне тогда со всеми дружить прийдется , когда он расскажет корешам как научился айпишники менять...
...
Рейтинг: 0 / 0
18.11.2006, 13:06
| Ответить | Цитировать | Написать  
Найти злоумышленника....
    #34138595
Фотография Anatoly Podgoretsky
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Anatoly Podgoretsky
Участник
авторКак бороться ?
Увольнять.
...
Рейтинг: 0 / 0
18.11.2006, 16:36
| Ответить | Цитировать | Написать  
Найти злоумышленника....
    #34138639
Фотография mayton
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
mayton
Участник
Anatoly Podgoretsky авторКак бороться ?
Увольнять.
А за что?

2 Мегазоид
А что нарушил пользователь "X", изменив IP-шник, и скачав что-то?

То-есть имеются ли вообще основания для его наказания?

Я почему спрашиваю... э.... в нашей организации довольно часто возникали подобные спорные ситуации. Их удалось разрулить только после того, как был детально проработан механизм включения самого пользователя в корп. сетку (заполнение бланка служебной записки на подключение, где указаны права, квоты и т.п., расписка о неразглашении, правильном использовании, акт и т.п).

Может быть стоит подойти с юридической стороны этого вопроса?

В противном случае, можно получить эскалацию конфликта со всеми вытекающими (скандалы, доносы, взаимные обвинения и.т.д)

С уважением
mayton

P.S. Не ради флейма сказал!!
...
Рейтинг: 0 / 0
18.11.2006, 17:19
| Ответить | Цитировать | Написать  
Найти злоумышленника....
    #34138650
aleks2
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
aleks2
Участник
MegazoidДобрый день.
Решил не заводить новую ветку, так как вопрос остается тотже, а только методы другие...

В общем нашел я кто качает с нета по 5-8 гигабайт за сутки...
Сменил все пароли (локальные тоже).
У пользователя привилегий ни каких нету, только права пользователя домена.
Так он запускает утилиту PWLtool и смотрит пароль локального админа. Потом меняет настройки сети и как-то умудряется минуя аутентификацию на ISA 2004 качать фильмы (может с помощью дополнительного софта).

Как бороться ?
Спасибо.
_____________________
У меня контролер домена 2003,
ISA 2004.

Увольнять канешна нужно... только администратора, а не пользователя.
-------------------------------
Этож смех
"как-то умудряется ... с помощью дополнительного софта".
"запускает утилиту PWLtool и смотрит пароль локального админа".
Не пользователь, а прям суперПользователь.
...
Рейтинг: 0 / 0
18.11.2006, 17:38
| Ответить | Цитировать | Написать  
Найти злоумышленника....
    #34138684
Фотография Anatoly Podgoretsky
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Anatoly Podgoretsky
Участник
авторА за что?

2 Мегазоид
А что нарушил пользователь "X", изменив IP-шник, и скачав что-то?
А зачем он искал и ограничивал?
Видимо есть основания, так что телегу на стол рукодителю и копию специалисту по безопасности. Иначе его действия были не понятны.
...
Рейтинг: 0 / 0
18.11.2006, 18:43
| Ответить | Цитировать | Написать  
Найти злоумышленника....
    #34139078
Guset
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Guset
Гость
Megazoid
В общем нашел я кто качает с нета по 5-8 гигабайт за сутки...
Сменил все пароли (локальные тоже).
У пользователя привилегий ни каких нету, только права пользователя домена.
Так он запускает утилиту PWLtool и смотрит пароль локального админа. Потом меняет настройки сети и как-то умудряется минуя аутентификацию на ISA 2004 качать фильмы (может с помощью дополнительного софта).


1) На контроллере домена запустить оснастку :ПОЛИТИКА БЕЗОПАСНОСТИ КОНТРОЛЛЕРА ДОМЕНА (хотя по сути можно и для организационного юнита указать)-ПАРАМЕТРЫ БеЗОПАСНОСТИ-ЛОКАЛЬНЫЕ ПОЛИТИКИ-ПАРАМЕТРЫ БЕЗОПАСНОСТИ-"ИНТЕРАКТИВНЫЙ ВХОД В СИСТЕМУ:КОЛИЧЕСТВО ПРЕДЫДУЩИХПОДКЛЮЧЕНИЙ К КЭШУ..." - указать параметр скажем =1

2) Если у вас на одном компьютере работает только один пользователь (да и не только)
можете прописать в оснастке ПОЛЬЗОВЕТЕЛИ И КОМПЬЮТЕРЫ в свойствах ПОЛЬЗОВАТЕЛЯ на вкладке УЧЕТНАЯ ЗАПИСЬ-ВХОД НА... только на указанные компьютеры и указать имя компьютера на котором сей пользователь может логиниться

3) А чтобы даже если преодолеет и это (хотя врядли) опять же задать еще политику в групповой политике - КОНФИГУРАЦИЯ КОМПЬЮТЕРА-КОНФИГУРАЦИЯ WINDOWS-ПАРАМЕТРЫ БЕЗОПАСНОСТИ-ГРУППЫ С ОГРАНИЧЕННЫМ ДОСТУПОМ - и тут указать группу АДМИНИСТРАТОРЫ и кто в нее должен входить (на том локальном компе) и тогда, кого бы локально не внесли/удалили бы в группу администраторы - политика будет удалять/добавлять в соотвествии с тем как задали вы.


Ну и конечно все эти меры прекрасно, но их надо делать в сочетании с теми административно-организационными, которые вам указали остальные участники
...
Рейтинг: 0 / 0
19.11.2006, 12:00
| Ответить | Цитировать | Написать  
Найти злоумышленника....
    #34139166
Biz©
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Biz©
Участник
MegazoidТак он запускает утилиту PWLtool и смотрит пароль локального админа. Потом меняет настройки сети и как-то умудряется минуя аутентификацию на ISA 2004 качать фильмы (может с помощью дополнительного софта).
у пользователя - Win9x ?
...
Рейтинг: 0 / 0
19.11.2006, 14:17
| Ответить | Цитировать | Написать  
Найти злоумышленника....
    #34139284
aleks2
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
aleks2
Участник
Biz© MegazoidТак он запускает утилиту PWLtool и смотрит пароль локального админа. Потом меняет настройки сети и как-то умудряется минуя аутентификацию на ISA 2004 качать фильмы (может с помощью дополнительного софта).
у пользователя - Win9x ?

Думаешь у него и ISA2004 на Win9x стоит?
-----------------
ну пользователю то простительно не знать, что проще ESC нажать вместо "запускает утилиту PWLtool и смотрит пароль локального админа"...
...
Рейтинг: 0 / 0
19.11.2006, 16:30
| Ответить | Цитировать | Написать  
Найти злоумышленника....
    #34139414
Фотография kkv
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
kkv
Участник
MegazoidУ пользователя привилегий ни каких нету, только права пользователя домена.
Так он запускает утилиту PWLtool и смотрит пароль локального админа. Потом меняет настройки сети и как-то умудряется минуя аутентификацию на ISA 2004 качать фильмы (может с помощью дополнительного софта).
Офигительно, мелкософт со всей его братией, полностью побежден. Хакеры всех стран, соединяйтесь! Ушли в небытие многолетние разработки экспертов по информационной безопасности. Как все, оказывается, просто! Чтобы узнать админский пароль, нужно всего-лишь навсего, запустить какую-то программку. Я, конечно, не сисадмин, но что-то мне подсказывает, что узнать админский пароль с помощью каких-либо программ вряд ли получится.

P.S. Может все гораздо проще? Может этоn юзер просто знает админский пароль?
P.S.S А не попробовать ли сменить пароль админа?! Кто знает, может и поможет...

С уважением, kkv
...
Рейтинг: 0 / 0
19.11.2006, 18:36
| Ответить | Цитировать | Написать  
Найти злоумышленника....
    #34139626
Biz©
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Biz©
Участник
kkv.
если вы не админ, то што вас сподвигло ваще писать што-либо в таком духе ? имхо в треде уже есть всё для понимания величины "административного вакуума" в конторе автора треда и направлений выхода из ситуации ...
...
Рейтинг: 0 / 0
19.11.2006, 23:12
| Ответить | Цитировать | Написать  
Найти злоумышленника....
    #34139787
Фотография Green2
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Green2Привилегированный пользователь
Участник
Megazoid>он запускает утилиту PWLtool и смотрит пароль локального админа.
Утилита работает на Win98, а для неё нет проблем войти под админом

Megazoid>умудряется минуя аутентификацию на ISA 2004 качать фильмы
Этот вопрос поподробнее, может он посадил вам трояна или нашел какую нибудь
дыру?

--



Posted via ActualForum NNTP Server 1.3
...
Рейтинг: 0 / 0
20.11.2006, 07:41
| Ответить | Цитировать | Написать  
Найти злоумышленника....
    #34139816
Biz©
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Biz©
Участник
Green2
Megazoid>он запускает утилиту PWLtool и смотрит пароль локального админа.
Утилита работает на Win98, а для неё нет проблем войти под админом

Megazoid>умудряется минуя аутентификацию на ISA 2004 качать фильмы
Этот вопрос поподробнее, может он посадил вам трояна или нашел какую нибудь
дыру?

када админ не знает проблематики работы в сети вин9х, то думаю подкованный узер давно уже ломанул немалое кол-во пользовательских паролей ... вплоть до пароля админа домена, например ...
это же перекликается с проблемой раздачи паролей локальных админов и удалённого администрения под аккаунтом доменного админа без подчистки профиля ...
...
Рейтинг: 0 / 0
20.11.2006, 08:16
| Ответить | Цитировать | Написать  
Найти злоумышленника....
    #34139962
вадя
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
вадя
Участник
дак тогда подключить к сети ноут с 98 окнами, с мак адресом подправленым , вместо стационарного компа и мона делать всё что угодно?
...
Рейтинг: 0 / 0
20.11.2006, 09:48
| Ответить | Цитировать | Написать  
Найти злоумышленника....
    #34145906
Фотография Megazoid
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Megazoid
Участник
Добрый день.

Спасибо всем, критику принял. Жестокая реальность...
Опыта по безопасности у меня нет.

Guestу, особое спасибо - реально помогло !!!
Уже 3-и дня как трафик не превышает 300 мегабайт, компов около 50.

mayton правильно говорит- нужно решать проблему в комплексе, нужны методы.

Административные методы уже начал разрабатывать, очень помогли документы с сайта ww.networkdoc.ru

Если кто-то знает где есть статьи по организации безопасности (например была серия статей в журнале PCWeek но найти немогу), выложите ссылку.
Спасибо.
...
Рейтинг: 0 / 0
22.11.2006, 10:52
| Ответить | Цитировать | Написать  
Найти злоумышленника....
    #34145930
Фотография Megazoid
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Megazoid
Участник
По поводу взлома паролей вот ссылка:
http://bugtraq.ru/library/security/passwords.html
Статья с описанием методов.
Внизу статьи есть рекомендации администраторам разных ОС.
...
Рейтинг: 0 / 0
22.11.2006, 10:56
| Ответить | Цитировать | Написать  
23 сообщений из 23, страница 1 из 1
Форумы / Windows [игнор отключен] [закрыт для гостей] / Найти злоумышленника....
Найденые пользователи ...
Разблокировать пользователей ...
Читали тему (0):
Читали форум (0):
Пользователи онлайн (0):
Польз. соглашение   Полит. конфиден.  
NoSQL.ru       Кролег: Проекты, Новости, Чат       РЕД ФОРУМ       Фотоальбом: Участники, Встречи
Закрыть
start [/forum/topic.php?fid=26&msg=34138639&tid=1508912]:
 0ms
get settings:
 8ms
get forum list:
 14ms
check forum access:
 3ms
check topic access:
 3ms
track hit:
 160ms
get topic data:
 7ms
get forum data:
 2ms
get page messages:
 38ms
get tp. blocked users:
 1ms
others: 272ms
total:  508ms
созд. / загр.: 508ms
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]