Newsgroup: it.comp.reti.ip-admin
Titolo: [ISA]Traffico in uscita porta 25. cos'è?

Sul Isa server ho notato solo oggi che ho per tutto il mese di luglio 5Gb di
traffico in uscita al giorno sulla porta 25 che proviene da indirizzi non
interni (diversi da 
10.0.0.0/8
). Cosa può essere???
Altra cosa, quale analizzatore di log mi consigliate per isa server?
Avrei intenzione di comprare GFIDownloadSecurity come filtro antivirus,
qualcuno di voi lo ha provato?
Grazie a tutti
JNtA

 wrote in
news:bk26lj$nrhcg$
2...@ID-138700.news.uni-berlin.de
: 

...
che linea hai?
non accorgersi di 5gb/giorno di traffico (solo posta, tra l'altro), mi 
sembra un pò grossa!!
anche con una 2 mbit, l'occupazione di banda non e' proprio invisibile...
premesso che non ho ben chiaro cosa intendi per "traffico in uscita 
proveniente da indirizzi non interni", a naso, sembra tanto l'opera di 
qualche spammer che, accortosi di un errore nella cfg del tuo mail 
server, ne ha subito approfittato.
se e' effettivamente questo il caso, fa' riconfigurare il mail server...
-- 
+-------
| Paolo opg
|
| janickg ( at ) hotmail ( dot ) com
+-------

 server
No è uscito sulla porta 25 ma non ha usato il mio mail server perchè non è
attivo il servizio



Cosa intendi con "e' uscito dalla 25, ma non ha usato il mio mail server
perche' non e' attivo"??
Non mi e' molto chiara questa frase.
Non conosco isa server [per fortuna], cmq fai un netstat /a e vedi se
c'e' qualche proecsso che sta in ascolto sulla porta 25.
Oppure da un altro host fai un 
telnet ip_macchina_isa 25 (o 25/tcp non ricordo bene la sintassi
windows), se la connessione viene rifiutata bene, altrimenti
significa che c'e' un server smtp in ascolto.
ciao
Banana

 perche' non e' attivo"??
Isa server mi fa da routing e nel report mi da:
Byte in uscita | Protocollo
   5000             smtp
Sui miei server non è "AVVIATO" il server SMTP
questo significa che un pc ha inviato dalla rete interna 5GB ad un server
smtp ESTERNO alla mia rete


 smtp ESTERNO alla mia rete
Ok, ma nei log non si vede da quale ip partono le connessioni verso il
server esterno?
Cmq se hai un mailserver interno vieta il traffico in uscita alla con
porta di destinazione la 25 a tutti gli host tranne che al mailserver, 
e risolvi il problema.
Se usi un server di posta esterno alla tua rete, allora puoi concedere la
conessione solo all'ip o hostname del server esterno che usi per spedire
la posta. Tanto per restringere eventuali usi non legittimi della tua
rete. 
Ripeto, non conosco isa server, pero' se fa le funzioni di un
router firewall, avra' anche dei log, o sbaglio?
cya
Banana

 e risolvi il problema.
Ma scusa, qui secondo me non si tiene in conto una cosa... lui dice che il
traffico ESCE dalla porta 25, non entra. Il servizio SMTP è ettivo in
ricezione sulla porta 25 oppure DIRETTO alla porta 25 di un altro server,
non in uscita dalla tua porta 25...
Mi sa che quai qualcuno sta facendo un po' di confusione con i dati!
Gab

 
ho capito, sai fare copia e incolla, ma spiegare il significato? dare 
qualche dettaglio?
(e se non lo sai, scusami la franchezza, ma ti conviene lasciar fare a 
qualcuno che ne capisce più di te...)
io ho 2 possibili interpretazioni:
-traffico in ingresso sulla 2mbit che viene poi rigirato in uscita
-traffico in ingresso sull'int locale che poi viene mandato sulla 2mbit
quale?
se il traffico in uscita è originato da ip non interni, vuol dire che 
arriva dall'esterno: su questo non ci dovrebbero essere dubbi.
tranne nel caso di qualcuno dall'interno che fa il furbo (ma allora si 
ricade nel problema di cui sopra: chi?)
se arriva dall'esterno e tu non hai attivo un server smtp, può essere che 
isa sia configurato male e permetta il forwarding di pacchetti che 
dovrebbe in teoria droppare (non conosco isa e sto andando a naso...)
se è fattibile, potresti mettere policies a tempo e droppare tutto il 
treffico sulla 25 in orari non d'ufficio, loggarlo e usare i log per 
capire cosa succede...


smtp ESTERNO alla mia rete
Probabilmente è in azione un trojan tipo Jeem.
-- 
ciao, | Does a route flap if nobody is listening to it?
Marco | (Ri)scoprire fidonet: 
http://bbs.bofh.it/

 Mi sa che quai qualcuno sta facendo un po' di confusione con i dati!
Mah, non ho ancora capito bene che tipo di traffico passa per il suo
router, prima dice che c'e' del traffico poveniente da ip esterni
diretto alla porta 25.
Poi posta una roba cosi:
Byte in uscita | protocollo 
    5000            smtp  
Che non capisco che non significa nulla.
Poi dice anche che il traffico e' generato dalla rete interna verso un
smtp esterno. 
Cmq sia, l'unico modo per risolvere sto probelma e' guardare i log
(sperando che ci siano) e *CAPIRE* chi ha generato il traffico e a chi e
diretto.
Banana

 diretto alla porta 25.
Il traffico lo ha generato un pc interno.
Il pc interno che lo ha generato nel log ha un ip non privato.
Il traffico è in uscita sulla porta 25.
spero di essere stato abbastanza chiaro.
I log posso prenderli quando ritorno nella sede.

 I log posso prenderli quando ritorno nella sede.
Sarebbe meglio, al fine di capirci qualcosa!   :-)
bye G.L.
--
« E' assolutamente evidente che l'arte del cinema
 si ispira alla vita, mentre la vita si ispira alla TV »
(Woody Allen)

 Il traffico è in uscita sulla porta 25.
Ok, allora ricapitoliamo, c'e' un host interno che manda verso internet
un tot di giga al giorno usando protocollo smtp (sul report che hai
postato prima hai scritto 5 mega, ma probabilmente e' un errore).
Questo host ha un ip che NON appartiene alla LAN.
Quindi si tratta di ip spoofato.
Dubito che un host interno con ip che non appartiene al range di ip
della tua lan possa uscire su internet, attraversando il tuo proxy (mi
auguro).
Cmq sia potrebbe essere un ip spoofato, allora non potresti avere 
traffico di ritorno, quindi e' difficile che si tratti di invio di spam.
Hai la certezza che il traffico sospetto sia generato da un host interno
con ip non privato?
In piu' tu dici che questo traffico NON e' generato durante le ore di
lavoro, quindi non dovrebbe essere difficile capire quale e' l'host che
genera questa 'monnezza', di solito le workstation sono spente durante
le ore di inutilizzo, oppure le lasciate accese?
CYA
un Banana che non ha ancora delle perplessita'

 un Banana che non ha ancora delle perplessita'
ooopps, ero indeciso tra "non ha ancora delle certezze" ed "ha ancora
delle perplessita`" ed e' uscita sta frase senza senso...
bye

Magari un client di rete si è preso un bel virus e sta mandandando una
tonnellata di posta in giro...