URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID1
Нить номер: 49797
[ Назад ]

Исходное сообщение
"Фильтр на вирусы"

Отправлено Сергей Петров , 26-Окт-04 16:06 
Есть небольшая сеть. Linux сервер, который дает инет и куча разных клиентов (все версии винды). Клиенты очень часто цепляют какие-то вирусы, и эти вирусы пытаются заразить компьютеры как по локалке, так и компьютеры в интеренет.

Скажите, пожалуйста, может быть есть какие-нибудь программы для linux машины, которые позволяют слушать трафик и вычленять разнличный трафик, который является действием вируса и сообщать каким-либо образом о таком трафике.

Заранее большое спасибо!


Содержание

Сообщения в этом обсуждении
"Фильтр на вирусы"
Отправлено screamer , 26-Окт-04 23:58 
>Есть небольшая сеть. Linux сервер, который дает инет и куча разных клиентов
>(все версии винды). Клиенты очень часто цепляют какие-то вирусы, и эти
>вирусы пытаются заразить компьютеры как по локалке, так и компьютеры в
>интеренет.
>
>Скажите, пожалуйста, может быть есть какие-нибудь программы для linux машины, которые позволяют
>слушать трафик и вычленять разнличный трафик, который является действием вируса и
>сообщать каким-либо образом о таком трафике.
>
>Заранее большое спасибо!


попробуйте посмотреть в сторону snort\prelude sensors
тема интересная и очень обширная


"Фильтр на вирусы"
Отправлено Сергей Петров , 27-Окт-04 01:22 
>попробуйте посмотреть в сторону snort\prelude sensors
>тема интересная и очень обширная

Ок. Попробую... Спасибо Вам большое!

Что такое Prelude - я не знаю, а вот snort вроде как это ситема обнаружения атак... Хм... Интересно.... На самом деле я просто думал, что есть уже готовые скрипты к tcpdump-у... (Ну, например, если машина за минуту обратилась на порт 135 (кажется) нескольких разных машин, то есть вроятность, что на этой машине сидит какой-нибудь вирус)

Еще раз большое спасибо! Попробую разобраться!


"Фильтр на вирусы"
Отправлено BarS , 27-Окт-04 05:46 
Все через зад, поставь антивирус на клиентов, обновляй все с одного локального места.

"Фильтр на вирусы"
Отправлено Сергей Петров , 27-Окт-04 07:58 
>Все через зад, поставь антивирус на клиентов, обновляй все с одного локального
>места.

К сожалению, но это невозможно - клиенты слишком разные, и некотоорые могут встать насмерть что они не ставят антивирур. Так что это не вариант


"Фильтр на вирусы"
Отправлено DogEater , 27-Окт-04 10:36 
>>Все через зад, поставь антивирус на клиентов, обновляй все с одного локального
>>места.
>
>К сожалению, но это невозможно - клиенты слишком разные, и некотоорые могут
>встать насмерть что они не ставят антивирур. Так что это не
>вариант

Как вариант - зарезать порты 135-139 в инет + слушать - с кого идут массовые обращения к корневым серверам DNS  того и лечить принудительно


"Фильтр на вирусы"
Отправлено Сергей Петров , 27-Окт-04 11:06 
>Как вариант - зарезать порты 135-139 в инет + слушать - с
>кого идут массовые обращения к корневым серверам DNS  того и
>лечить принудительно

Зарезать порты 135-139 - не проблема... Но вдруг кто-то из клиентов действиетльно что-то делает для него полезное в инете именно по этим портам? Слушай, а как можно слушать, "с кого идут массовые обращения к корневым серверам DNS"?

Большое спасибо за ответ!


"Фильтр на вирусы"
Отправлено Anastas , 27-Окт-04 12:51 
>Есть небольшая сеть. Linux сервер, который дает инет и куча разных клиентов
>(все версии винды). Клиенты очень часто цепляют какие-то вирусы, и эти
>вирусы пытаются заразить компьютеры как по локалке, так и компьютеры в
>интеренет.
>
>Скажите, пожалуйста, может быть есть какие-нибудь программы для linux машины, которые позволяют
>слушать трафик и вычленять разнличный трафик, который является действием вируса и
>сообщать каким-либо образом о таком трафике.
>
>Заранее большое спасибо!

Осмелюсь посоветовать, что вначале нужно составить
ПЛАН информационных потребностей и схемы информационных
потоков и сервисов (почта, броузинг, СЛУЖЕБНЫЕ отгрузки туда-сюда и пр.),
расписание и режим доступа "кучи разных клиентов" к сервисам.
Затем установить полезные для этого сервисы (даже на одну linux машину),
и потом уже "лечить трафик" будет ГОРАЗДО сподручней, а может и не понадобится ВОВСЕ :).


"Фильтр на вирусы"
Отправлено Сергей Петров , 27-Окт-04 17:48 
>Осмелюсь посоветовать, что вначале нужно составить
>ПЛАН информационных потребностей и схемы информационных
>потоков и сервисов (почта, броузинг, СЛУЖЕБНЫЕ отгрузки туда-сюда и пр.),
>расписание и режим доступа "кучи разных клиентов" к сервисам.
>Затем установить полезные для этого сервисы (даже на одну linux машину),
>и потом уже "лечить трафик" будет ГОРАЗДО сподручней, а может и не
>понадобится ВОВСЕ :).

К сожалению все что Вы написли осуществить невозможно =)
Дело в том, что это не сеть в офисе, а homelan, соответсвенно невозможно установить что и в какое время понадобиться клентам. Никаких полезных сервисов на linux сервере устанавливть не нужно - интеренет даеться через NAT. Так что, к сожалению, вопрос пока остаеться октрытым.

Спасибо большое за Ваш ответ.


"Фильтр на вирусы"
Отправлено Anastas , 27-Окт-04 18:02 
>Дело в том, что это не сеть в офисе, а homelan, соответсвенно

совсем другое дело!
в ВЫНях каждый клиент себе ставит, что может
(а кто не может, того вы за денюжку лечите :)   )
объявите эту ПОЛИТИКУ, и в чем проблема ?  одни плюсы :))

>невозможно установить что и в какое время понадобиться клентам. Никаких полезных
>сервисов на linux сервере устанавливть не нужно - интеренет даеться через

ну, думаю, squid поставить можно (а к нему антивирусы здесь обсуждались)

>NAT. Так что, к сожалению, вопрос пока остаеться октрытым.
>
>Спасибо большое за Ваш ответ.


"Фильтр на вирусы"
Отправлено Сергей Петров , 27-Окт-04 18:12 
>совсем другое дело!
>в ВЫНях каждый клиент себе ставит, что может
>(а кто не может, того вы за денюжку лечите :)  
>)
>объявите эту ПОЛИТИКУ, и в чем проблема ?  одни плюсы :))

=) Да это политика естественно существует... Но дело в том, что есть некоторые перцы, которые не толко сами себе злобные буратыны, что у них вирусы засели, но они так же и сетку заражают (а есть те, которые даже не знают, что такое вирус вообще). Вот именно из-за таких чертей было бы очень здорово, если бы сервер умел на них ругаться - тогда они были бы отключены от сети, пока эта проблема (с нашей помощью, или без) не будет решена. Так что то что я хочу - действительно нужно.

>ну, думаю, squid поставить можно (а к нему антивирусы здесь обсуждались)

Сквид естественно стоит, через него все и ходят. Но инет состоит не только из тех вещей, которые могут кешировать сквид... Что делать с остальным трафиком, который не через сквид идет?

PS А насчет антивируса для сквида - это очень интересно - не слышал о таком, попробую что-нибудь нарыть.


Спасибо большое за ответ!


"Фильтр на вирусы"
Отправлено z3f , 27-Окт-04 18:07 
Может быть все-таки проще посмотреть в сторону антируса? причем не клиентского, а именно серверного?
и проще не через нат все гонять а через сквид? тогда к сквиду и антивирус прикрутить можно...
хотя фиг его знает...
у нас все провайдеры прикручивают к серверам каким-то образом антивирусы. жалобы поступают от клиентов - но редкие.

"Фильтр на вирусы"
Отправлено Сергей Петров , 27-Окт-04 18:21 
>Может быть все-таки проще посмотреть в сторону антируса? причем не клиентского, а
>именно серверного?
>и проще не через нат все гонять а через сквид? тогда к
>сквиду и антивирус прикрутить можно...
>хотя фиг его знает...
>у нас все провайдеры прикручивают к серверам каким-то образом антивирусы. жалобы поступают
>от клиентов - но редкие.

Хм... Все через сквид гонять, к сожалению, не возможно.... Есть куча протоколов, которые сквид не поддерживат, а лишать пользователей этих вещей нельзя... Так что все-таки нужно каким-то образом отслеживать активность вирусов в сети, чтобы можно было в приказном порядке лечить те компьютеры, которые делают плохие вещи всем.

Спасибо большое за ответ!