Архив форумов ЦИТФорума

[Nicola]

Проблем такой:
В домен кто-то долбится, не могу понять кто.
Это видно в логах безопастности.
Т.е. правильный пользователь, с правильного рабочего места вводит постоянно неправильный пароль и логин. Когда переполняются неправильные попытки запись блокируется. Я подумал криворукие юзера, а потом смотрю, мама моя родная! А долбежь идет чуть ли не какждые 0,2 секунды. Создается полное впечатление что активность создает юзер, но по времени так пароли не вводят. Да и доступа к этой машине нет вроде сторонним лицам.
Это было описание, а теперь, ВНИМАНИЕ ВОПРОС шучу КВН пересмотрел.
Какую прогу взять чтоб было можно увидеть все это только с более точной информацией. Желательно с IP и MAC адресом.

Вы пока подумайте, а я пойду поточу свой эскалибур, почищу свой кольт, и замочу розги.

Очень надо, плиз хелп!!!!!!!!!!!!!!!!!!

[Nicola]

А и еще, WIN2000 Asrv Актив деректори поднята.

[Nicola]

Хотя везде вроде д.р. веб стоит так что я думаю кто долбит тот знает что делает. На вирусню не похоже, т.к. выбраны специфические пароли доступа даже не админские, но имеющие некоторую интересную для кого-то там инфу.

[cerber]

Возможно я ошибаюсь но вроде файрволл показывает подобную инфу

[ALEX_SE]

Сетевой монитор тебе в помощь.

Не поможет - сниффер

Доктор веб тут не при чем - он не файрвол...

Еще, проверь не зашел ли юзер локально а не в домен. Если зашел локально, под учетной записью которая есть в домене но с другим паролем то такая фигня и будет.

Пример:
Есть юзер Администратор в домене с паролем 12345.
Есть комп КОМП который является членом домена и на нем Win2k.
Есть юзер Администратор на этом компе, с паролем 54321.
Так вот, если при входе выбрать вход на в домен а в "этот компьютер", и войти под логином Администратор с паролем 54321 то в логах сервера такая фигня и будет. Ты поимеешь кучу чередующихся мессаг типа неудачный вход, и ошибки проверки подлинности.

[and3008]

Неужели в логах не отражается с какой рабочей станции это происходит?
Полный текст из Event Log дай.

[LAmobot]

FireWall поставь да логи его смотри там IP каждого компа который к тебе конектится будет. советую OutPost

[Nicola]