Архив форумов ЦИТФорума

[wyachko]

Задача: отследить возможную постороннюю активность в сети\на серверах, не устанавливая стороннего ПО на эти серверы, т.е. с удалённой машины, не проявляя СВОЕЙ активности. (домен win2003). Не подскажет ли всезнающий all оптимальное решение?

[San_dok]

[Dimasm]

если у вас управляемый коммутотор, то сделайте mirror на ещё один порт, и туда комп с любым снифером и анализатором... и наблюдайте
_________________
С уважением Dimasm

[and3008]

Дайте сперва определение подозрительной активности. После этого будем лечить.

Запуск Сапера на компе - это подозрительная активность?

[wyachko]

подозрительная активность, в данном случае, - активность с неизвестными целями, несущая риск пусть ненамеренного изменения критичных для работоспособности системы параметров. напр., в моей подсетке критично время (UTC без всяких сезонов), если перевести стрелки на час, тем более - шесть, и немедленно (скажем, за минуту-две) не исправить ошибки начнутся сбои. задача: вовремя выявлять возможные угрозы, страховаться самому, ничего не пытаясь "объяснять" челу, на котором, скажем, бухгалтерия. сеть состоит из nat подсеток, связанных vpn; у каждой подсетки свой "хозяин", задачи у подсеток разные, все хозяева имеют админ права у соседей, используются некоторые общие ресурсы.

[and3008]

Какая-то неправильная у вас позиция.
Вы бы списочек составили. Да более подробно формализовали права и обязанности. Всяко проще было бы и в плане разделения зон ответственности и в плане настройки мониторинга.

Пока из вас сквозит желание контролировать все, но это практически недостижимо, поверьте.

Надо ограничится разумно достаточным. Тогда будет все гораздо проще.

[wyachko]

спасибо за совет. с раскладами san_doc'а тоже согласен. просто хотелось найти списочек вариантов для старта. кое-что есть, а разумно достаточное определит возможное.