Traffico strano sulla LAN

[Alexander_22]

Buongiorno ragazzi,
vorrei sottoporvi un problemino. Abbiamo notato in azienda che ogni tanto la connessione ad Internet cadeva e quindi abbiamo deciso di chiamare il provider dei servizi internet per chiedere spiegazioni. Dopo vari test ci hanno inviato un log dal quale si evince un traffico non indifferente sulla portante ADSL. In particolare da un pc con Vista sono aperte circa un centinaio di porte con numeri alti (del tipo 49249 ecc.) che fanno traffico e che di tanto in tanto fanno collassare il router.
Ora vi chiedo, come faccio ad avere un controllo su queste porte e a sapere cosa ci gira su? Posso in qualche modo chiudere le porte sospette? In che modo?
Grazie a tutti.

P.S. Vi allego il log del provider.

[Stev-O]

che cosa gira su 192.168.1.7 ???

un server di qualcosa per caso ???
c'e' qualche porta nattata sul router ???
c'e' qualche macchina dmz (magari proprio quella ) ??
avete ip fisso ??? dns ??? qualcosa che vi possa far rintracciare univocamente ???

[non è che quel pc per caso fa girare mulo, torrent o simile ???]

sembrerebbe un tentativo di dos...

[Alexander_22]

Originariamente inviato da Stev-O

che cosa gira su 192.168.1.7 ???
E' un server di qualcosa per caso ???

Sul pc non gira niente di che. E' un normale client. Va solo su internet.

Originariamente inviato da Stev-O

c'e' qualche porta nattata sul router ???
c'e' qualche macchina dmz (magari proprio quella ) ??
avete ip fisso ??? dns ??? qualcosa che vi possa far rintracciare univocamente ???

Che io sappia non c'è nessuna porta nattata sul router anche perchè la gestione di quest'ultimo ce l'ha il provider. Stesso dicasi per la DMZ.
Abbiamo gli indirizzi IP fissi e DNS uguali per tutti.

Originariamente inviato da Stev-O

[non è che quel pc per caso fa girare mulo, torrent o simile ???

In precedenza si, ci siamo accorti che erano installate un pò di porcherie ma ora ho disinstallato tutto.

[Stev-O]

beh ricontrolla quel pc .7

visto che il log del router fa riferimento soprattutto a lui

[Alexander_22]

Originariamente inviato da Stev-O

beh ricontrolla quel pc .7

visto che il log del router fa riferimento soprattutto a lui

E' proprio quello che vorrei fare.. Ma come lo faccio?

[makka]

Potresti provare ad installare un firewall software....
dovresti riuscire a capire quali sono gli exe che stanno provando ad uscire
in rete e su quali porte.

Non e' da escludere la presenza di qualche malware/virus.....
come protezione cosa usate ?

[as10640]

Originariamente inviato da Alexander_22

In precedenza si, ci siamo accorti che erano installate un pò di porcherie ma ora ho disinstallato tutto.

"Disinstallato" non è la soluzione giusta.... "formattato" è più indicato...

[Alexander_22]

Originariamente inviato da as10640

"Disinstallato" non è la soluzione giusta.... "formattato" è più indicato...

Dai... Disinstallando i programmi p2p rimangono ancora attivi sulla rete?

[Stev-O]

ma tu hai accesso a quel pc o no ???

e se provi a spegnerlo ???
il problema si ripresenta ???

[w-shark]

Originariamente inviato da Alexander_22

Buongiorno ragazzi,
vorrei sottoporvi un problemino. Abbiamo notato in azienda che ogni tanto la connessione ad Internet cadeva e quindi abbiamo deciso di chiamare il provider dei servizi internet per chiedere spiegazioni. Dopo vari test ci hanno inviato un log dal quale si evince un traffico non indifferente sulla portante ADSL. In particolare da un pc con Vista sono aperte circa un centinaio di porte con numeri alti (del tipo 49249 ecc.) che fanno traffico e che di tanto in tanto fanno collassare il router.
Ora vi chiedo, come faccio ad avere un controllo su queste porte e a sapere cosa ci gira su? Posso in qualche modo chiudere le porte sospette? In che modo?
Grazie a tutti.

P.S. Vi allego il log del provider.

Sembrerebbero i log di normali sessioni HTTP, POP3, SMTP, infatti le porte degli indirizzi sulla sinistra sono o 80 (HTTP) o 443 (SHTTP), 110(POP3), 995(POP3 con SSL). Le porte alte che vedi nell'IP interno dovrebbero essere quelle usate dal browser e client per la posta. Occhio, non controllato tutte le porte, dovresti controllarle tutte (quelle relativo all'indirizzo a sinistra), per scoprire i servi utilizzati.

[Stev-O]

ma secondo me ci sono i sintomi di un vairus...

[Alexander_22]

Originariamente inviato da w-shark

Sembrerebbero i log di normali sessioni HTTP, POP3, SMTP, infatti le porte degli indirizzi sulla sinistra sono o 80 (HTTP) o 443 (SHTTP), 110(POP3), 995(POP3 con SSL). Le porte alte che vedi nell'IP interno dovrebbero essere quelle usate dal browser e client per la posta. Occhio, non controllato tutte le porte, dovresti controllarle tutte (quelle relativo all'indirizzo a sinistra), per scoprire i servi utilizzati.

Io non ci capisco molto ma a me hanno detto che c'è un traffico notevole sulle porte alte tipo la 49249 - 49248 ecc. ecc.

TCP: 83.103.85.21:80 <-> 192.168.1.7:49249

out_port:60692 - pkts: out 2, in 0 - state:2 - idle:69

TCP: 83.103.85.21:80 <-> 192.168.1.7:49248

out_port:60691 - pkts: out 5, in 5 - state:7 - idle:136

Io non fidandomi vorrei verificare proprio questo. E' vero che c'è tutto sto traffico che mi manda in tilt il router?

[w-shark]

secondo me quelle che hai evidenziato solo le porte de browser. Prova a spegnere per un po' quel pc e vedere cosa succede.

[Stev-O]

ad ogni modo non dovrebbe far saltare il traffico del router

a meno che il router non si chiami hamlet o similari

[nuovoUtente86]

Originariamente inviato da Alexander_22

Dai... Disinstallando i programmi p2p rimangono ancora attivi sulla rete?

infatti una volt disinstallati che problemi danno?xkè formattare?

[as10640]

Originariamente inviato da nuovoUtente86

infatti una volt disinstallati che problemi danno?xkè formattare?

Perchè evidentemente NON erano quelli il problema, ma qualche altra porcheria/programma preinstallato....

Io consiglio sempre di partire da un sistema operativo pulito.