2012 server system process Network Problemi

Merhaba,

445 CIFS yani dosya paylaşımı bir yedekleme işi çalışıyor olabilir mi? İstemcilerin yedekleri alınıyor olabilir mi? Ya da zamanlanmış tarama yapılıyor olabilir mi?

Merhaba  , 

Sunucu üzerinde bahsi geçen uygulamarın yanı sıra hangi roller yüklü olduğunu , paylaşırmısınız ? 

Network trafiği sırasında SMB paylaşımına erişimde bir sorun olup , olmadığını gözlemlediniz mi ? Bu sunucu üzerinde paylaşıma açık bir yazıcı mevcut mu ?

Trend Micro Administrator Console ,  445 Portunu uzaktan Yükleme aracılığıyla yüklerken ve istemciler, karantinaya alınan dosyaları sunucuya gönderirken kullanılır. Zamanlanmış görev yok demişsiniz ama Policy değişikliği veya istemcilerinize bir güncelleme yapıyor musunuz ? 

Küçük bir organizasyon sahipseniz CMD satırında netstat -p tcp yapıp 445 portu kullanan cihazları görüp cihazları kapatıp trafiği tekrardan izleyebilirsiniz.

Son olarak sunucunuz güncel mi ? Saldırı ihtimaline karşı , güvenlik duvarınızda 445 nolu port açık ve bu sunucuya yönlendirilmiş durumda mı ?

Merhaba,

Sunucu geçici olarak domain'e üye değil, 30 kadar client Guest olarak paylaşılan klasörden uygulama Exe'sini çalıştırıyor, Dosya Sunucusu ve IIS dışında başka bir Role yüklü değil, Sunucuda sadece SQL Server + ticari uygulamalar ve Acronis Cyber Backup ve Backup Console Yüklü (yedeklemeler durdurularak denendi)

istemci yedeklemesi gibi bir kurgu yok , Client/sunucu tarafında zamanlanmış tarama yok.

Sunucu Güncel, Dışarıdan port açık değil, SMBserver Loglarında özellikle sorun olduğu saatte kimlik doğrulama hatası görüyoruz ama bu hatayı üreten cihazı geçici kapattığımızda da sorun devam ediyor.

İlginç olan sadece bu bilgisayardan uygulama çalıştıranlara değil , Bu sunucuya hiç erişmeyen ama ağda açık durumda olan bilgisayarlara da bir trafik oluşuyor,  ekran alıntısında görünen workstation3 teknik çizim yapan bir bilgisayar ve bu sunucu ile bir bağlantısı bulunmuyor.

Bunun gibi bir program ile 14 günlük deneme sürecinde en azından bir bakın bakalım neler oluyor dosya bazında

https://www.cozumpark.com/lepide-ile-file-server-audit/

Ya da wireshark kurmanız lazım ancak sunucu da maşallah yok yok öyle bir yazmışsınız ki sadece bu bu bu var diye 🙂 örnek normalde sadece tek role olur sizde zaten pek çok role ve sorumluluk var hangisinden kaynaklı bulmak için en temel yöntem 

https://docs.microsoft.com/en-us/sysinternals/downloads/procmon

gibi bir araç ile network trafiğini yapan exe yi bulmak. Ya da sırasıyla ilgili servisleri kapatıp izlemek. Yani uğraşmak gerekli.