Windows 2003 server da winlogon ve csrss işlemciyi yoruyor..

Merhaba

Bu anormal bir durum değil

http://www.ultimatewindowssecurity.com/securitylog/encyclopedia/event.aspx?eventid=515

Virüs yok diyorsunuz, bu istemci tarafında mı yok terminal server mı ? istemci tarafınıda kontrol etmelisiniz.

Merhaba;

Cevabınız için teşekkürler..

Fakat bu yeni olmaya başladı serverda.. Bu ileti event viewer da altalta onlar olmaya başlıyor. Bu durumda winlogon.exe 3-4 adete kadar çıkıp tekrar normale dönüyor. Csrss.exe de öyle.. Bu bir müddet devam ediyor. İşlemci %40-50 lerde geziyor. Sonra herşey normale dönüyor. Bu süre zarfında task manager da users bölümünde session sayısı 3-4 binlere fırlıyor.. Acaba diyorum atak mı oluyor?  

Saygılarımla;

Adem ARSLAN 

bu arada bu sorunu remote desktop ile bağlanarak görüyorum.. Sunucunun yanında değilim

User bölümünde hangi userların logon olduğunu görebilirsiniz sunucuya, peki 3000 kişi kim ? yani kullanıcı isimlerini göremiyormusunuz ?

İşte işin ilginç yanı bu.. Bakıyorum sadece ben varım. Başka bir kullanıcı yok. Ama RDP-TCP yanındaki sayaç kendiliğinden artmış oluyor. Aklıma atak ve donanımsal bir sorun dışında birşey gelmiyor. Sizce nedir?

Saygılarımla;

Adem ARSLAN 

Kaç kullanıcı bu sistemi kullanıyor ?

remote desktop ile bağlanan sadece benim.. Tek yetki bende.. Sistem üzerinde mail ve web host var sadece. Onların sayısı da 100 civarı. Ama dediğim gibi admin, remote desktop sadece benim yetkimde..

Saygılarımla,

ADEM ARSLAN 

tahminimce bir virüs var ve bu virüs aktif oluyor ve anti virüs programınız siliyor. sürekli bu işlem gerçekleşiyor diye düşünüyorum. lanet olası bir autorun virüsü olabilir 

Virüs olduğunu zannetmiyorum. Çünkü sistemi tarattım. 

serverda olmaya bilir ama terminallerin birisinden geliyo ağdan büyük ihtimalle bağlı olan bilgisayarların ağ bağlantılarını keserek gözlemledinizmi acaba.?

Dediğim gibi bu şekilde networkten, ağdan bağlandığı bir bilgisayar yok. Ağdan gelebilecek bir sıkıntı olma ihtimali çok uzak geliyor.

bu bilgiler ile çözmek çok zor çünkü bu bir mail server ve hosting makinesi, üzerinde kaç domain var ? Bu session lar normal iis sessionları olabilir , ftp olabilir , mail server olabilir yani hosting makinelerindeki dar boğazları çözmek uzmanlık ister ve bunu da her bir kullandığınız ürünü izleyerek yapabilirsiniz, o sırada bir web sitesi atak alıyordur, yoğunluk vardır vs yani bu şekilde forumdan bunu çözmeniz çok zor.

tavsiyem PAL ile sistemi bir taratın bakalım neler çıkacak ve bu cpu kullanımı sırasında process explorer ile takip edin bakalım bu exe ler nerelerde çalışıyor.

Teşekkürler.. Deneyeceğim..

Saygılarımla;

Adem ARSLAN 

Şu an itibari ile firewall loglarından bu işlem yapılırken 3389 portuna yoğun istek geldiğini tespit ettim. winlogon.exe ile csrss.exe bu yüzden işlemciyi zorluyor. Sanırım bu olay tamamen bir atak ile ilgili. Bu durumda 3389 RDP portu ile ilgili bir işlem tavsiye eder misiniz?

Saygılarımla;

Adem ARSLAN

tabiki ilk olarak standart rdp portunu değiştirin eğer bu yeterli gelmez ise RDP için ipsec veya sertifika kullanın.

Teşekkürler..
Şimdilik sorun yok gibi ama ipsec ve sertifika işlemini anlamadım.. Bu konuda bir döküman varmı acaba?

Saygılarımla;

Adem ARSLAN 

Evet makale bölümünüde arama yapabilirsiniz.

Çok teşekkür ederim..

Adem ARSLAN