Непрерывный входящий трафик

[Schlecht 25]

Имеется непрерывный входящий трафик в отсутствие активных соединений, Комодо его почему-то не видит. Простенький измеритель трафика и менеджер винды всё прекрасно детектят. Нетбиос выключен.

Пробовал поглядеть Microsoft Network Monitor'ом - мало что понимаю и, тем более, не знаю что с этим делать...

Подскажите, как определить, чей трафик, а то как-то неуютно.

WinXP Pro, SP3

McAfee 8.7i

Comodo 3.8 (только файер, антивирус и дефенс выключены)

Novell Client (неактивен)

WordWeb - словарь, в сеть не лазает.

Спасибо

[Андрей-001 1099]

Schlecht

А обновление Windows, диспетчер сеанса справки для удал. раб. стола, удалённый реестр, вторичный вход в систему и удалённый помощник отключены?

[p2u 824]

@ Schlecht

Входящий трафик говорите? Какие у вас зоны в Comodo? Особенно интересует локальная. Если локалка провайдера 'доверенная', то тогда вы, скорее всего, и ничего не увидите. Режим Stealth включён? Правила для программ и пакетов тоже покажите. Я с Comodo 3 особо не работал. Вы задали, чтобы он журнализировал ВСЁ, что происходит?

Paul

[Schlecht 25]

Schlecht

А обновление Windows, диспетчер сеанса справки для удал. раб. стола, удалённый реестр, вторичный вход в систему и удалённый помощник отключены?

Да. Отключено всё, что рекомендовано к отключению в книжке Н.Головко плюс ещё кое-что из ненужного.

[Андрей-001 1099]

рекомендовано к отключению в книжке Н.Головко

Вот оно как. Я и не знал.

А интегрированная проверка Windows в каких местах отключена?

А гиперссылки на спонсорские проекты все удалены?

Что у вас внедрено в Автозагрузку?

(Не знаю, есть ли про это в книжке Ник.Головко?)

Ещё, куда сохраняете веб-страницы из Инета?

[Schlecht 25]

Входящий трафик говорите? Какие у вас зоны в Comodo? Особенно интересует локальная. Если локалка провайдера 'доверенная', то тогда вы, скорее всего, и ничего не увидите. Режим Stealth включён? Правила для программ и пакетов тоже покажите. Я с Comodo 3 особо не работал. Вы задали, чтобы он журнализировал ВСЁ, что происходит?

Paul

Вот тут - вроде всё. По последней картинке - я выставлял самый нижний вариант stealth to everyone, но после закрытия она и сообщения об изменении конфигурации оставался выбранным первый вариант почему-то.

[p2u 824]

Вот тут - вроде всё. По последней картинке - я выставлял самый нижний вариант stealth to everyone, но после закрытия она и сообщения об изменении конфигурации оставался выбранным первый вариант почему-то.

А журналы ничего не показывают? Что-то смутно помнится, что надо было на каждое правило мышкой щёлкнуть и вручную задать 'Create an alert when this rule is fired' (Apply+OK). По крайне мере так было в Comodo 2. Я вам тоже так советовал бы...

P.S.: Советую пользоваться TCPView. Установки не требуется - просто запустить tcpview.exe. С ним можно посмотреть состояние портов изнутри. На всё, что на LISTENING стоит надо обращать внимание - там программа 'слушает' (готова принимать незапрошенный трафик). TCPView показывает, какие программы держат какие порты открытыми. Если желание есть, покажите отчёт.

Paul

[Schlecht 25]

А интегрированная проверка Windows в каких местах отключена?

А гиперссылки на спонсорские проекты все удалены?

Что у вас внедрено в Автозагрузку?

Ещё, куда сохраняете веб-страницы из Инета?

Проверку я не трогал - в списке сервисов её, вроде бы нет.

Про спонсорские проекты я не понял, честно говоря - запущенных программ - минимум, да и те всё служебные вроде.

Если сохраняю руками - в отдельную папку в корне С, кэш - куда Опера захочет.

[Schlecht 25]

А журналы ничего не показывают? Что-то смутно помнится, что надо было на каждое правило мышкой щёлкнуть и вручную задать 'Create an alert when this rule is fired' (Apply+OK). По крайне мере так было в Comodo 2. Я вам тоже так советовал бы...

P.S.: Советую пользоваться TCPView. Установки не требуется - просто запустить tcpview.exe. С ним можно посмотреть состояние портов изнутри. На всё, что на LISTENING стоит надо обращать внимание - там программа 'слушает' (готова принимать незапрошенный трафик). TCPView показывает, какие программы держат какие порты открытыми. Если желание есть, покажите отчёт.

Paul

В Firewall Events - одни блокированные по UDP, как я понимаю по IP, внутри локальной сети.

Комодо недавно поставил (машина новая) - пока в режиме safe mode, много не спрашивает.

А в TcpView этот зенон.нет - что-то непонятное. Правда, потом эта строка пропала, а трафик остался.

[p2u 824]

В Firewall Events - одни блокированные по UDP, как я понимаю по IP, внутри локальной сети.

Комодо недавно поставил (машина новая) - пока в режиме safe mode, много не спрашивает.

А в TcpView этот зенон.нет - что-то непонятное. Правда, потом эта строка пропала, а трафик остался.

Да, дело в том, что в журнале, как я понимаю, он записывает только блокированный трафик, а нам надо знать, то, что он разрешает. Вот это надо тоже бы журнализировать. Поэтому предлагаю для каждого правила создать вручную 'Log' (Apply+OK)... Тогда можно будет выяснить, что происходит...

Paul

[Schlecht 25]

Да, дело в том, что в журнале, как я понимаю, он записывает только блокированный трафик, а нам надо знать, то, что он разрешает. Вот это надо тоже бы журнализировать. Поэтому предлагаю для каждого правила создать вручную 'Log' (Apply+OK)... Тогда можно будет выяснить, что происходит...

Paul

Спасибо, сейчас попробую.

[p2u 824]

Спасибо, сейчас попробую.

Для удобного диагноза можно журнализирование входящих блокированных пакетов временно отключить. Это всё равно ничего не даёт. Я обычно делаю так: журнализирую блокированные ИСХОДЯЩИЕ (это полезно когда сеть не работает) + весь разрешённый исходящий трафик. Вот это полезно. Блокированные атаки (входящие) - относительно бесполезная информация.

P.S.: Global Rules покажите, пожалуйста.

Paul

[Schlecht 25]

Для удобного диагноза можно журнализирование входящих блокированных пакетов временно отключить. Это всё равно ничего не даёт. Я обычно делаю так: журнализирую блокированные ИСХОДЯЩИЕ + весь разрешённый исходящий трафик. Вот это полезно. Блокированные атаки (входящие) - относительно бесполезная информация.

P.S.: Global Rules покажите, пожалуйста.

Paul

Вот так выглядит окно лога. Единственное разрешённое действие - обновил вручную страницу оперы.

А все разрешённые исходящие тоже теперь фиксируются - только их и нет почти.

[p2u 824]

В Global Rules:

1) дважды щёлкать на первое правило: Allow IP out... Задать, чтобы журнализировал ('Log' или 'Create an alert when this rules is fired', Apply+OK).

2) отключить журнализирование последнего правила. Мы и так знаем, что он входящие блокирует...

Paul

[Schlecht 25]

В Global Rules:

1) дважды щёлкать на первое правило: Allow IP out... Задать, чтобы журнализировал ('Log' или 'Create an alert when this rules is fired', Apply+OK).

2) отключить журнализирование последнего правила. Мы и так знаем, что он входящие блокирует...

Paul

А, понял. Сделал. Никаких новых отчётов кроме активности оперы не появляется.

Ну и ещё spoolsv по UDP - сетевой принтер.

[p2u 824]

А, понял. Сделал. Никаких новых отчётов кроме активности оперы не появляется.

Ну и ещё spoolsv по UDP - сетевой принтер.

Tak... Тогда я предлагаю отключить сеть и менять первое правило на:

Allow and Log IP Out from IP any to IP any Where protocol is TCP

Создать второе правило (должно стоять на втором месте сверху):

Allow and Log IP Out from IP any to IP any Where protocol is UDP

И в конце создаём новое правило:

Block and Log IP Out from any IP to any IP where Protocol is Any.

Почему так? Если система чиста (!), то тогда я думаю, что это на самом деле трафик по IGMP, который исходит с вашего компьютера, и на который отвечают другие в группе. Поэтому Comodo их не воспринимает как входящие. Исходящие IGMP, как я помню, он НЕ журнализирует если их не явно блокировать. Поэтому мы и создаём специально блокирующее правило IP Out и будем журнализировать. Самое главное, чтобы это правило стояло ниже разрешающих правил, иначе сети не будет. По теории, тот трафик, который НЕ задан в правилах приложений должен теперь молча блокироваться.

P.S.: Активность самого Comodo не подаётся журнализированию? (Я галогчки не вижу)

Ещё не исключаю, что либо сам Comodo, либо McAfee, либо ваш i-Speed проявляют активность, которая вообще не журнализируется (работают, возможно, не по стандартным протоколам).

И самый последний вариант: Либо McAfee, либо ваш i-Speed на самом деле мешают Comodo - то есть: несовместимы.

P.S.: И вообще впечатление, что ваши разрешающие правила для программ слишком щедрые... 'Разрешить ВСЁ куда угодно'. Надо хотя бы разбить на DNS и остальные.

Paul

[dr_dizel 385]

Имеется непрерывный входящий трафик в отсутствие активных соединений, Комодо его почему-то не видит. Простенький измеритель трафика и менеджер винды всё прекрасно детектят. Нетбиос выключен.

Помимо известных протоколов (типа IP/TCP/UDP) существует уйма других (например, Novell-овские). Они могут спокойно ходить по патчкорду и даже не все снифферы могут их понимать и показывать (да хоть то же общение свитчей и маршрутеров).

А то, что у вас на машине будет отключён DHCP, NetBIOS и проч. другие компы в сети не перестанут ими пользоваться. У вас просто не будет соответствующих сервисов для обработки, а траффик будет до вас доходить.

[p2u 824]

существует уйма других (например, Novell-овские).

Это он, скорее всего, и есть, кстати. Я невнимательно читал изначально, но у Schlecht установлен этот Novell...

Paul

[dr_dizel 385]

Это он, скорее всего, и есть, кстати... этот Novell...

Нет. Виновата Microsoft.

[Schlecht 25]

Спасибо большое за помощь!

Я думаю сделать то, что надо было сделать с самого начала - по очереди напрочь заблокирую все прописанные в комоде программы. Кстати, если в файере выбрать на первой странице "Block all activities", трафик исчезает, т.е. по крайней мере винда и i-speeder его уже не регистрируют.

Чуть попозже отпишу о результатах.

УПД. Не помогло. Имеет ли после этого смысл играться с настройкой правил для приложений? Или попробовать убрать Новелл из загрузки?

УПД. Paul Изменеения правил ни к чему не привели - трафик не исчезает. У самого Комодо, судя по правилам для него, запрещён входящий трафик. i-speeder, я думаю, тут ни при чём - у меня дома, где нет локалки, он никакого входящего трафика вроде этого не фиксирует (там, правда, КИС стоит).

А во всём виноват, как известно, Чубайс.

[p2u 824]

@ Schlecht

По моему это не входящий (то есть - не незапрашиваемый) трафик, иначе Comodo его блокировал бы. Мне кажется, что здесь надо проверять некоторые вещи:

* Возможно вы задали (или забыли снять) параметр, что Comodo должен полностью доверять (то есть - не проверять активность) приложениям, которые у него в базах доверенных. Так он настроен по умолчанию. Вы должны это отменить.

* Ваши правила, как я уже говорил, слишком щедрые. Нельзя задать всем программам разрешение на ВСЁ. Я УДАЛИЛ бы все имещющиеся правила, и начал бы заново (только после перезагрузки!). Не в режиме 'Safe', или как там у вас, а 'Custom' и уровень алертов на максимум; то есть: вы должны задать все правила сами. Да, придётся некоторое время щёлкать, но что делать? Я по-другому никогда не настраиваю файрволов. Обычно уходить где-то 20 минут на настройки таким образом.

* Попробуйте отключить (хотя бы временно) службу Spooler, и посмотрите, есть ли изменения. Возможно стоит её тоже ограничивать как-нибудь по адресам.

* Так как у вас McAfee, у вас, скорее всего, также работает служба Планировщик Заданий?

* Правило для UDP я сам сделал бы более жёсктим в Global Rules. Требуется UDP Out (удалённый порт 53 DNS) для всех приложений отдельно (то есть: такого глобального правила не должны быть - служба DNS Client должна быть отключена) и остальное зависит от типа сети. У меня ещё DHCP (это тоже UDP - локальный порт 68 и удалённый 67) и L2TP (UDP по удалённому и локальному портам 1701. Больше я ничего никому не разрешаю по UDP, потому что это всё, что требуется для того, чтобы сеть работала. Причём, UDP непростой протокол для файрволов. Я вам тоже так советую - жёстко настроить всё.

* Почему-то мне кажется, что это у вас McAfee. У вас же вообще никаких записей в журналах о нём, правильно?

Paul

[Schlecht 25]

Paul

Попробую всё по пунктам, спасибо.

В макафи работает только апдейтер - раз в день, правила для него и фреймворка в файере были.

И если не затруднит - не могли бы Вы вкратце объяснить (или предположить), почему если заблокировать все приложения в комоде вручную (или поубирать все правила, кроме самой комоды), трафик сохраняется, а если отметить "block all activities" - трафик исчезает? Или это уже вопрос к разработчикам?

[dr_dizel 385]

И если не затруднит - не могли бы Вы вкратце объяснить (или предположить), почему если заблокировать все приложения в комоде вручную (или поубирать все правила, кроме самой комоды), трафик сохраняется,

Дело в том, что вы находитесь в подсети со многими другими хостами и попадаете под широковещательную (255.255.255.255) или групповую (224.0.0.0-239.255.255.255.) раздачу запросов извне. С этим вы ничего не сможете сделать.

а если отметить "block all activities" - трафик исчезает? Или это уже вопрос к разработчикам?

Я думаю, что в режиме полной блокировки никаких логов по трафику просто не пишется т.к. по смыслу оно и не нужно. Скорее всего полностью блокируется доступ к сетевой карте и любые попытки с ней работать, снимать статистику тоже.

[Schlecht 25]

Дело в том, что вы находитесь в подсети со многими другими хостами и попадаете под широковещательную (255.255.255.255) или групповую (224.0.0.0-239.255.255.255.) раздачу запросов извне. С этим вы ничего не сможете сделать.

Т.е. значит ли это, что если у меня есть (по TcpView, например) один слушающий порт и если я его прикрою, то запросы считаться не будут => трафик =0?

[p2u 824]

Т.е. значит ли это, что если у меня есть (по TcpView, например) один слушающий порт и если я его прикрою, то запросы считаться не будут => трафик =0?

TCPView (GUI для netstat) не регистрирует широковещательных пакетов - у этого трафика явных портов нет... В TCPView даже DNS трафик не виден. Но, с другой стороны, счётчик Майкрософта широковещательных пакетов и DNS тоже не регистирует.

Поэтому: так, как сама Windows 'видит' ваш трафик (считает его), мне кажется, что искать надо всё таки по пути, который я указал... Блокировать в таком случае МОЖНО; надо просто копаться в правилах Comodo... Это что-то 'доверенное' ломится в сеть и получает ответ от других...

Советую прочитать перевод статьи: Руководство по созданию безопасной конфигурации Outpost. Хотя это всё расчитано на Outpost, руководство написано моим другом Paranoid2000 для всех очень полезно...

Paul