Onderwerp: hoe zie je windows 2003 log en zet je hem aan

Hoi ik ben nieuw op deze forum en ik heb hulp nodig.
Ik ben druk aan het googlen geweest en heb helaas niet het geld om een expert in te huren.

Sinds een maand of anderhalf is het data verkeer op mijn 2 rackservers verdubbeld en heb ik flink moeten bij betalen.

Ik zocht mijn windows log files waarin je kan zien welkeip probeer in je server te komen en hoe en wanneer etc.

Deze log files zijn verwijderd om onbekende reden op beide rackservers?

In andere programma's zie ik wel logs en dan zie ik verschillende ips met meldingen woot get ... etc.

Volgens andere forums die al erg oud zijn uit 2003 zie ik dat ze zeggen dathet mogelijk een hacker is?

Hoe kom ik er achter of ik echt gehackt ben en hoe zet ik de logs weer aan van windows zodat ik zie wie er in probeert te komen of er in komt?

Ook las ik iets over een rootkit wat ik daar mee kan of moet doen weet ik ook niet graag uitleg en hulp.

Met vriendelijke groet,

Karel

Je bedoelt denk ik de IIS logfiles. Die staan normaal gesproken in C:\Windows\System32\LogFiles
Je kan ze aanzetten bij de configuratie van de websites.

Verder heb je nog de eventlog bestanden die je met eventvwr kan bekijken.

Een rootkit is een programma dat gebruikt wordt om root (beheer) rechten te krijgen op een systeem. Er zijn programa's om deze op te sporen in Windows. Ze gaan vaak in de alternate data streams zitten waardoor je ze zelf niet kan vinden. http://technet.microsoft.com/en-us/s.../bb897445.aspx

Wat ook wel helpt is kijken of er vreemde poorten open staan met netstat. Verder zou je een poortscan kunnen laten doen, deze laten vaak zien welke software er draait echter een open poort.

Hallo Karel,

Het lijkt mij dat je best even een admin met wat ervaring hiernaar laat kijken. Ik wil gerust voor jou eens even kijken, neem dan maar contact op via PM.

Heel erg bedankt kan nu eindelijk het bewijs vinden wat ik al maanden zocht.
Wel stom dat ik het niet eerder kon vinden maar het is mij ook maar 1 keer uitgelegd 7 maanden geleden.

Aardige mensen hier die elkaar helpen ik waardeer het erg, en de rootkit heb ik op mijn pc gedaan maar waar moet ik op letten snap er niet veel van?

Ik heb trouwens rare dingen gevonden in mijn log files en zou graag willen weten of ik dit aan iemand die er geen misbruik van maak kan emailen, ik vermoed dat iemand veel vuldig probeert mijn rack server binnen te dringen en misschien ook al binnen is geweest.

Als iemand mij kan helpen met uitleg wat die teksten betekenen graag een berichtje met eventueel een email waar ik het in rar bestand naar toe kan mailen.

Hopelijk kan ik daarna met een gerust hart adem halen en mijn dataverkeer eindelijk weer normaal zien doen.

Mvg,

Karel

Als je fatsoenlijk IPSEC gebruikt is ongeoorloofd binnen komen al een stuk moeilijker.

Uiteraard proberen allerlei ips continu via ftp e.d. binnen te komen, is niks anders aan te doen dan je ftp poort te wijzigen of ftp af te sluiten voor onbekende ips.

Bedankt voor je reactie maar wat is IPSEC, ben pas 7 maanden online bezig en heb nog niet veel kennis al zou ik dat wel graag willen.

Kan ik ook van andere programma's poorten wijzigen zonder problemen?

Ik heb zo juist log files bekeken en zie dat de dataverkeer verdubbeld in de uren als iemand probeer iets te doen waar get voor staat neem aan dat hij probeer iets te vinden waadoor hij toegang probeert te krijgen.

Die ip zie ik bijna door de hel log file staan verspreid namelijk.

Wat kan ik hier tegen doen?

Misschien zone alarm fire wall en dan die ip in blok lijst zetten?

Maar hoe zie ik welke andere poorten ik open moet gooien die wel toegang moet hebben ?

Is er een programma dat je poorten ziet die je gebruikt en open moet houden ook om zelf toegang te houden als je wilt inloggen via extern bureaublad?

Graag advies en tips.

Mvg

Karel

Kan je allemaal op google vinden. service + port (ftp port) en je vindt wat je nodig hebt...

Oorspronkelijk geplaatst door ben gek op game

Bedankt voor je reactie maar wat is IPSEC, ben pas 7 maanden online bezig en heb nog niet veel kennis al zou ik dat wel graag willen.

Hier staat eenvoudig uitgelegd hoe je IPSEC configureert.

Kan ik ook van andere programma's poorten wijzigen zonder problemen?

Je kan van vrijwel elk programma de poort wijzigen, maar hou er dan wel rekening mee dat dit moeilijkheden meebrengt voor de mensen die gebruik maken van jouw systemen.

Je kan bv de standaard HTTP poort wijzigen van 80 naar iets anders (bv 8080), maar wanneer iemand dan naar een domein surft op jouw server moet deze persoon expliciet de poort meegeven. BV: ipv http://www.example.org moet deze dan in zijn browser http://www.example.org:8080 intypen.

MAW, je laat de poorten best zoveel mogelijk standaard.

Ik heb zo juist log files bekeken en zie dat de dataverkeer verdubbeld in de uren als iemand probeer iets te doen waar get voor staat neem aan dat hij probeer iets te vinden waadoor hij toegang probeert te krijgen.

Die ip zie ik bijna door de hel log file staan verspreid namelijk.

Wat kan ik hier tegen doen?

Over welke logs gaat het hier? Het is gebruikelijk dat je regelmatig brute force aanvallen op je server krijgt. Kan je weinig tegen doen, behalve dan de service uitschakelen, of werken met een whitelist.

Wat zeker ook belangrijk is op een Windows server is zorgen dat je NTFS permissies zo beperkt mogelijk staan ingesteld. Indien er dan van een account toch een paswoord gekraakt wordt, dan heeft men enkel toegang in zoverre die specifieke account rechten heeft in het filesysteem.

Daarom is het uiterst belangrijk om admin accounts (windows, MSSQL, MySQL, enz) zeer complex te maken zodat deze met een brute force attack niet gekraakt kunnen worden.

Misschien zone alarm fire wall en dan die ip in blok lijst zetten?

Kan inderdaad, van zodra je IPSEC hebt geconfigureerd kan je hiermee ook IPs blokkeren.

Maar hoe zie ik welke andere poorten ik open moet gooien die wel toegang moet hebben ?

Open een command prompt en typ daarin netstat -a, dan zie je onmiddellijk op welke poorten jouw server "luistert".

Is er een programma dat je poorten ziet die je gebruikt en open moet houden ook om zelf toegang te houden als je wilt inloggen via extern bureaublad?

Voor het RDP protocol dien je enkel poort 3389 te openen.

Dank u voor alle informatie ik kan nu weer verder en heb weer wat bijgeleerd.

Ik ben erg blij dat ik nu weet hoe ik dit soort niet gewenste aanvallen kan proberen te verminderen en te stoppen.

Ik heb er aan gedacht snacht als die aanvallen worden gedaan de server misschien uit te zetten, misschien kan ik ook de server instellen bepaalde uren zich uit te schakelen en daarna weer op te starten?

Ik denk alleen dat dat alleen via remote control kan, en dat kan je dan niet instellen ofzo?

Ik ga in ieder geval proberen de digitale politie deze log files te geven en hopen dat er wat mee word gedaan.

Mvg

Karel