nadzor prometa po Ip-jih

NTOP ali pa kakšna kombinacija RRDtool in IPTRAF

Verjetno najbolj pašem v tole temo. Občasno se na enem računalniku v omrežju poveča IP promet (nekdo ali nekaj se poveže z internetom, sledi popolna blokada prometa drugih računalnikov kar se interneta tiče.
Na računalniku tisti čas ni aktivnih programov, ki bi lahko uporabljali internetni dostop. Antivirus AVG ne pokaže nobene "okuženosti".
Kako bi lahko ugotovil, kaj se zaganja oz. kdo dostopa do računalnika? Računalnik ima OS WXP z vsemi posodobitvami. Nisem najbolj strokoven na tem področju, zato če je možno bolj preproste a učinkovite rešitve.
Hvala

Gandalfar je 17. feb 2010 ob 17:28 izjavil:

wireshark na routerju

"Malo" prezahtevno zame. Jaz bi na omenjeni računalnik namestil nek program, ki bi mi kasnejv logu ali kako drugače pokazal, kaj se je kdaj dogajalo. Čimbolj preprosto.
Na router najbrž ne morem/ne znam instalirat nič. Router je Belkin F5D8235-4 v1.

Kolker sem znal pogledat, zgleda da ne. Ima pa log, kjer zapisuje poskuse dostopanja do routerja oz. do nekaterih vrat. Ti "napadi" se ponavljajo non-stop. Roter naj bi se znal obranit pred:
IP Spoofing
o Land Attack Ping of Death (PoD)
o Denial of Service (DoS)
o IP with zero length
o Smurf Attack
o TCP Null Scan
o SYN flood
o UDP flooding
o Tear Drop Attack
o ICMP defect
o RIP defect
o Fragment flooding

Sam log pa zgleda takole:
=>Found attack from 151.20.153.57.
Source port is 11029 and destination port is 6881 which use the TCP protocol.
Wed Feb 17 17:46:28 2010
=>Found attack from 151.20.153.57.
Source port is 11290 and destination port is 6881 which use the TCP protocol.
Wed Feb 17 17:46:58 2010
=>Found attack from 151.20.153.57.
Source port is 11290 and destination port is 6881 which use the TCP protocol.
Wed Feb 17 17:54:11 2010
=>Found attack from 202.108.34.231.
Source port is 6000 and destination port is 1433 which use the TCP protocol.

ne, torrente imam na drugih vratih. Zdaj sem dal na računalnik še Spy@bot, da bo malo pregledal in odpravil možne "infekcije". Malo sem preveril IP številke, so iz IT in CN, USA.
Torrent program sploh ni bil aktiven, ko se je dogajalo.
Malo sem pogooglal, pa me zanima, če ima kdo izkušnje s katerin od spodaj naštetih programov:
NBMonitor Network Bandwidth Monitor 1.1.4, Internet Access Monitor for Squid 3.9, IP Traffic Monitor 3.0

če pravilno razumem tisti log, je to da nekdo poskuša z določenega IP naslova preko svojih vrat dostopati do routerja oz. do vrat, ki bi bila odprta (forwardirana). Ampak teh vrat, 6881-6889, definitivno nimam forwardiranih.
Če se motim, se opravičujem.

To so virusi, exploit pa deluje na starih P2P aplikacijah.

Kot receno; wireshark. Imas tudi 5min video tutoriale, kaj se hoces?

Mogoce ne razumes, da analiziranje ip prometa pac ni nekaj kar bi pocela tvoja babica (verjetno), ni pa noben bavbav? Ce ne drugega, bos videl, na katerih portih racunalnik posilja in kolko in ti bo mogoce znal kdo tu malo vec povedat.