Symantec Endpoint Protection: сетевая атака
 

Доброго времени суток.
Проблема началась несколько дней назад на многих рабочих станциях и на всех роутерах, построенных на WS2003, на которых установлен сабж и заключалась в большой загрузке их процессом smc.exe. В журнале трафика постоянно появляются записи о блокировании сетевых угроз. Работа практически парализована нагрузкой и глюками сети, антивирусы ОС, обновляются постоянно. Пробовал сканировать CureIt`ом с загрузочной флешки, ничего не найдено.
Роутеры соединяются между собой через OpenVPN мостом с главным роутером, на каждом стоит трафик инспектор, открыт доступ через RDP
На серверах и рабочих станциях так же иногда появляются сообщения и заносятся записи в журнал безопасности, но она идет с рабочих станций (похоже это отношения к делу не имеет):
Ребята, прошу помощи.

И что тут не понятного?
Сидит у Вас старая малварка и ищет дырку на компах, но зафиксали ее еще в 2008 году.
Не верите? Можете поиграть с Metasploit и убедиться что получите ту-же CVE.
Или специалисты Symantec наложили не верную сигнатуру на IDS.

Насчет остального узнавайте у Symantec, почему они решили блокировать тот или иной трафик.

Спасибо за информацию, видимо где то стоит очень древнее железо, но это, как я уже сказал это не главное, а главное то, что заставляет драйвер моста генерировать подозрительный трафик. Как все таки узнать что это за пакеты?

cashmarik, С учетом того что это мост то генерировать может любой хост подключенный к нему.

Интересно то, что исходящие пакеты видимо более низкого уровня (см.рисунок), широковещательные что ли? а входящие, которые тоже блокируются идут уже от известных ip по протоколам UDP. Такая картина наблюдается на всех роутерах и на некоторых рабочих станциях, возможно они заражены чем то или это все таки трафик извне? Удалять антивирус тоже ведь не вариант :)

cashmarik, Возьмите wireshark и посмотрите что там у Вас, если подозрительного трафика нету то все нормально.
Главный недостаток продуктов с IDS это то что они не показывают детальную информацию о пакетах.