[VladDV]

Неужели никто не сталкивался с подобной проблемой??? :-( Или хотя бы предположения, в чем может быть причина.....

[Dump]

VladDV, Никогда не работал с ISA, но предполагаю, там исключений никаких нельзя поставить ?

[VladDV]

Можно, но дело в том, что новый сервер идентичен предыдущему (кроме железа), а на старом сервере такой проблемы не было. Для этого сервера в ISA выставлены достаточно большие привилегии (практически полный доступ для внутренней сети). Но в ISA есть глобальные правила, которые реагируют в том числе и на сканирование портов. В моем случае наблюдается один из видов сканирования, когда атакующий посылает пакеты целевому серверу без установки соединения (по протоколу TCP). Однако атаки в моей ситуации быть не может (очень маловероятно), т.к. ошибка началась сразу после включения нового сервера в сеть.

[exo]

TCP без установления соеденения? это как?
как вариант - проверьте сервер на вирусы, и отключите наблюдение IP half-scan attack.

[VladDV]

А вот так. Что будет, если целевому серверу послать первый пакет с одним установленным флагом ACK? Для легальных программ - ничего, ответ RST. Для злоумышленника может быть немного вкусной информации. Потому ISA реагирует на обилие таких пакетов, считая, что это сканирование портов

[Dump]

VladDV,

Однако атаки в моей ситуации быть не может (очень маловероятно), т.к. ошибка началась сразу после включения нового сервера в сеть »

А во время установки ОС ничё не могло попасть ??? Может флэшку с софтом или дровишками вставляли? Поставьте сниффер поглядите чего он ему посылает

[exo]

ещё как вариант - сервер пытается соедениться с ИСА. Но ему запрещено! Нет, IP, конечно разрешён. А МАС адрес? ведь сетевая карта другая...

[VladDV]

exo,
Во-первых, соединения с исой проходят, только иногда обрываются на несколько секунд, когда иса видит подозрительную активность. Во-вторых, я к сожалению не нашел в ISA никаких привязок на MAC. Там указывается только IP. И он в дальнейшем фигурирует в правилах. Может AD не распознала новый МАС? Но я уже пробовал выводить сервер из домена, сбрасывать учетную запись этого сервера в AD, а затем снова вводить в домен. Ничего не помогло :-(

Dump,
Флэшек не вставляли, кроме того во всей сети есть корпоративный антивирус, т.ч. что-то левое маловероятно. Есть конечно вариант, что сто-то попало с дровами, но тоже наврядли, т.к. комп взяли новый в проверенном магазине и диски с дровами прилагались. Ранее инцидентов не было.

[exo]

VladDV,
вы сказали что это - сервер приложений. Есть вероятность, что на новом сервере ожило приложение "атакующее" вашу ИСУ ?