Сетевые атаки на контроллер домена Intrusion.Win.DCOM.exploit порт 135

[RGF]

Добрый день!

 

Включили мониторинг сетевых атак и начали появляться сообщения с различных компьютеров в сети, например:

 

Событие Обнаружена сетевая атака произошло на компьютере SRV-DC01 в домене *** 9 сентября 2014 г. 10:34:00 (GMT+04:00)

Тип события: Обнаружена сетевая атака

Программа\Название: Неизвестно

Компонент: Защита от сетевых атак

Результат\Описание: Запрещено

Результат\Название: Intrusion.Win.DCOM.exploit

Объект: TCP от 192.168.102.197 на локальный порт 135

Объект\Тип: Сетевой пакет

Объект\Название: TCP от 192.168.102.197 на локальный порт 135

 

SRV-DC01 (Windows 2008R2 64bit) - это контроллер домена

машины с которых идет атака - Windows 7 64bit  с актуальными версиями баз  KES 10.2.1.23

вирусы проверены, есть подозрение что это ложное срабатывание.

На что может срабатывать защита от сетевых атак?

 

Спасибо!

[mvs]

Я бы вам посоветовал сделать дамп сетевых атак и отправить на анализ в ЛК на предмет ложного срабатывания. А еще лучше на сервер поставить WSEE вместо KES

Контроллер домена какие-нибудь еще роли выполняет кроме DC?

Изменено 9 сентября, 2014 пользователем mvs

[RGF]

Я бы вам посоветовал сделать дамп сетевых атак и отправить на анализ в ЛК на предмет ложного срабатывания. А еще лучше на сервер поставить WSEE вместо KES

Контроллер домена какие-нибудь еще роли выполняет кроме DC?

Спасибо, дамп сделаю, когда поймаю атаку во время дампа. Контроллер больше никаких ролей не выполняет, кроме собственной.