[es] - Exchange pregled Log fajlova

grof78

Član broj: 104498
Poruke: 26
91.148.93.*

Profil

^{11.06.2009. u 18:10 - pre 193 meseci}

Imam problem sa Exchange 2003 serverom koji se nalazi iza rutera. Na serveru je instaliran GFI Mail Esential koji odlicno filtrira dolazne SPAM poruke. Juce je server blokiran od Spamhousa zbog slanja SPAM-a. Kazu da verovatno neki trojanac postoji u mrezi koji salje i da zatvorim port 25 prema ostalim racunarim osim prema serveru.
Skenirao sam racunare pomocu NOD32, SpyBot Search&Destroy i gomilom drugih programa, ocistio sitne probleme klijenata, na serveru nije naso ni jedan virus. Ruter je vec bio podesen za port 25. Spamhouse ustvari vidi adresu mog rutera da salje mailove, a ne pravu adresu servera zbog firewalla.
Spamhous me skinuo sa CBL blackliste na moj zahtev, ali me sutra opet vratio sa istim razlogom. Mejlovi stizu ali ne mogu poslati ni jedan.

Dnevno stigne do 200 SPAM maila na server sa laziranim adresama, kao da je poslato adrese [email protected] na [email protected]. GFI lepo to filtrira. To su sve dolazni mailovi, ne vidim nigde da se salju sa mog servera SPAM-ovi.

NAJZAD MOJE PITANJE:

Gde i kako videti samo odlazni saobracaj sa SMTP virtualnog servera. Log fajlovi u Exchange.log folderu malo su mi konfuzni? Moze li neko da mi pojasni na sta obratiti paznju, kako videti sa kog racunara je poslat mail, preko kog porta, jer ja samo vidim legitimno poslate mailove, ne mogu naci sta salje spamove.
Zna li neko mozda za neki virus koji je trenutno aktuelan i kako ga se resiti?

Evo primera iz loga, ali to su sve validni mailovi:

Date Time client-ip Client-hostname Partner-Name Server-hostname server-IP Recipient-Address Event-ID MSGID Priority Recipient-Report-Status total-bytes Number-Recipients Origination-Time Encryption service-Version Linked-MSGID Message-Subject Sender-Address

2009-6-10 14:56:37 GMT 194.106.161.29 beotel.net - SERVER 192.168.1.254 [email protected] 1036 008401c9e9db$a733a8a0$0603a8c0@sekretarica 3 0 2417 1
2009-6-10 15:23:36 GMT 83.21.108.182 83.21.108.182 - SERVER 192.168.1.254 [email protected] 1036 [email protected] 0 0 6739 1

Ostadoh bez ideja. Nadam se da ce neko pomoci.
Hvala

Odgovor na temu

laminator
laminator
beograd

Član broj: 62090
Poruke: 43
93.86.220.*

+10 Profil

Re: Exchange pregled Log fajlova

^{11.06.2009. u 22:54 - pre 193 meseci}

Moja pretpostavka je da korstiš istu IP za mail server i za surfovanje po netu.
Imaš problem sa nekim raćunarom u mreži ,podigni ethereal(wireshark)
i vidi koji je raćunar je u pitanju onda njega "očisti".
I ako imaš kontrolu nad router-om moraš da sekundarnu IP daš
korisnicima za surfofanje net-om(pretpostavka je da imaš više IP da koristš) a mail
da koristi postojeću ili obrnuto.Samo lakše ti je da sekunarni IP daš korisnicnicima
jer če to pokupiti preko DHCP-a a za mail imaš da uradiš više .
Tako da ubuduće nećeš imati problema barem sa mail-om.
Imaš problem sa korisnicima a ne sa mail serverom.

Odgovor na temu

grof78

Član broj: 104498
Poruke: 26
*.adsl.beotel.net.

Profil

(Reseno) Exchange pregled Log fajlova

^{16.06.2009. u 21:10 - pre 193 meseci}

Resio sam problem. U pitanju je bio virus na jednom od klijentskih racunara.
Wireshark programom sam utvrdio da kroz server ne prolazi SPAM saobracaj. Zatim sam presao na ruter i po njegovom saobracaju sam otkrio koji racunar je u pitanju. Problem je bio sto racunar nije stalno na mrezi vec koristi VPN konekciju povremeno.
Takodje ni jedan od anti-virusnih programa nije mogao da detektuje trojanca i da ga ukloni, pa sam jednostavno reinstalirao klijentski racunar. Ocigledno da je jedan od rotkit virusa.
Za sada sve ponovo radi.

Laminatore hvala na odgovoru.

Pozdrav

Odgovor na temu

laminator
laminator
beograd

Član broj: 62090
Poruke: 43
91.150.123.*

+10 Profil

Re: Exchange pregled Log fajlova

^{17.06.2009. u 22:58 - pre 193 meseci}

Sluzimo narodu,ipak probaj da promenis IP za ostale racunare u mrezi.Samo
tako mozes trajno da otklonis problem.Tebi su (kao i svima nama)najveci problem ljudi
koji nose racunare kuci(laptop) i tu nema pomoci.Tesko je pribliziti stavove i
zahteve IT sektora sa ostalim delovima firme.Oni imaju svoje zahteve
i mi se moramo tu nekako uklopiti.

Show must go on

Odgovor na temu

valjan
Janko Valencik
Software Deployer
Schneider Electric
Novi Sad

Član broj: 158605
Poruke: 3531
*.adsl.eunet.rs.

+553 Profil

Re: Exchange pregled Log fajlova

^{18.06.2009. u 09:09 - pre 193 meseci}

Imao sam vec slicnih iskustava, i ono sto ljudi uglavnom zaborave u takvim situacijama je da se spolja uvek vidi samo jedan IP, iako se iza tog IP-a najcesce krije na destine ili cak i stotine racunara, i da bilo ko od njih moze biti krivac a ne samo mail server. Najcesce je bas mail server nevin, a krivac bude neki racunar na kojeg potpuno zaboravis u tom trenutku. Kod mene je jednom recimo to bio web server koji samo cuci u cosku server sobe i niko ga ni ne pogleda po pola godine (a imao je trojanca koji salje spam) i jedan laptop za koji sam totalno zaboravio da se i on povremeno ukljucuje u mrezu (takodje trojanac). Znaci, kada dospes na blacklistu kod SpamHouse-a i slicnih, najpre naravno proveris logove mail servera, a zatim pogledas ko sve koristi istu IP adresu kao default gateway i krenes da cesljas. Ako okolnosti to dozvoljavaju, kao sto rece Laminator, iskoristi zasebnu IP adresu samo za mail server, i imaces mnogo manje glavobolja sa blacklistama.

Odgovor na temu