[netwerk]Hoe hou ik m'n PC virusvrij op een virusnetwerk

[Delerium]

Op dit moment is het lokale netwerk mijn grootste bron van frustratie. Indien ik een PC eraan hang, WinXP er vers opzet dan is het binnen 15 seconden gepiept -> virus.

Nu is dat natuurlijk slechts een bijkomstigheid, je doet eerst WindowsXP erop, dan met een USB-stick een virusscanner + firewall en dan pas sluit je het netwerk fysiek aan, dan kan je tenminste gelijk updaten.

Zo ook de PC die ik vorige week wegzetten, ik heb daar zowel NAV2003 als AntivirXP geinstalleerd (2 scanners) en voordat ik de adminsettings dichttimmerde (let op: Juzt-reboot kaartje, heb ik nog bij trendmicro een onlinescan gedaan. Om het zeker te weten overigens ook nog Stinger erop losgelaten. Nu zou je zeggen, die PC is virusvrij.

Niet dus, ik kreeg vandaag weer bericht dat de PC wederom virussen verspreidde, vergezeld door logfiles die het betreffende IP-adres inderdaad aanwijzen. De netwerkbeheerder zegt dan 'afkoppelen anders doen wij dat'. Inmiddels is afgesproken dat de beheerder zelf gaat kijken, want als 4 verschillende progsels niet werken kan je niet van Ecteinascidin verwachten dat 'ie een 5de aap uit de mouw schudt.

Echter, nu blijven er voor mij 2 vragen over:
1) Hoe bewijs ik dat betreffende PC virusvrij is? Het is mijn woord en een stapel screenshots van virusscanner tegen dat van de netwerkbeheerder. Nu heb ik een IMHO goede PC niet meer aan het netwerk hangen en laat nu net deze PC een netwerkPC zijn.

2) Hoe spoor ik PC's op die besmet zijn? In ons semi-gesloten netwerk staan ongetwijfeld vergeten PC's die WEL de hele dag virussen uitbraken. Kan ik niet iets verzinnen dat onder begeleiding die netwerkbraaksels binnenlaat en zo de bron van herkomst aan de hand van een IP kan aanwijzen?

Overigens is een virusproof systeem zo niet meer te doen als vers XP, 2 scanners en dichttimmeren+ discipline ook al onvoldoende is.
* Delerium zucht.


PC= WinxPbak, netwerk is een universiteitsdomein, ecteinascidin is de lokale netwerkloopjongen en linux is geen optie ivm specifieke software.

[MikeN]

Sorry, maar ik snap het topic niet volledig. Je hangt een pc in het netwerk en die is meteen besmet met een virus zeg je? Dan doe je toch wat fout hoor
En als de admin met logfiles aankomt, wat staat er dan precies in die logfiles?

Btw: http://www.ubersoft.net/d/20040301.html is ook een oplossing

[pinockio]

Wel eens aan een firewall gedacht? Wie weet komen de virussen binnen tijdens de installatie van de updates.

Zet er bijv. ZoneAlarm op (van je usb-stick natuurlijk, nadat je de computer waar je de setup mee hebt gedownload ook hebt beveiligd en gescand).

Avast Antivirus is momenteel - volgens meerdere tweakers - een van de beste gratis virusscanners (www.avast.com). Probeer dat eens.

[Verwijderd]

Dit is een niet onbekend probleem.
Voor je het netwerk opgaat moet je eerst je firewall van Windows XP activeren.
Daarna kun je het beste meteen naar windows update gaan om alle foutjes uit XP te herstellen. Zonder deze udates blijft je PC gatenkaas.

Ik heb uit ervaring gemerkt dat je, als je pech hebt, binnen een paar tellen al een bekend virus op je PC staat. Het virus daarna verwijderen heeft geen zin omdat je de updates die bepaalde virussen buiten de deur houden nog niet hebt geinstalleeerd. Je verwijdert het virus, je gaat weer het netwerk op en floep het virus is er weer... Het activeren van de firewall van XP voor kwam bij mij deze ellende.

[ Voor 45% gewijzigd door Verwijderd op 04-03-2004 15:28 ]

[Delerium]

Ja, ff voor de duidelijkheid, de firewall van zowel WinXP als NAV staan aan voordat ik het netwerk opga. Dan kan ik namelijk dus de updates en WinXP-patches downloaden. Ik hoop niet dat gedurende die momenten viri toeslaan.

Zou als dat toch gebeurde een online-scanner of Stinger dat dan niet zien?

MikeN schreef op 04 maart 2004 @ 15:14:

Btw: http://www.ubersoft.net/d/20040301.html is ook een oplossing

Klinkt gek, maar juist met die Juzt-Reboot kaart kom je heel dicht in de buurt van deze oplossing: Zodra je PC volledig werkt kan je kaart optimaal gebruiken... en dan zou de kans op gedoe absoluut 100% afwezig moeten zijn.

'Zou' dus, want ik heb nu dit topic kunnen openen.

[ Voor 72% gewijzigd door Delerium op 04-03-2004 15:27 ]

[Verwijderd]

Besmet met welke malware?
Gooi er een sniffer op om te zien van welke IP's de junk afkomt.

[Verwijderd]

Vraag aan die netwerkbeheerder om welk virus het gaat en kijk dan of jouw virusscanners die kunnen herkennen. Kunnen ze dat, dan moet je het virus kunnen scannen op je computer dan weet je of het echt van jouw vandaan komt. Aangezien je maatregelen lijkt het me stug dat je iedere keer virussen hebt.
Als je netwerkbeheerder virussen van jouw scant maar jij vindt zelf niets dan is er iets mis ergens anders op het netwerk, vindt je hem wel, dan moet je je computer installeren en voor dat je een netwerk verbinding maakt atguard erop zetten en alle regels uit zetten, dan kan er echt niets meer verbinden, en dan alleen poort 80 open voor iexplorer meer niet.

[ralpje]

En je weet zeker dat de USB stick waarmee je de AV-software erop zit geen virus bevat, die niet direct door de (nog niet geüpdate) AV-software gezien wordt?

[Verwijderd]

Als je de xp firewall aan hebt staan, hoe komen die virii dan op je systeem?
Je hebt het over je lokale netwerk. Firewall dicht. Toch geinfecteerd.
Dan zou ik zeggen, machines in je lokale netwerk besmetten jouw nieuwe XP.
Zet voor de grap je admin shares eens uit op de lokale drives, upnp ook.
Portscan dan die machine, als er nog portjes openstaan, timmer ze dicht.

Lijkt me sterk dat ie dan weer besmet wordt zodra je hem aan het netwerk hangt.

[Verwijderd]

De firewall die bij windows XP zit werkt wel, maar als je een virus via het netwerk binnen krijgt vertrouw ik hem niet omdat hij netwerk toestaat.
Dus hij staat toe dat een computer met jouw computer verbind via netwerk. Atguard laat dat niet toe en is dus voor dit geval naar mijn mening beter.
Dan weet je echt zeker dat er niets binnen komt.
Normaal is de firewall van xp goed zat.

[Delerium]

Ik denk dat ik idd Atguard maar 's aanzet en alleen port 80 (iNet) en 21 (FTP) openzet. Maar ei'k zou die systeembeheerder 's uit moeten leggen hoe dat nou allemaal kan. PC ontkoppelen is symptoombestrijding IMHO.

Netwerk sniffen... graag, maar echt snel een tutorial vind ik daarover niet. Sniffer Pro die hierboven wordt beschreven is overigens nogal duur..... (12k)

[Verwijderd]

Ethereal zal misschien een beetje behelpen zijn, maar daar is het imho ook wel mee te doen.
Offer desnoods een bak op ofzo. Dat is gratis.

Maar nogmaals: Over welke malware gaat het?
Dat is wel handig om te weten nml.

[Delerium]

Mar 1 09:45:35 altair-r.sci.kun.nl 813912: 16w6d: %SEC-6-IPACCESSLOGP:
list to-its denied tcp 131.174.139.173(2003) (Vlan16 0050.0f78.4c00) ->
131.174.112.21(135), 2 packets
Mar 1 09:45:41 altair-r.sci.kun.nl 813914: 16w6d: %SEC-6-IPACCESSLOGP:
list to-its denied tcp 131.174.139.173(2032) (Vlan16 0050.0f78.4c00) ->
131.174.112.21(445), 1 packet
Mar 1 09:45:45 altair-r.sci.kun.nl 813917: 16w6d: %SEC-6-IPACCESSLOGP:
list to-its denied tcp 131.174.139.173(2034) (Vlan16 0050.0f78.4c00) ->
131.174.112.21(445), 1 packet

Tot zover de logs van netwerkbeheer, volgens hun de oorzaak....
* Delerium ziet het overigens niet 123

[Verwijderd]

Dit is toch gewwon eenlog over een paar pakketten die niet toe gestaan zijn. Denk omdat het op poorten gebeurt waar het van hem niet mag.
Dan heb ik de naam van het virus al: windows.
Die probeert zo'n beetje iedere poort uit als hij een netwerk vindt.
Met atguard ben je er in ieder geval vanaf want die blokkeerd die poorten.