Problema com possivel Spammer dentro da rede interna

[vicpruner]

Bom dia...
a 3 dias venho tendo problemas na rede da empresa, temos cerca de 200 maquinas que não tem conseguido enviar e-mails pelo outlook, vou explicar o que acontece...
nosso servidor de e-mails é a Locaweb, a cada 5 tentativas de envio de e-mail com a senha errada em menos de 5 minutos a locaweb bloqueia o ip da empresa, assim todos os usuarios ficam sem possibilidade de enviar seus e-mails.
Pela caracteristica de 5tentativas em menos de 5 minutos acredito que tenha exista maquina infectada com algum spammer.
preciso localizar essa maquina, mas estou sem ideia e ir de 1 em 1 é bem complicado.
pra quem quiser ajudar seguem as informações que podem ser pertinentes...
usamos software firewall, servidor AD, servidor de dados todos independentes um do outro.
fico aguardando uma luz...
abraçoss

 

[DuoLEd]

Como se dá a conexão para internet? Diretamente ou através de proxy?

Você pode monitorar os IPs internos que andam mantendo conexão com o IP do Locaweb.

 

[vicpruner]

Como se dá a conexão para internet? Diretamente ou através de proxy?

Você pode monitorar os IPs internos que andam mantendo conexão com o IP do Locaweb.

O acesso é feito por Proxy.
consigo monitorar os IPs, e ja consegui identificar quais são as contas que vem fazendo tentativa de conexão, mas nenhuma delas existe no dominio.
ou alguem esta tentando adivinhar as contas existentes ou algum programa.

 

[TIGOS]

Cara, qual seu gateway/firewall? Olha o log dele.

Se for um gateway que tenha firewall, olha o log e veja quais ips estao acessando direto a net.

Tivemos um problema parecido com infeccao, mas nao sobre o email e sim que eram tantas requisicoes que derrubavam a rede.

Outra coisa, revisa o antivirus de voces, recomendo Kaspersky Business.

 

[paulistams]

acutinex web scanner instala ai que vai te dar todas as portas abertas e as vunerabiladades do teu dominio lembrando que e pago mas como vc tem uma rede grande nao vai ser problema

 

[vicpruner]

Cara, qual seu gateway/firewall? Olha o log dele.

Se for um gateway que tenha firewall, olha o log e veja quais ips estao acessando direto a net.

Tivemos um problema parecido com infeccao, mas nao sobre o email e sim que eram tantas requisicoes que derrubavam a rede.

Outra coisa, revisa o antivirus de voces, recomendo Kaspersky Business.

Usamos o Trend Micro de anti-virus, esta com todas as atualizações em dia e instalado em 100% das maquinas.
As conexões de web, SMTP e POP são feitas por IPs e portas diferentes, a locaweb na verdade só bloqueia o ip de saida do SMTP.
o restante funciona normalmente.

acutinex web scanner instala ai que vai te dar todas as portas abertas e as vunerabiladades do teu dominio lembrando que e pago mas como vc tem uma rede grande nao vai ser problema

vou passar essa sugestão e aguardar uma posição.

 

[TIGOS]

Pegamos um virus f*** e estavamos avaliando o Trend em nossa rede... preciso dizer algo mais?

Tive que instalar Kas 2010 versao home mesmo em cada maq pra limpar tudo, depois adquirimos o pacote business deles.

 

[paulistams]

netstat-t sera que nao fuciona ve qual ip ta gerando maior saida e bloqueia ele no teu fire
netstat -a vai te dar todas as suas ligaçoes de entrada e saida da vc pode ter noçao de onde ta partindo maior fluxo e tamben qual ip nao pertence a tua rede
ps tiver falando besteira desconsidere

 

[vicpruner]

Consegui resolver... fiz aquele esquema de busca booleana, demorou um pouco pq eu tinha que setar os ips internos manualmente pros ips validos. e ao msmo tempo no chat online da locaweb pra ver quando bloqueava o ip.
ja esta tudo normalizado e a maquina infectada na bancada formatando.
Obrigado a todos que ajudaram