Подозрение на DDOS

что в пакетах?

ещё вариант - там винда с вируснёй\троянами. Похожая картина была, на тачках послись win32.expiro(букву не помню)

только в моём случаем можно было выделить 25 одинаковых адресов, к коим и был заблокирован доступ.

П.с. сообщение прочитал, да заражены :) Голова думает, а руки уже всё написали и отправили.

Так вот все они ходят на разные ипы(не более 9 флоу на ип) на порту 500 и по UDP +

/etc/services подсказывает, что обычно это isakmp (есть в вики), не разбираюсь, но м.б. это фича или керберос какой-нибудь криво настроен?

2) Это торренты?( у нас проходят только encrypted )

на один порт и все... это вряд ли

Я только с netflow вижу . Сниф немного много будет забирать( гигабиты каптить немного тяжковато ). К узлу скорее всего мне придеться самому поехать разобраться(младший стафф туповат и грубит (: )

/etc/services подсказывает, что обычно это isakmp (есть в вики), не разбираюсь, но м.б. это фича или керберос какой-нибудь криво настроен?

Ничего из керберос и исакмп там не юзается(в нашей сети) может они стороние юзают но маловероятно.

Похожая картина была, на тачках послись win32.expiro(букву не помню)

А где можно по быстрому найти в вирусных базах описание тех кто юзает?

это точно не торренты. Если подозреваешь вири, узнай, не используется ли IPSEC, если нет - режь порт

если компы не зомби, то по адресам к которым идет обращение.

это точно не торренты. Если подозреваешь вири, узнай, не используется ли IPSEC, если нет - режь порт

Ipsec там точно нету.