Это нормально для аутентификации AD, чтобы генерировать много трафика ICMP?

Question

Это нормально для аутентификации AD, чтобы генерировать много трафика ICMP?

Нормально ли для аутентификации AD между рабочей станцией и сервером AD генерировать много ICMP-трафика? У меня есть система предотвращения вторжений в сеть, которая постоянно обнаруживает огромное количество трафика ICMP / ping от AD до рабочей станции; наоборот. Настолько, что он обнаруживает их как "потоп".

Я проверил как на AD, так и на рабочей станции, оба в порядке. Нет троянов, вирусов, вредоносных программ и защита конечных точек работает нормально.

Есть мнения по поводу такого поведения? Возможные ложные срабатывания?

4

active-directory icmp intrusion-detection

Источник

JoeST 03 июл '12 в 16:02

3 ответа

Другие вопросы по тегам active-directory icmp intrusion-detection

MDMarra 03 июл '12 в 16:08 2012-07-03 16:08 · Answer 1 · 2012-07-03 16:08

Во время обычного входа клиента в AD не должно быть много ICMP-трафика. На самом деле он используется только для медленного обнаружения канала, и его вряд ли достаточно, чтобы вызвать предупреждение о наводнении ICMP в большинстве нормальных систем IPS.

Есть ли у вас какие-либо сценарии входа в систему, в которых есть циклы проверки связи, чтобы убедиться, что серверы и клиентская сеть подключены до доступа к сетевым ресурсам? Это довольно распространенная уловка, которая может вызвать поведение, которое вы видите.

84104 03 июл '12 в 18:21 2012-07-03 18:21 · Answer 2 · 2012-07-03 18:21

Возможно, ваш сервер AD также является вашим сервером DHCP?

Обычно DHCP-сервер пингует адреса, прежде чем предлагать их в качестве новых арендных договоров.

http://technet.microsoft.com/en-us/library/dd380200(v=ws.10).aspx

Однако это не должно генерировать слишком много пакетов. (Хотя, если у вас очень низкие сроки аренды и много оборотов, это может проявиться.)

Bad Dos 03 июл '12 в 16:07 2012-07-03 16:07 · Answer 3 · 2012-07-03 16:07

Возможно, вы видите обнаружение медленной ссылки, которое делает групповая политика. Он будет передавать очень большие пакеты icmp, которые в конечном итоге будут фрагментированы, чтобы определить, входит ли пользователь по медленной линии или нет.

Проверять, выписываться:

http://support.microsoft.com/kb/227260

а также

http://technet.microsoft.com/en-us/library/cc781031(v=ws.10).aspx