IP og scans logging til Windoze

[DanteUseless]

Heisann

Siden jeg ikke kan se at det er noe Windows seksjon/kategori, så poster jeg spørsmålet her.

 

Jeg er en passelig paranoid data-nerd som logger det meste som kan være av mistenkelig trafikk på boxer jeg måtte administrere. Og til *nix boxer bruker jeg gjerne iplog ( http://ojnk.sourceforge.net/ ). Virkelig noe å anbefale. Har brukt i snart to år vil jeg tro og har enda ikke funnet noen bakdeler =)

Gir blandt annet output som dette:

(Noe kortet ned)

<snipp>

 

....

Aug 4 10:03:43 TCP: SYN scan detected [ports 578,1413,176,556,1993,278,149,208,89,1497,...] from fakehost.fakeme.fake (xxx.xxx.xxx.xxx) [port 45083]

....

Aug 4 10:04:15 TCP: Bogus TCP flags set by fakehost.fakeme.fake (xxx.xxx.xxx.xxx) 45090 (dest port 22)

.....

Aug 4 10:05:27 TCP: SYN scan mode expired for fakehost.fakeme.fake (xxx.xxx.xxx.xxx) - received a total of 1641 packets (33280 bytes)

 

<unsnipp>

 

Dette ble blandt annet litt av outputen ifra en nmap SYN scan med OS-detection, for de som måtte lure.

 

Jeg lurer da i denne sammenheng om det finnes noe lignende verktøy til Windows. Jeg har gjort flere hel- til halv-hjertede forsøk men har ennå ikke funnet noe tilfredsstillende.

 

Det vil si jeg har leitet etter et verktøy som kun logger trafikken (ikke pakkeinnhold), og IKKE binder seg til porter, eller forandrer noe på trafikken, hvordan maskinen oppfører seg eller hvordan maskinen håndterer ip-pakkene.

Og selvfølgelig er det ønskelig at verktøyet ikke suger alt av ressurser slik at det kan bli brukt i bakgrunnen sammens med andre applikasjoner, spill og lignende.

 

Eller er dette en utopisk tanke for windoze software? =)

 

-Dante

[DanteUseless]

Anyone?

 

-Dante

[bob_hund]

Det er logg i Zonealarm hvis det er det du mener?

"The firewall has blocked Internet access to your computer (TCP Port 1214) from 193.212.145.36 (TCP Port 2760) [TCP Flags: S].

 

User: SYSTEM

Program: KaZaA Lite

Time: 8/16/2002 9:01:20 PM"

Slik ser det ut.

[DanteUseless]

Jeg ønsker å logge "all" trafikk. Ikke bare det som blir droppet/denyed av firewall. Og spesielt ikke slike software firewaller som eks ZoneAlarm.

 

(Logge src-addr, src-port, dst-addr, dst-addr, gjerne tcp flags, +++)

 

-Dante