klezの感染元を探したい

質問

社内には4000台のパソコンがあり、Norton AntiVirus Corporate Editionがインストールされています。
先週より、社内のパソコンが一度に数台づつklezを検出するようになりました。幸いリアルタイムモニタが働いており、感染には至っていません。
klezはメールで届いているのではなく、共有フォルダを経由しているようです。
社内にあると思われる感染元のパソコンを突き止めたいのですが、どうすれば良いかご教示をよろしくお願いします。

回答No.4

noname#6217

#3 です。

＞社内には4000台のパソコン

親サーバ管理なら、親サーバ側からよくクライアントを確認してみてください。
4000 台なら、 Norton AntiVirus Corporate Edition の不具合が発生してる PC が何台かあるかもしれません。
特に、定義ファイルの更新ができていないクライアントは要注意です。
そこからあたってみるのも案かと思います。

その他、考えられるのは Norton AntiVirus Corporate Edition がインストールされていない，外部から（個人などの）ノート PC を持ち込んだとか。

＞共有フォルダを経由している

シマンテックでは「複合型の驚異」と定義、ワクチンソフトだけでは守り切れないとしています。
今後は、Norton AntiVirus Corporate Edition の後継である "Symantec Client Security" を強くお勧めします。
ワクチンはもちろん、ファイアウオール，侵入検知ソフトのセットです。
ワタシは発売と同時に、試してみたいと思っています。

参考URL：

http://www.symantec.com/region/jp/products/scs/index.html

回答No.3

noname#6217

検出された PC を中心にパーソナルファイアーウォールを仕込み、ログから IP アドレスを割り出すというのはどうでしょうか？
フリーのパーソナルファイアーウォールには、

・Outpost Firewall
・ZoneAlarm

などがあります。
個人的には、「Outpost Firewall」を使用しています。
次のサイトに、主なパーソナルファイアーウォールが案内されています。

「ファイアーウォール」
http://ringonoki.net/tool/anzen/1-anzen.html

数台ダミーで立ち上げて、フルアクセス，ノーパスワードで共有フォルダを作成します。
Windows も混合がいいでしょう。
もちろん、パーソナルファイアーウォールは仕込んでおきます。
それを PC やセグメントなどを変えて、数日，数回行います。
ログを確認して共通する IP アドレスから確認していけば、追い込めるかとは思います。

4000 台ですか。。。
検出された PC とネットワークの分析も必要かもしれません。
もし共通したネットワークなどがあれば、ダミーの設置場所も絞れるかもしれません。

ご参考です。

参考URL：

http://win2000.nikkeibp.co.jp/news/kiji/020903_2.shtml

回答No.2

nta

うちでも久しぶりにKlezがメールでやってきました。
感染源が単一か複数かも分からないわけですし、どうしても全PCのスキャンが必要なわけです。Cooporate EditionでNAVサーバ下にあるのでしたら、管理者スキャンを一斉にかければ見つけられるのではありませんか。
　外部から持ち込まれたPCが原因などということであれば管理責任を問われてしまいます。

回答No.1

yamaneko7

貴方の１４９回の回答の中に答えがあるではありませんか？

４０００台のマシンを保有する会社（組織）のなかで、ＮＴ等にもある意味詳しく、またレジストリの操作などにも言及している方のご相談とは思えません。失礼ながらこれは貴方を侮辱しているわけではなく、４０００台のマシンを有する会社に対して申し上げております。このご質問がご本心で書かれている物ならば、ここで聞くのではなく社内のシステム担当者が解決してくれます。もしも貴方がそのシステム担当者でなければの話ですが・・・。