Capture packet trên UTM SRX-650

[vtc34]

Dear các bro. tình hình là nhà em dùng con UTM này làm gateway luôn và thời gian vừa rồi trong mạng lan nhà em có hiện tượng gửi spam ra ngoài và attrack 1 server khác và ISP báo blacklist địa chỉ IP public nhà em.
Em muốn hỏi là làm sao để em có thể capture được các packet từ con UTM này qua in - out interfaces để xác định ai là người gửi spam trong mạng Lan ra ạ, em có khoảng 500 - 600 user nên rất nan giải. Help ASAP plz!

[dangquangminh]

mail server em dùng là MS Exchange à?

[vtc34]

mail server em dùng là MS Exchange à?

Không anh ạ. nhà em đặt mail server tại data center bên ngoài cty nên ko ảnh hưởng gì và cũng loại trừ ngay là do mail server. việc gửi spam này cụ thể là attrack vào 1 server tại nước ngoài qua port ftp và vấn đề là cả 1 dải IP/24 cùng với dải của nhà em của VNPT đều bị blacklist vì việc này và nó ảnh hưởng đến nhiều người.Zz

[dangquangminh]

trước mắt em chặn cái FTP, rồi đọc log xem client IP nào dùng FTP.

http://kb.juniper.net/InfoCenter/index?page=content&id=KB17285

[vtc34]

[QUOTE=dangquangminh;318059]trước mắt em chặn cái FTP, rồi đọc log xem client IP nào dùng FTP.

/QUOTE]
Thank Bro.
FTP trên UTM nhà em thì disabe rồi ạ.
dns disable;
ftp disable;
h323 disable;
mgcp disable;
msrpc disable;
sunrpc disable;
real disable;
rsh disable;
rtsp disable;
sccp disable;
sip disable;
sql disable;
talk disable;
tftp disable;
pptp disable;
Vấn đề là theo log nó gửi thì có 1 local nào đấy tấn công nhà cụ thể là vào cổng ftp :21 :Apr 3 21:14:38 h0126 proftpd[31883]: 127.0.0.1 (203.162.129.122[203.162.129.122]) - USER xxxx: no such user found from 203.162.129.122 [203.162.129.122] toxxx:21
Apr 3 21:14:40 h0126 proftpd[31884]: 127.0.0.1 (203.162.129.122[203.162.129.122]) - USER
log như thế này anh ạ. em chưa post được link nên ko hiển thị được cái destination đấy.
Thú thực là em đã từng cùng mấy anh em DDOS Ampli NTP port 123 1 số thằng khác nhưng không phải trường hợp này. Trường hợp này em chưa biết dư lào.@@