Анализ трафика, генерируемого при загрузке и входе в систему Windows 2000

Окружение

Сервер

Клиент

Windows 2000

1 контроллер домена Windows 2000 в домене Main.Local, на котором были запущены службы:
DNS,
DHCP,
WINS.

1 настольный компьютер, работающий под управлением Windows 2000 Professional.
1 ноутбук, работающий под управлением Windows 2000 Professional.

NT 4

1 контроллер домена NT 4 SP6a, на котором запущены службы:
DHCP,
WINS.

1 настольный компьютер, работающий под управлением Windows 2000 Professional

Смешанное

1 контроллер домена, который был обновлен до Windows 2000, и на котором запущены службы:
DNS,
DHCP,
WINS,
1 NT 4.0 SP6a BDC

1 настольный компьютер, работающий под управлением Windows 2000 Professional

Лес

1 контроллер домена, работающий под управлением Windows 2000 Server в домене Corp.Main.Local, и на котором запущены службы:
DNS,
DHCP.
2 сервера под управлением Windows 2000 Server, настроенных в качестве RRAS-маршрутизаторов, с использованием кабеля Null Modem Cable для эмуляции медленного соединения.
1 контроллер домена Windows 2000 Domain Controller в домене Field.Main.Local
1 контроллер домена Windows 2000 в домене Field.Main.Local, на котором запущены службы:
DNS (вторичный),
DHCP.

Порт

TCP/UDP

Назначение

20

TCP

Протокол FTP

21

TCP

Протокол FTP

23

TCP

Протокол Telnet

25

TCP

Протокол SMTP IIS

31

TCP

Netmeeting

42

TCP

Репликация WINS

52

TCP

Netmeeting

53

UDP

Разрешение имен DNS (DNS Name Resolution)

TCP-поиск SQL (SQL TCP lookup)

53

TCP

DNS
TCP-поиск SQL (SQL TCP lookup)

67

UDP

Аренда адреса по протоколу DHCP (BOOTP) (DHCP Lease (BOOTP))

68

UDP

DHCP Lease

Аренда адреса по протоколу DHCP (DHCP Lease)

80

TCP

Протокол HTTP IIS

88

UDP

Протокол Kerberos

88

TCP

Протокол Kerberos

110

TCP

Протокол POP3

119

TCP

Протокол NNTP

135

TCP

Служба размещения (Location Service)

RPC
Сопоставитель конечных портов RPC (RPC EP Mapper)
Сопоставитель сеанса RPC SQL (SQL RPC session mapper)
Диспетчер WINS (WINS Manager)

Диспетчер DHCP (DHCP Manager)
Координатор распределенных транзакций (MS DTC)

137

UDP

Служба имени NetBIOS (NetBIOS Name Service)
TCP-поиск SQL (SQL TCP lookup)
Вход в систему (Logon Sequence)

Доверительные отношения NT 4.0 (NT 4.0 Trusts)
Безопасный канал NT 4.0 (NT 4.0 Secure Channel)
Сквозная проверка подлинности (Pass Through Validation)
Обзор ресурсов сети (Browsing)
Печать (Printing)
Поиск именованных каналов SQL (SQL Named Pipes lookup)

137

TCP

Регистрация WINS (WINS Registration)

138

UDP

Служба датаграмм NetBIOS (NetBIOS Datagram Service)

Вход в систему (Logon Sequence)

Доверительные отношения NT 4.0 (NT 4.0 Trusts)
Репликация каталогов NT 4.0 (NT 4.0 Directory Replication)
Безопасный канал NT 4.0 (NT 4.0 Secure Channel)

Сквозная проверка подлинности (Pass Through Validation)
Сетевой вход в систему (NetLogon)
Обзор ресурсов сети (Browsing)
Печать (Printing)

139

TCP

Служба сеанса NetBIOS (NetBIOS Session Service)
Протокол NBT
Протокол SMB

Совместное использование файлов (File Sharing)
Печать (Printing)
Сеанс именованных каналов SQL (SQL Named Pipes session)
Вход в систему (Logon Sequence)
Доверительные отношения NT 4.0 (NT 4.0 Trusts)
Репликация каталогов NT 4.0 (NT 4.0 Directory Replication)
Безопасный канал NT 4.0 (NT 4.0 Secure Channel)
Сквозная проверка подлинности (Pass Through Validation)
Средства администрирования NT 4.0 (Диспетчер серверов, Диспетчер пользователей, Просмотр событий, Редактор реестра, Диагностика, Системный монитор, DNS Administration) (NT 4.0 Administration Tools (Server Manager, User Manager, Event Viewer, Registry Editor, Diagnostics, Performance Monitor, DNS Administration))

161

UDP

Протокол SNMP

162

UDP

Ловушки SNMP (SNMP Trap)

215

TCP

Netmeeting

389

TCP

Протокол LDAP

443

TCP

Протокол HTTP SSL

445

TCP

Протокол SMB или CIFS

464

UDP

Службы смены пароля и ключа Kerberos (Kerberos kpasswd)

500

UDP

Протокол сопоставления безопасности и управления ключами в сети Интернет (IPSEC isakmp IKE)

531

TCP

Протокол IRC

560

TCP

Служба репликации содержимого сервера сайта (Content Replication Service Site Server)

636

LDAP поверх SSL (LDAP over SSL)

731

TCP

Netmeeting

Dynamic

UDP

Netmeeting

888

TCP

Вход в систему и среду (Login and Environment Passing)

Dynamic

TCP

Репликация каталогов (Directory Replication)

1109

TCP

Протокол POP с проверкой Kerberos (POP with Kerberos)

1433

TCP

TCP-сеанс SQL (SQL TCP session)

1645

UDP

Аутентификация RADIUS (RADIUS Authentication)

1646

UDP

Проверка учетных записей RADIUS (RADIUS Accounting)

1723

TCP

Протокол PPTP Control Channel (IP Protocol 47 GRE)

1755

TCP

Netshow

Dynamic

UDP

Netshow

1812

UDP

Аутентификация RADIUS (RADIUS Authentication)

1813

UDP

Проверка учетных записей RADIUS (RADIUS Accounting)

1863

TCP

MSN Messenger

2053

TCP

Демультиплексор Kerberos (Kerberos de-multiplexor)

2105

TCP

Шифрованный вход по протоколу Kerberos (Kerberos encrypted rlogin)

3268

Доступ к глобальному каталогу по протоколу LDAP (Global Catalog LDAP)

3269

Доступ к глобальному каталогу по протоколу LDAP поверх SSL (Global Catalog LDAP over SSL)

3389

RDP

Службы терминалов (Terminal Services)

8000

TCP

Система CyberCash (кредитный шлюз) (CyberCash (credit gateway))

8001

TCP

Система CyberCash (администратор) (CyberCash (admin))

8002

TCP

Система CyberCash (монетный шлюз) (CyberCash (coin gateway))

10140-10179

TCP

Диапазон портов DCOM (DCOM port range)

Проверка подлинности. Службы проверки подлинности проверяют подлинность пользователя или устройства, который запрашивает доступ к ресурсу.

Служба

Тип

Служба проверки подлинности AFS/Kerberos (AFS/Kerberos authentication service)

TCP-порт 7004 - afs3-kaserver

Служба проверки подлинности AFS/Kerberos (AFS/Kerberos authentication service)

UDP-порт 7004 - afs3-kaserver

Служба проверки подлинности (Authentication Service)

TCP-порт 113 - ident

Служба проверки подлинности (Authentication Service)

UDP-порт 113 - ident

Центр распределения сертификатов (Certificate Distribution Center)

TCP-порт 223 – cdc

Центр распределения сертификатов (Certificate Distribution Center)

UDP-порт 223 - cdc

Funk Software Inc.

TCP-порт 1505 - funkproxy

Funk Software Inc.

UDP-порт 1505 - funkproxy

Протокол входа на узел

(Система управления доступом к контроллеру терминального доступа (Terminal Access Controller Access Control System, TACACS)) (Login Host Protocol (TACACS))

TCP-порт 49 - bbn-login

Протокол входа на узел

(Система управления доступом к контроллеру терминального доступа (Terminal Access Controller Access Control System, TACACS)) (Login Host Protocol (TACACS))

UDP-порт 49 - bbn-login

Служба баз данных TACACS (TACACS-Database Service)

TCP-порт 65 - tacacs-ds

Служба базы данных TACACS (TACACS-Database Service)

UDP-порт 65 - tacacs-ds

Служба каталогов. Службы каталога разрешения имен предоставляют возможности разрешения имен и поиска, позволяя пользователям или устройствам обнаруживать сетевые ресурсы, при этом для поиска используя легко читаемые или запоминаемые человеком имена.

Служба

Тип

Привязка имен AppleTalk (AppleTalk Name Binding)

TCP-порт 202 - at-nbp

Привязка имен AppleTalk (AppleTalk Name Binding)

UDP-порт 202 - at-nbp

Служба размещения каталога (Directory Location Service)

TCP-порт 197 - dls

Служба размещения каталога

(Directory Location Service)

UDP-порт 197 - dls

Монитор службы размещения каталога (Directory Location Service Monitor)

TCP-порт 198 - dls-mon

Монитор службы размещения каталога (Directory Location Service Monitor)

UDP-порт 198 - dls-mon

Протокол LDAP (Lightweight Directory Access Protocol)

TCP-порт 389 - ldap

Протокол LDAP (Lightweight Directory Access Protocol)

UDP-порт 389 - ldap

Протокол SMB поверх TCP/IP (Microsoft-DS)

TCP-порт 445 - microsoft-ds

Протокол SMB поверх TCP/IP (Microsoft-DS)

UDP-порт 445 - microsoft-ds

Служба WINS (Microsoft\'s Windows Internet Name Service)

TCP-порт 1512 - wins

Служба WINS (Microsoft's Windows Internet Name Service)

UDP-порт 1512 - wins

Служба имен NETBIOS (NETBIOS Name Service)

TCP-порт 137 - netbios-ns

Служба имен NETBIOS (NETBIOS Name Service)

UDP-порт 137 - netbios-ns

Службы Hostname на компьютерах SRI-NIC (NIC Host Name Server)

TCP-порт 101 - hostnames

Службы Hostname на компьютерах SRI-NIC (NIC Host Name Server)

UDP-порт 101 - hostnames

Служба каталогов Prospero Directory Service (непривилегированная) (Prospero Directory Service non-priv)

TCP-порт 1525 – prospero-np

Служба каталогов Prospero Directory Service (непривилегированная) (Prospero Directory Service non-priv)

UDP-порт 1525 - prospero-np

DNS-сервер (Domain Name Server)

TCP-порт 53 – domain

DNS-сервер (Domain Name Server)

UDP-порт 53 – domain

Служба Host Name Server

TCP-порт 42 - nameserver

Служба Host Name Server

UDP-порт 42 - nameserver

Служба HOSTS2 Name Server

TCP-порт 81 - hosts2-ns

Служба HOSTS2 Name Server

UDP-порт 81 - hosts2-ns

Протокол Streettalk

TCP-порт 566 - streettalk

Протокол Streettalk

UDP-порт 566 - streettalk

Шифрование

Служба

Тип

Kerberos

TCP-порт 750 - kerberos-sec

Kerberos

TCP-порт 751 - kerberos_master

Kerberos

TCP-порт 88 - kerberos

Kerberos

UDP-порт 750 - kerberos-sec

Kerberos

UDP-порт 751 - kerberos_master

Kerberos

UDP-порт 88 - kerberos

Администрирование базы данных kadmin протокола Kerberos версии 5 (kerberos administration)

TCP-порт 749 - kerberos-adm

Администрирование базы данных kadmin протокола Kerberos версии 5 (kerberos administration)

UDP-порт 749 - kerberos-adm

Центр распределения ключей Kerberos (Kerberos Key Distribution Center)

Служба Windows NT – центр распределения ключей Kerberos (Windows NT Service - Kerberos Key Distribution Center)

kerberos-master

TCP Port 751 - kerberos-master

Маршрутизация. Маршрутизирующие протоколы обеспечивают обмен информацией между сетями. Из этого списка исключен протокол TCP/IP, поскольку его используют все узлы в сети. Необходимо отметить то, что наличие протоколов, отличных от TCP/IP, может сигнализировать о том, что присутствуют другие версии клиентских ОС и/или конфигурации сети.

Служба

Тип

Протокол AppleTalk (AppleTalk Protocol)

Служба Windows NT – протокол AppleTalk (Windows NT Service - AppleTalk Protocol)

Маршрутизация AppleTalk (AppleTalk Routing Maintenance)

TCP-порт 201 – at-rtmp

Маршрутизация AppleTalk (AppleTalk Routing Maintenance)

UDP-порт 201 - at-rtmp

Appletalk Update-Based Routing Pro.

TCP-порт 387 - aurp

Appletalk Update-Based Routing Pro.

UDP-порт 387 – aurp

Информация о зоне AppleTalk (AppleTalk Zone Information)

TCP-порт 206 - at-zis

Информация о зоне AppleTalk

(AppleTalk Zone Information)

UDP-порт 206 - at-zis

Протокол пограничных шлюзов (Border Gateway Protocol)

TCP-порт 179 - bgp

Протокол пограничных шлюзов (Border Gateway Protocol)

UDP-порт 179 - bgp

Протокол IPX

TCP-порт 213 – ipx

Протокол IPX

UDP-порт 213 – ipx

Процесс локальной маршрутизации (на сайте) (Local routing process (on site))

UDP-порт 520 – router