Digitale radio en bandbreedte

Vorige week een rare situatie meegemaakt. Mijn collega kreeg bij een klant een rapport van de ISP, waaruit bleek dat sinds een paar weken sommige dagen men een download van 3 tot 4 GB had, zelfs in het weekend. Natuurlijk zijn we als security mensen direct wantrouwig en er waren een paar mogelijke oorzaken:

1. PC die een peer-to-peer programma had staan om zaken zoals MP3s en DVDs af te halen
2. PC die geïnfecteerd was met een virus
3. Iemand die op het netwerk geconnecteerd was (bijv. via wireless) die geen toelating had
4. ...

Hoe pak je dit nu aan? Gelukkig hadden we de firewall juist veranderd naar Check Point UTM-1. Voordeel van dergelijke firewall is de logging. En die hadden we dus voldoende.

Een uurtje logs bekijken gaf al heel snel de oplossing. Er waren geen rare poorten die werden gebruikt, buiten DNS, SMTP en HTTP verkeer. Maar op HTTP was er wel veel connecties van een bepaalde PC. En de URL was altijd dezelfde. Dus snel de URL opzoeken en dit bleek www.digitaleradio.be te zijn. Aha!

Dit is een streaming audio site, waar je dus gewoon naar digitale radio kunt luisteren. Maar wel aan een snelheid van 96 kilobyte per seconde. Dus dit betekent 96*60 = 5760 kilobyte per minuut of 5760*60= 345600 kilobyte per uur. Dus per uur een 345600/1024= 337,5 MB download. Dus een werkdag van 8 uur levert al snel een 3 tot 4 GB op. Voor 1 geconnecteerde PC!!!

En waarom dit in het weekend voorviel was snel uitgeklaard. Er werd in het weekend soms doorgewerkt.

Problemen met netwerk adaptors op XP

Begin deze week een heel rare situatie meegemaakt. Ik had een programma, LinkScanner geïnstalleerd dat URLs screent op exploits. Blijkbaar had dit programma de volledige windows netwerk socket aangepast. Omdat ik in de firewall logs rare HTTP traffiek zag naar een ADSL adres in Israel (!), besloot ik om het programma te verwijderen om te kijken of de traffiek stopte. Aangezien ik altijd met 5 zaken tegelijk bezig ben, had ik tijdens de uninstall ook een VPN connectie opgestart met Check Point SecureClient. Plots stopte de SecureClient met een bizarre foutmelding: SecureClient failed to start. Please re-install.
Een reboot loste het probleem niet op. Ik kreeg een pop-up dat een service van SecureClient niet kon opstarten.
Dan maar de laatste nieuwe versie installeren.
Reboot.
Zelfde errors.
Geen VPN.
Paniek.
En dan kreeg ik een inval. Ik had vroeger al eens een gelijkaardig probleem geconstateerd bij een PC van een klant. De LSPs (iets te maken met registry keys en netwerk adaptors/sockets) waren corrupt. Ik heb dan een gratis tool gedownload, LSP-Fix en dit laten draaien. Hij vond direct een paar zaken die te maken hadden met de uninstall van LinkScanner. De registry keys verwezen nog naar de DLL die ondertussen is verwijderd door de uninstall. Gelukkig kan LSP-Fix dit verhelpen. En inderdaad, een reboot en de VPN client werkt zoals het moet. LSP-Fix kan je hier vinden: http://www.cexx.org/lspfix.htm