Здрасте!

[Dr.Night]

Больше месяца поддержка Microsoft копалась, искала проблему, какого х на Exchange троттлинг аццкий после создания ApplicationImpersonation роли для одной железки вебексовой. В процессе вышли на то, что контроллеры домена раз в 15 минут по 2-3 минуты с  CPU 100% грузятся глубокими LDAP-запросами. LDAP-запросы с обычных рабочих станций.

Но докопались, таки. Кто же это был? Тадам.... Агент Касперского! Был включен опрос сети каждые 15 мин, а эти рабочие станции являлись точками распространения и валили контроллеры домена запросами поиска новых компьютеров в AD

Этих точек распространения сотни было, что ли?
Что то не верится, что небольшим количеством LDAP запросов можно уложить  DC. Это же уязвимость адовая.

[Triangle]

Можно подробней про точки распространения, не совсем понял.

[Retif]

Этих точек распространения сотни было, что ли?

Хз, во время загрузки на контроллере для MS снимали дампы процесса LSASS.exe, который, три дампа через 10-15 секунд. В них нашлось 14 рабочих станций. Если бы за все время проблемы смотреть (2-3 минуты), то там наверняка было бы намного больше, а раб.станций у нас тысячи.
Ну и дело не столько в количестве, сколько в глубине запроса, с момента запроса до момента окончания сбора данных прошла 31 секунда, тем не менее klnagent все еще не получил всю информацию от контроллера домена (закончилась запись трафика). Т.е. запрос очень большой и долгий. Косяк какой-то в агенте, получается.

Можно подробней про точки распространения, не совсем понял.

Хз, я Каспером не занимаюсь, не могу ничего сказать, видимо рабочие станции работают как точки распространения каких-то команд или ПО с сервера Каспера.

[OmaXs]

В политике агентов можно отключить опрос сети и АD в частности.. или задать промежутки времени пожирнее 

[Triangle]

Всё что вам надо знать о Битрикс24, эти макаки построили саппорт на том же сайте что и сам ресурс, ресурс не работает саппорт тоже, збс. Ну и ответик на вопрос хули ничо ваще не работает...

Ваше обращение было эскалировано на линию технической поддержки. Среднее время ожидания ответа на этой линии составляет 2 рабочих дня (10-19 МСК ПН-ПТ), но мы постараемся ответить быстрее. Ожидайте, пожалуйста, ответ в этом чате.

[Opium]

побояню чтоль
https://www.sibvers.com/ru/catalog/neytralizatory_gepatogennykh_zon/259/

Комплексный биокорректор «Кибергений»

[airdwarf]

побояню чтоль
https://www.sibvers.com/ru/catalog/neytralizatory_gepatogennykh_zon/259/

Комплексный биокорректор «Кибергений»

Гепатогенных? Это в которых печень растет?

[klarkin]

Opium, Да ладно, чо ты? - пусть люди зарабатывают. за глупость надо платить.

[Dr.Night]

а раб.станций у нас тысячи.

У вас, что, каждая рабочая станция это точка распространения? 

[Retif]

а раб.станций у нас тысячи.

У вас, что, каждая рабочая станция это точка распространения? 

я Каспером не занимаюсь, не могу ничего сказать

Вообще другие люди из другого отдела каспером рулят.

В политике агентов можно отключить опрос сети и АD в частности

Так и сделали, ибо вроде как не нужно. Сразу загрузка проца на контроллерах прекратилась. Но, подозреваю, что такие запросы не должны быть все же.

[Opium]

Opium, Да ладно, чо ты? - пусть люди зарабатывают. за глупость надо платить.

да я не против=))) отличные маркеры между прочим

[Triangle]

что такие запросы не должны быть все же

Это ебанько Касперский. Это норма

[Dr.Night]

Если в сети тысячи точек распространения, то ебанько не Касперский 

[ADK]

Если в сети тысячи точек распространения, то ебанько не Касперский 

Однозначно 

[Triangle]

Ну как бы по дефолту и рекомендации Каспера точки распространения полагается назначать автоматически, видимо автоматика так и порешала.