DHCP Lease "detective"

[Lompulu 10]

Hallo,

 

nach der Durchsicht meines DHCP Lease erscheinen ungewöhnliche Einträge

mit MAC Adressen, die in unserem Netz nicht existieren können.

 

Sie haben alle den Namen "detective" und folgende Mac Adressen:

 

4D:C8:43:BB:8B:A6

45:3B:13:0D:89:0A

32:F6:9E:7D:49:DC

 

Das Firewall Log gab keinen Aufschluss und die Überprüfung aller Rechner nach Trojaner

uns Spyware auch. Bei Google gesucht, haben auch andere User dieses Phänomen, aber es sind keine relevanten Antworten zu finden.

 

Weiß hier im Forum jemand, was diese Einträge bedeuten.

 

(: Lompulu

[frosch2065 10]

Hallo!

 

Mein DHCP hat diese MAC-Adressen ebenfalls protokolliert.

Ich vermute mal, du hast einen Server 2003 im Netzwerk laufen!?

Dies scheint nach meinen Recherchen bisher die einzige Gemeinsamkeit derjenigen zu sein, denen diese DHCP-Lease aufgefallen ist.

Aber ich bin bei der Suche nach der genauen Ursache auch nicht weitergekommen.

 

Für mein Netzwerk bin ich ziemlich sicher, dass eine Einwirkung von außen nicht stattfinden kann. Server und Clients habe ich mit verschiedenen Scannern bearbeitet, ohne auf Besonderheiten zu stoßen.

 

Daher geht meine Vermutung in die Richtung, dass sich hier der Server selbst hat IPs zuweisen lassen. Aber wie und warum......?

 

Hat wirklich keiner eine Idee dazu?

[Daim 12]

Kommt es vor, dass in euren Netzen DRITTE Ihr Laptop ans Netz anstöpseln oder Mitarbeiter ihr privates Laptop mitbringen und anstöpseln ?

 

Aber sicher ist, es geht um das Thema Sicherheit.

 

http://groups.google.de/groups?hl=de&q=dhcp%2Bdetective

[blub 115]

hast du am DHCP-Server das Auditlog aktiviert? Geht irgendwo in der DHCP-GUI.

Da stehen gute Infos drinnen, was wer wann vom DHCP wollte

 

cu

blub

[IThome 10]

Wieviele Adressen sind das ?

[frosch2065 10]

Hallo!

 

Also die Sache hat sich für mich zumindest aus der Sicherheitsperspektive geklärt:

 

Tatsächlich werden diese DHCP-Anforderungen generiert, wenn man das Serverkonfigurationstool im Server 2003 für das Management der Serverrollen verwendet.

Bei jedem Aufruf dieses Tools prüft dies zunächst das Netzwerk, in dem der Server eingebunden ist.

Bei dieser Prüfung werden diese ominösen DHCP-Lease angefordert.

Dies läßt sich nachvollziehbar testen, wenn man die Liste des fraglichen DHCP-Servers löscht, dann auf dem Server 2003 dieses Managementtool startet und anschließend die DHCP-Liste kontrolliert.

 

Ich bin allerdings noch nicht dahinter gekommen, welchen Sinn das machen soll. Vielleicht ist es nur eine Methode, die Präsenz eines DHCP-Servers im Netzwerk zu testen?