之前一直都是使用nc來傳資料到 syslog

但這几天發現做好的檔案都被砍了

反正eset現在不允許nc的執行

另外找了一個 sfk

之前有試過 但當時有不少bug

語法如下

sfk oload log.txt +udpsend 10.0.0.1:514

http://stahlworks.com/sfk-udpsend

發生好几次電腦大量封包的傳輸

netflow的值都在几萬甚至几十萬

以往的做法都是先把ip block掉

等user自己來反應

但醬沒辦法在事發的當時撈到相關資料

到底是那個程式造成的

最近找到

LiveTcpUdpWatch

這個工具

就可以在 eset protect 上直接派送到電腦上執行並傳回資料

馬上就可以知道是那支程式造成的 資料撈回來後再把ip block掉

相當方便

程式如下

curl -o %temp%\LiveTcpUdpWatch.exe http://10.0.0.1/LiveTcpUdpWatch.exe

%temp%\LiveTcpUdpWatch.exe /CaptureTime 300000 /scomma "%temp%\tcpudp.csv"

ping -n 310 localhost > NUL

curl -u id:passwd -T "%TEMP%\tcpudp.csv" ftp://10.0.0.2/

https://www.nirsoft.net/utils/live_tcp_udp_watch.html

https://www.nirsoft.net 這個站裡的工具都很好用

之前本來想從eset的管理介面下指令在每台電腦上跑winget

但這段時間看好像都沒效果

但從管理介面看是執行成功的

請席克幫忙查一下

結果是因為主控台派下去的指令的執行身分是 system

但是用system這個身分去執行 winget 無法成功

昨天討論後

最後決定直接在每台client執行排程

試過一台沒問題

今天把辦公室的几器全部加入排程

明天中午再來看看結果