[alsergeich]

Есть сеть. Все ПК В домене.
2 дня назад началось повальное переполнение журнала безопасности.
Некто пытается залогиниться на ПК из неизвестного домена, неизвестной машины, под логином которого несуществует.
пропинговал имя машины - выбросило в интернет на сайт shai.spb.ru
попробовал зайти на машины с которой по журналу пытались зайти - такой нету.
На локальных машинах вирусов нет. Сеть большая. К каждой машине подходить очишать журнал каждое утро нереально.
похоже на вирус.. как бы найти с какой машины? снифер какой поставить?
или что еще? чтоб хотя бы айпишик найти откуда попытки авторизации идут.