[ml] Possibile intrusione ?

Buongiorno a tutta la lista
Da un mese a questa parte mi capitano delle cose strane: 
1. Il sabato e la domenica (non tutti) mi trovo sul pdc (samba) linux delle
richieste bloccate dal host firewall con sorgente ip server Sap (WinNT 4  
   server SP6a) in lan source port 137 UDP (netbios) verso PDC samba con
destination port 33500 (dinamic port)
2. Mi sono trovato per ben due volte il firewall bloccato (Appliance
Soniwall) solitamente il blocco avviene a cavallo tra sabato e domenica

Ho verificato i log dei server, ma non mi sebra di aver rilevato nulla di
anomalo (non ce presenza di errori, tentativi di login ecc.), ho provato
anche con rkhunter e chrootkit ma anche qui non mi rileva niente tutto
regolare.
Puo darsi che non sia niente, oppure un hacker molto bravo nascondersi, ma
ho preferito chiedere a Voi esperti in security in che modo posso muovermi.

Ps. Ho intallato sia in dorsale che in la (bridge mode) Snort + ethereal per
analizare il traffico 


Ringrazione anticipatamente per tutte le risposte
Alessandro