現在地 HOME > 掲示板
> ＩＴ１ > 838.html
★阿修羅♪
|
現在地 HOME > 掲示板
> ＩＴ１ > 838.html
★阿修羅♪
|
|
(回答先: 最近のサーバ攻撃 （５） 投稿者 愚民党 日時 2003 年 9 月 04 日 10:35:43)
-------------------------------
最近のサーバ攻撃のトレンド（流行）。つまり見えない戦いの状況をわかりやすくご紹介するコーナーです。
（２００２／２／２）
１．Ｎｉｍｄａはどうなった？
http://www.netpub.tsuzuki.yokohama.jp/j/server/list-2002-02-02.html
あいかわらず攻撃があります。１日平均５件〜７件程度の攻撃を受けています。みなさん注意してください。日本国内からの攻撃は無くなりましたが、攻撃元は韓国がとても多く、わざとではないとしても、いいかげん韓国のネットワーク管理者のレベルの低さにはあきれています。もっとまじめに管理してほしいものです。ちなみに、ＣｏｄｅＲｅｄは完全に終息しています。
２．（＊ｏ＊）バッド・トランスが・・
１２月〜１月は「W32.Badtrans.B」ウイルスの添付されたメールが良く到着しました。
本当に迷惑なメールですよね。僕はＮｅｔＳｃａｐｅのメール機能を利用していたため被害はありませんでしたが、１０通以上メールが届きました。被害にあった人のパソコンから発信されているわけなので、ほっておくのも人の道に外れると思い、警告メールを作り、ウィルスの被害にあった人達へ送りました。届いた人がしっかり対応してくれることを祈るばかりです。ところで、このウィルスのパターンをウィルス検出ソフトに登録したところ予想もしないトラブルに遭遇してしまいました。それは、ウィルス付きのメールを受信したときの話、ウィルス検出ソフトが「ウィルスのファイルを削除しますか？」と聞いてくるのですが、そこで「はい」を指定して、メール機能の画面に戻ったら、過去の受信メールがすべて消滅しました（ＴＴ）。
（＊＊；「なぜじゃ？ウィルス付きメールを削除したはずで、全受信メールを削除した覚えはないぞ！」と思い、しばらく凍りついていました。メールの受信箱のバックアップを取っていたので、それほど打撃はありませんでしたが、良く考えたら、受信メールはひとつひとつｆｉｌｅで管理されているわけでなく、「受信箱」という１つのＦＩＬＥに蓄積されていることを思い出しました。
つまり、「ウィルスのファイルを削除しますか？」ということは、すなわち、メールの格納されたファイル「受信箱」を削除することを聞いていたのです。ここで「はい」と答えたのですから、ウィルス対策ソフトは「受信箱」そのものを削除してしまったのです。こうして、過去の受信メールはすべて消滅したというわけです。
さて、これでは「受信箱」に入り込んだウィルス付きメールは永遠に削除できないことになります。こんなものを入れておいて、いつ、このメールの添付ファイル（ウィルス）を実行するやも知れません。ということで、本気で削除することにします。そのウィルス付きメールを反転させ「削除」をクリックします。ここで、ウィルス対策ソフトがウィルスを検知して警告をしてきますが、「継続（続行）」を指定して削除処理を遂行します。これで、ウィルス付きメールは削除箱（Ｔｒａｓｈ）に入ります。
ところがです。。受信箱から消えているはずなのに、この箱をアクセスするたびにウィルス対策ソフトがウィルスを検知して警告するようになりました。（？？）「なぜ？削除したのに？」ここでも凍りつきました。良く良く考えたら「削除フラグだけが立って、データそのものは消されてないのかも・・」と思いあたりました。そこで、ためしに「フォルダを圧縮」を実行して、受信箱を圧縮してやることにしました。ここでも、ウィルス対策ソフトがウィルスを検知して警告してきますが、無視して「継続（続行）」すると、完全に、受信箱からウィルスデータが消滅し、以降、ウィルス対策ソフトがウィルスを検知することはなくなりました。（＾＾；削除箱（Ｔｒａｓｈ）に入っているウイルス付きメールも同じように削除して「フォルダを圧縮」してやるとウィルスのデータを消せることがわかりました。途中、何度もウィルス対策ソフトがウィルスを検知して警告してきますが、「継続（続行）」を指定し処理を続ければ、ウィルス付きメールを確実に消せることがわかりました。それにしても、ウィルス対策ソフトとメール機能の相性の悪さを発見してしまいました。
３．１２３４５ポートを狙う攻撃の意味
現在は終息しましたが、１２３４５ポートを狙った攻撃が去年からありました。記事で取り上げられる前からあって、「なぜ？」と思っていたのですが、最近、そのポートを攻撃する意味が記事として紹介されていました。以下のＵＲＬを参照してください。本サイトのイントラネットのクライアントにはウィルスバスターを使っていないので影響はありません。また、１２３４５ポートについては初回の攻撃検出からフィルタリングの定義に追加されているので、攻撃はまったく無意味なものになっていました。
http://www.zdnet.co.jp/news/bursts/0201/25/01.html
４．ＳＳＨ（２２）ポートを狙う攻撃
Ｌｉｎｕｘサーバについて言うと、去年、ｔｅｌｎｅｔとｓｓｈのセキュリティホールが報告されていました。インターネットでその記事を見たとき、ＳＳＨポートを狙う攻撃が増えるだろうと思っていたら、案の定です。最近、頻繁に、ＳＳＨポートをたたくアクセスがやってきます。（＾＾；このサイトは別のページにも記述していますが、ＦＴＰ、ＴＥＬＮＥＴ、ＳＳＨのような外から入り込めるポートはすべて閉鎖しています。毎日、ＳＳＨポートをたたいてくる犯罪者の対応を要求するため、苦情メールを作っては、ネットワーク管理者へ送信しています。もし、外から入り込めるポートが開けてあれば、パッチによる修正をしてない限り、Ｌｉｎｕｘサーバといえども安全ではありません。
５．ＮｅｔＢＩＯＳ（１３７ポート）を狙う攻撃
現在も続いている攻撃にＮｅｔＢＩＯＳ（１３７ポート）を狙う攻撃があります。イントラネットではＷｉｎｄｏｗｓクライアントを使っていてＮｅｔＢＩＯＳが関係してきますが、外部のインターネットゾーンは、すべてＬｉｎｕｘサーバですので、ＮｅｔＢＩＯＳ（１３７ポート）を狙う攻撃はまるで意味がありません。それでも、何を期待しているのかわかりませんが、特定のサーバへしつこく攻撃をかけてきます。苦情メールを作れないほど、多くの場所から来るので放置状態ですが、仕方ないので、別におとなしくさせる手立てをこうじています。
６．ＩＤＳの検出を逃れるためのめずらしい攻撃パターン
最近、新しいスキャンパターンを発見しました。以下にログを紹介します。
Source
（送信元）
212.74.101.6
212.74.101.6
212.74.101.6
212.74.101.6
212.74.101.7
212.74.101.7
212.74.101.5
212.74.101.5
212.74.101.9
212.74.101.9
212.74.101.6
212.74.101.6
212.74.101.6
212.74.101.6 Destination
（送信先）
本サイトのサーバ
本サイトのサーバ
本サイトのサーバ
本サイトのサーバ
本サイトのサーバ
本サイトのサーバ
本サイトのサーバ
本サイトのサーバ
本サイトのサーバ
本サイトのサーバ
本サイトのサーバ
本サイトのサーバ
本サイトのサーバ
本サイトのサーバ Protocol
（プロトコル）
TCP
TCP
TCP
TCP
TCP
TCP
TCP
TCP
TCP
TCP
TCP
TCP
TCP
TCP Info
（内容）
80 > 1053 [SYN, ACK] Seq=1981021495 Ack=871667775 Win=17520 Len=0
80 > 1053 [RST, ACK] Seq=1981021496 Ack=871667775 Win=17520 Len=0
80 > 1170 [SYN, ACK] Seq=2952003741 Ack=58483698 Win=17520 Len=0
80 > 1170 [RST, ACK] Seq=2952003742 Ack=58483698 Win=17520 Len=0
80 > 1219 [SYN, ACK] Seq=4121110396 Ack=4077289401 Win=17520 Len=0
80 > 1219 [RST, ACK] Seq=4121110397 Ack=4077289401 Win=17520 Len=0
80 > 1076 [SYN, ACK] Seq=3765775379 Ack=1408756051 Win=17520 Len=0
80 > 1076 [RST, ACK] Seq=3765775380 Ack=1408756051 Win=17520 Len=0
80 > 1097 [SYN, ACK] Seq=207536239 Ack=871667775 Win=17520 Len=0
80 > 1097 [RST, ACK] Seq=207536240 Ack=871667775 Win=17520 Len=0
80 > 1107 [SYN, ACK] Seq=4012655269 Ack=2482867068 Win=17520 Len=0
80 > 1107 [RST, ACK] Seq=4012655270 Ack=2482867068 Win=17520 Len=0
80 > 1261 [SYN, ACK] Seq=1470080891 Ack=1945778792 Win=17520 Len=0
80 > 1261 [RST, ACK] Seq=1470080892 Ack=1945778792 Win=17520 Len=0
なぜ、このパケットたちが特別かというと、一見、このパケットは212.74.101.5〜9のＷＷＷサーバへアクセスし、その応答パケットのように見えるからです。（＾＾；良く考えてください。212.74.101.5〜9のひとつひとつがＷＷＷサーバだなんて、ふつーは考えられないでしょう。こちらのサイトから、こまめにひとつひとつＷＷＷサイトを見ていたというのでしょうか？それに、伏字のＩＰアドレスこそが本サイトのＷＷＷ専用サーバであり、ファイアウォールではないのです。したがって、伏字のＩＰアドレスから212.74.101.5〜9のＷＷＷサーバへページを見るためのアクセスが出ることはありません。
一番奇妙なのは、このパケットたちには「ＳＹＮ，ＡＣＫ」「ＲＳＴ，ＡＣＫ」がつけられていて、こちらの応答を期待している！というわけです。そして、仮に1024より上のポートでサービスが開いていた場合、応答が返送されるわけなので、りっぱなポートスキャンとなります。この手の方法はＩＤＳの検出を逃れるためにやっているものと予想します。
どういう場合に、この手のスキャンをするかといえば、ＩＤＳが構築されていて、ＩＤＳから自分が行っているスキャンの検出を逃れるためと、サーバシステムの制御のためのポート（ｔｅｌｎｅｔやｓｓｈ）がリダイレクト定義により１０２４より上のポートに設定されていると仮定しポートスキャンをする場合です。こうして考えてみると、今回のこのポートスキャンはきわめて悪質だと言わざるを得ません。
用語：ＩDS(Intrusion Detection System)
不正侵入検知システム。ネットワークに流れるパケットを常時監視し、ポートスキャンやDoS(Denial of Service)・DDoS(Distributed DoS)攻撃などの不正アクセスを検知するシステムの総称。本サイトも自前で構築し、独自の検出手法を取っている。日本では先駆けになる。
--------------------
題名には必ず「阿修羅さんへ」と記述してください。