[linux-users:83096] Re: セキュリティの設定について

[MATSUDA Yoh-ichi / 松田陽一<matsuda _at_ xxxxxxxxxxxx>]

こんにちは。松田陽一 _at_ PAL-NET三鷹です。

From: "OOSATO,Kazzrou" <kazz _at_ kk.iij4u.or.jp>
Subject: [linux-users:83094] Re: セキュリティの設定について
Date: Tue, 1 May 2001 02:49:50 +0900

> 大里です。

どうもです。^^

> # 固定IPじゃない普通のフレッツISDNなわが家でさえ、ポー
> # トスキャンの訪問がたびたびある今日この頃ではあるし。

私の所にも来てます。例えば、

Apr 29 03:12:11 vawr kernel: Packet log: ppp-in DENY ppp0 PROTO=6 211.22.83.86:1377 61.119.131.145:53 L=60 S=0x00 I=56171 F=0x4000 T=42 SYN (#19)

とか。

# 発信元IPアドレスを http で覗くと…。(怖)

ポート53番と 111番を突いて来るのが多いです。
あと、発信元 IP アドレスを http で覗くと、例えば

Apr 28 21:48:08 vawr kernel: Packet log: ppp-in DENY ppp0 PROTO=6 133.70.180.9:53 61.119.131.145:53 L=40 S=0x00 I=39426 F=0x0000 T=26 SYN (#19)

Apr 30 23:18:38 vawr kernel: Packet log: ppp-in DENY ppp0 PROTO=6 213.146.160.162:1818 61.119.131.145:111 L=60 S=0x00 I=3815 F=0x4000 T=43 SYN (#19)

みたいに、 RedHat のデフォルトページが出て来たり、そうでなくても
RedHat からのアクセスが多く見受けられます。
ひょっとして踏台にされてるんじゃ?(怖)

長く繋ぎっぱなしにしているのはマズいのかな、と思い、一旦切断して、
再び接続すると、早速ポートスキャンが来ます。

May  1 04:44:07 vawr pppd[23447]: Connect: ppp0 <--> /dev/ttyS0
May  1 04:44:09 vawr pppd[23447]: local  IP address 211.0.249.248
May  1 04:44:09 vawr pppd[23447]: remote IP address 211.129.63.211
May  1 04:51:19 vawr kernel: Packet log: ppp-in DENY ppp0 PROTO=6 211.185.102.35:3217 211.0.249.248:111 L=60 S=0x00 I=10363 F=0x4000 T=37 SYN (#19)

多分、日本のプロバイダが持つ IP アドレスをポーリングし続けていて、
隙があればそのマシンが繋がっている僅かな間でさえクラッキングを試
みて、踏台にしようとしているのではないでしょうか。

ダイヤルアップだから安全、という定説はもう成り立ちません。
--
♪『さよなら…』その言葉は言えずに『またね。』と言った
松田 陽一(yoh)
mailto:matsuda _at_ palnet.or.jp
http://www2.palnet.or.jp/~matsuda/index.htm