Linux で、自宅 Web Server の運用、PC 環境　掲示板

300 Cracker（くらっかー）による攻撃　その１

2012/2/2(木)11:13 - 万屋 - 2580 hit(s)

= 趣旨 =

　実は、新しく楽天Broadbandを利用してから、
Web Server への攻撃が、極端に増えた。

　契約的に２年間の縛りがあるらしいので、
やもえず契約を維持するが、So-netと契約を
行っておけば良かったと、後悔している。


　初期の一ヶ月は、最悪で、数分後にDownを
させられてしまう！

　色々と防御対策を整えつつ、１０月頃には、
一時的に無くなった。

　しかし不動産会社、国、東京都、八王子市、
立川市との訴訟が始まってから、一気に増え
新たな防御対策を検討ながら、敵方の行動を
観察していた。

（私のWebServerは、HoneyPot化している）



===== 敵方からの攻撃方法 =====

　Server（PC）に、外部からScript Fileを
送入して、それを稼動させNetworkのDownを
試みるらしい。


　そのScript名は、『　maxlifetime　』との
名称で、外部から当方のServerに送り込まれ、
それを走らせる。

　どうやら「WebServerを落とせば私が対処に
おわれ、他の事が行えないだろう・・・」と
言う趣旨にて名付けたCrack（破壊）工作の
File名らしい。


===== 使用をされるPort =====

　そ知らぬふりをして、色々と背後で調べて
いたのですが、大手企業からのServerを装い
（Bindを行って）、Ftpなどで攻撃を仕掛けて
いるらしい。

　Port番号では、21、123、443を使用しての
Accessが確認をされている。


---　各Portの一般利用に付いて

　『 21 』がFtp（File転送）、『 443 』が
httpsでのAccess（認証などSecurity関係での
Http形式）で用いられる。
　
　ちなみにPortの『　123　』は、時間調整で
用いられる。

---

　しかし当方のModem（もでむ）では、21 が
外部と通信が行えないよう設定をされており、
『本攻撃に対する偽装』と判断して、433、
123 の類が疑われた。

　433では、WebminへのAccessが疑われるが
設定的に、やはり外部からのAccessが行え
ないように成っている。

　そこで、123 Portを監視することにした。


== 防御の対策 ==

（１）第一段階

　単純にUWFを使いPort 80（Http）以外を
塞いでおいた。


（２）第二段階

　次いでModem側もServer側へのAccessを
規制して、Modem（ADSL）側からPort 80
以外を受け付けない設定を行った。


（３）第三段階

　更に、Server側から外の他Portへと、
Accessする傾向が有ったので、それらも
80番以外を閉鎖した。

★
　ntp(123)は、時間合わせの為に自らが
（PCが自動で）外部へ繋ぎに行く。



（補足）
　LAN内の設定に付いては、故意に規制を
緩めて、監視中である。


==== 結語 ====

　敵方は、「（１）Fileを送って、（２）
稼動させる」との二種をCrack工作の過程
としている。

　又、当方で確認をしている敵方の偽装
（Bind）は、裁判所、Google、Ntt、海外
の通信網など、特定の通信業者が含まれて
ないのも特徴である。

　つまり逆に、特定の通信業者を避けて
（または、敵が使えない状態で、偽装を
行える業者を）悪用しているようである。


　実は、その背景も解かっており、他の
一般人が関与をすることも無いのかとも
想われるので記載をしないが、一般的な
防御方法となる程度だけを記載しておく。


　後における敵本陣の壊滅対処は、私の
特殊工作で♪

〔ツリー構成〕

【268】第十ニ期　LANの再構築 2011/11/21(月)01:31 万屋 (1309)

┣【269】色々な問題 2011/11/21(月)01:33 万屋 (92)