[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]

[bjlug-ml] Re: how can I read log files?

>>>>> On Thu, 14 Jun 2001 10:54:35 -0400, "gutara" <k@gutara.com> said:

    > お久しぶりです、こんにちは。

お久しぶりです。


    > 1） 外部からのアクセスログはどのように取られてますか？

mail server や web server が動いてるポート(25とか80とか)は、その
サーバがログを取ってますよね。それら以外のポートに対して外からア
クセスがあったとき、うちでは返答せずに単にパケットを捨て去るよう
に設定してます。これはパケットフィルタという仕組みで実現してます。
(うちの場合は IPFW)

この「捨て去る」ときにログを残すようにパケットフィルタのルールを
書いてるんです。



    > 2） 「セキュリティホールを探すアクセス」という行為は、ログファイル中、どのよ
    > うに記述されているのでしょうか？

たとえば web server のログだと、

  [Tue, 22 May 2001 19:46:03 GMT] [error]   202.98.6.135 "GET x HTTP/1.0" Not Found (404)

なんていうのがちょくちょくあります。これはクラック用のスクリプト
が web server の version を調べるために残す足跡として知られてい
るらしいです。もちろん既知のセキュリティホールを持つ web server
を探しているわけです。

パケットフィルタのログだと、

   Jun 12 02:27:40 lazybird /kernel: ipfw: 1900 Deny TCP 202.198.240.5:4768 207.180.184.126:53 in via xl0

なんていうのがよく残っています。これだけではTCPパケットがポート
53(DNS)に届いた、ということしかわかりませんけれど、おそらく1月末
に明らかになった BIND(named) のセキュリティホールを探してると考
えられます。(うちはネームサーバを動かしてないので、リクエストし
ない限り port 53 へのアクセスが起こるはずがないので)

ちなみにこの named の穴は深刻で、あっという間に root 取られます。
私の管理下ではありませんけれど、tncc.suginami.tokyo.jp のネーム
サーバは、今年の2月にプライマリ、セカンダリともほぼ同時に落とさ
れました。rootは取られなかったらしいですが。

こんな話もあります。
http://home.jp.FreeBSD.org/cgi-bin/showmail/FreeBSD-users-jp/62179


特に多いのは DNS(53), RPC(111), NETBIOS(137) かなぁ。他にもいろ
いろなportに来ますけれど。



    > 先行者↓とかに。

先行者はアチコチで大人気ですね:-) あの顔がいい。

-- 
Masami Kobayashi / Brookline, MA
masami@tncc.suginami.tokyo.jp
masami@tncc.jp (試験中)