Re: 踏み台

Re: 踏み台 ( No.1 )
日時： 2005/06/10 10:42 名前：管理者取れるかどうか分かりませんが「ps -ef」コマンドを実行してください。その後すぐに、緊急対応として、サーバをLANから切り離してください。その後、踏み台にされた理由から考えましょう。 ①telnetでログインされて、sshで他の方にログインしようとしている？ ②sshでログインされて、sshで他の方にログインしようとしている？ ③既にプログラムが組み込まれてしまって、プログラムよりsshで他の方にログインしようとしている？大抵は上記パターンだと思います。取りあえずLANから切り離す事により、sshアタックされている方には迷惑が及びません。 ①と②であれば、不要ポートを閉鎖し、ログインできるユーザを限定かつログインできるIPも限定してあげればよいでしょう。しかし③が組み込まれてしまっては、何処に仕込まれたか調べるのが厄介です。サーバを再インストールするのが無難です。ログの中身も重要です。「/var/log/messages」と「/var/log/secure」はバックアップ(Windows等に落とす)して下さい。 (一様、/var/log/配下はコピーしてください。) この中に、グローバルIPアドレスよりログインしているログがあるはずです。それがいつの日だったか全てリスティングしましょう。頻繁にログインしているならば③の可能性が低いと思われるので、①と②の対応策で大丈夫かもしれません。
Re: 踏み台 ( No.2 )
日時： 2005/06/10 13:22 名前：管理者 `追記サービスを切っても無駄と思います。ログインされて、また起動されたら意味ありませんので・・・すみません、仕事中でこの後外出します。夜にまた、当スレッドを確認します。`
Re: 踏み台 ( No.3 )
日時： 2005/06/10 10:53 名前： luckystrike `お仕事中に申し訳ありません。 ①、②の対策はとってみました。が、どうやら③のようなきがします。再インストールすることを覚悟して、一日おいてみようかと思います。（まずいでしょうか？）お忙しいところ、どうもありがとうございました。`
Re: 踏み台 ( No.4 )
日時： 2005/06/10 11:00 名前：管理者仮にプログラム（③）であった場合、どの様なプログラムかが問題ですね。ちなみに、①と②はどの様な対策ですか？サーバではなくルータ等でポートを閉鎖しているのであれば問題ないでしょう。しかし、サーバ側でサービスの停止とiptablesの設定だけでは駄目だと思います。プログラムの作りが、サービスを起動してポートを空ける様な仕組みであったらどうしようもありません。物理的に閉鎖するか、ルータ等の第三の機器にて閉鎖してあるのであれば、そのままでも大丈夫と思います。
Re: 踏み台 ( No.5 )
日時： 2005/06/10 11:20 名前： luckystrike `①②はルータにてポートを閉鎖しました。おいそがしいところたびたびすいません。ありがとうございます。`
Re: 踏み台 ( No.6 )
日時： 2005/06/11 11:42 名前： Johann 参照： http://www.geocities.co.jp/SiliconValley-Sunnyvale/1839/index.html 横からすみませんが、ルーターでポート閉じても意味無いような。 Outgoingをブロックするようなルーターなら別ですが。すぐにネットワークから切り離し、ログの解析を行うべきです。 Cat5ケーブルを引っこ抜いて、サーバーにキーボードから入って何をされてしまったのが調べてはどうでしょうか。 #あなたのサーバー経由で他の管理者へ迷惑をかけてしまったという事態を #真摯に受け止めるべきです。
Re: 踏み台 ( No.7 )
日時： 2005/06/11 08:05 名前：管理者説明不足ですみません。ポート閉鎖は①②のIncommingの事を差しています。ログインしようとしている第三者を防ぐ為にtelnetとsshポートを閉鎖します。 ③に関しては勿論、Outgoingを防がなければいけません。 luckystrike様理由をお書きしますね。例)sshでログインしようとしている場合(上記で言う②の時) ┌───────────┐　　　　　　　　　　　　┌─────┐ │luckystrike様のサーバ │Port22 ←－任意のポート│第三者のPC│ └───────────┘　　　　　　　　　　　　└─────┘ 例)プログラムでsshアタックしている場合 ┌───────────┐　　　　　　　　　　　　┌─────────────┐ │luckystrike様のサーバ │任意のポート－→ Port22│クレームがあった方のサーバ│ └───────────┘　　　　　　　　　　　　└─────────────┘ 外出する為、きちんと説明する時間が無くて申し訳ありませんでした。
Re: 踏み台 ( No.8 )
日時： 2005/06/12 08:28 名前： Sou 　どうも。Souと申します。久しぶりに見たら、すごいことになってますね。　えっとですね。対処方法は、本来ならば、netstat,Arp,ipconfigを打ってから、ネットワークから物理的に隔離をします。ただし、緊急の場合はネットワークから物理的に隔離をします。　その後、メモリのダンプ（HELIX等を使う）揮発性なため、なるべく早くダンプをするべきです。　で、次にHDDをダンプさせます。これらを行っておくと、わかる人が見れば、有力な情報を得ることが出来ます。 /var/log/　のなかにある、ログファイルは、信用できませんので注意が必要になります。もちろん、ifconfigやnetstat、Arp等のコマンドも信用できないので、USBメモリやCDにいれてから、使用すると良いでしょう。システム全体何されているかわからなければ、バックアップだけとっておき、上級者にみせるもしくは、PCを持っていくことをお勧めします。一通り終わったら、新しくインストールすることをお勧めします。こんな感じでしょうか。参考にならないかもしれませんが・・・。気が動転してると思いますので、上級者に任せたほうが無難だと思います。場合によっては、大切なファイルを消去するプログラムがあるかもしれませんしね。
Re: 踏み台 ( No.9 )
日時： 2005/06/13 09:04 名前： luckystrike `ありがとうございます。とにかく緊急だったので、隔離して別のマシンと入れ替えました。これからやられたサーバをいろいろ調べてみます。お忙しいところ、どうもすいませんでした。`
Re: 踏み台 ( No.10 )
日時： 2005/06/13 19:22 名前： luckystrike `Son様のお言葉通り、上級者に任せるのが速いと思い本日、専門家に来てもらいました。私は忙しくて話を聞けなかったのですが、後日詳しく話しを聞こうと思います。皆様、どうもありがとうございました`