 不正アクセスログについて ( No.1 ) |
 |
- æ¥æï¼ 2006/03/15 02:02
- ååï¼ 管理者
- 外出してしまったので携帯から失礼します。
不正アクセスについてですが、houseさんの場合、当サイトでご自分のホームページURLを公開されていますので、誰かしらSSHアクセスを試みてると思います。
1件もないなんて、ありえないと思いますよ。
戻ったら、またレスします。
|
| Re: 不正アクセスのログが集計されない。（良いことですけど ( No.2 ) |
 |
- æ¥æï¼ 2006/03/15 11:18
- ååï¼ 管理者
- houseさん。こんにちは。
CentOSでTCP Wrapperによるログが出力されていない事を確認しました。
本来の動作であれば、「/etc/hosts.allow」の「sshd」に登録していないIPアドレスがSSHアクセスした場合、
「/var/log/secure」に以下のようなログを出力します。
Mar 14 06:51:49 www sshd[21798]: refused connect from xxx..yyy.net (::ffff:xxx.xxx.xxx.xxx)
集計スクリプトは「/var/log/secure*」から「refused connect from」を拾い出してIPとホスト名を集計する様に作ってあります。
しかし、CentOSのTCP WrapperからSSHDへのアクセスでのログが「Success」は出力されますが指定以外からのIPアドレスのログを書かなくなっています。
この指定以外からのIPアドレス接続のメッセージ出力をするオプション？設定？がどこかにあると思うのですが、まだ調べきっておりません。
恐らく、houseさんのサーバには沢山の不正アクセスを行っている第3者がいると思いますが、ログに出力されていないだけと言う事になります。
しかし幸いな事にTCP Wrapperのおかげでsshデーモンまでのコネクションが貼られないので全く問題ないと言えます。
|
| Re: 不正アクセスのログが集計されない。（良いことですけど） ( No.3 ) |
|
- æ¥æï¼ 2006/03/15 13:21
- ååï¼ house
<info@shiawase-home.com>
- 参照： http://www.shiawase-home.com
- いつも本当に有り難うございます。
とりあえず、グーグルでの検索や
以下を参考に
Red Hat Enterprise Linux 4: セキュリティガイド
http://www.redhat.com/docs/manuals/enterprise/RHEL-4-Manual/ja/ref-guide/s1-tcpwrappers-access.html
http://www.redhat.com/docs/manuals/enterprise/RHEL-4-Manual/ja/security-guide/ch-server.html
/etc/hosts.deny の設定を
sshd: ALL : severity emerg
にしてみたのですが、これで問題ないでしょうか？
また、セキュリティ向上の為に、
/etc/hosts.allow を
sshd: 127.0.0.1 , （サーバーマシンのローカルIP) , （XPクライアントのローカルIP）
としました。
よく分からないのですが、万が一
ルーターに私を装って外部からアクセスしてきた場合に
外部のIPではなく、一見ルーターのIPでアクセスされるのではないかと
考えたのですが、それは考えすぎですか？
上記設定で、poderosaから
クライアントのXPより ローカルIPでアクセスすると
アクセスできました。
試しに外部の公開プロキシを経由して
ドメイン名でアクセスしてみると
「接続先はSSHのサーバではありません。」と出ました。
ちなみに、このときの
/var/log/secure には
Mar 15 13:04:17 server sshd[7141]: Received disconnect from ::ffff:（XPのローカルIP）: 0:
Mar 15 13:13:34 server sshd[7211]: reverse mapping checking getaddrinfo for ****.shiawase-home.com failed - POSSIBLE BREAKIN ATTEMPT!
と現れました。
尚、/etc/hosts.allow を
sshd: 127.0.0.1 , 192.168.0.
と設定してpoderosa で外部プロキシを経由してドメイン名でアクセスすると
アクセスが出来てしまいます。
この場合、ログにはXPのローカルIPではなく、
ルーターのローカルIPにて接続した、というようなログが出ます。
これはちょっと危険かな？と思った次第です。
よかったらコメントをいただけると幸いです。
 |
| Re: 不正アクセスのログが集計されない。（良いことですけど ( No.4 ) |
|
- æ¥æï¼ 2006/03/15 14:15
- ååï¼ 管理者
- 確かにproxy経由だと偽られる可能性があるので怖い部分がありますね。
この場合は、ログイン認証まで来てしまいますので、houseさんも施しているとは存じますが鍵認証でのアクセスにします。
(proxy+IP詐称)以外は全て除外でき、ネットワークをスルーしても鍵認証というブロックがあるのでかなり有効と思います。
|
| Re: 不正アクセスのログが集計されない。（良いことですけど） ( No.5 ) |
|
- æ¥æï¼ 2006/03/15 14:46
- ååï¼ house
<info@shiawase-home.com>
- 参照： http://www.shiawase-home.com
- しかし、
依然として、不正アクセスのログが
HTML上に現れません。
やっぱりどこか設定が足りないのかもしれません。
現状でぇあ、ログ(/var/log/secure)には
192.168. で始まるログのみが
記載されている状態です。
|
不正アクセスのログが集計されない。（良いことですけど）