トレンドマイクロの迷惑アクセス（その３）

Opensim用の9010/tcpへ、相変わらず迷惑アクセスを寄こすトレンドマイクロです。
今日の発信元IPは、150.70.173.8

そこで、「トレンドマイクロによるWebサイト安全性評価」をかけてみました。
自社IPなので、誠実な調査結果が出ると思っていたのですが、「未調査」ですって。

他で調べてみると、数か所でブラックリストにアップされています。
http://whatismyipaddress.com/blacklist-check

cbl.abuseat.org
l2.apews.org
bl.mailspike.net


トレンドマイクロ社の資本系列を調べてみると、親元は隣国でした　←　今更？

「limit: avg 3/min burst 10」無視の強引さは、民族性から来るのかな？
それとも上記の、ufw標準が潔癖すぎるのかな？

トレンドマイクロの、Botな迷惑異常アクセスお断り（続編）

昨日の、「ufwで明示的にアクセス拒否」作戦は、あたしの思慮不足で失敗。
アクセスは拒絶できているのですが、[UFW BLOCK]がufw.logに残ります。

本来の目的は、トレンドマイクロの迷惑アクセスを拒絶して、ufw.logを見やすいものにすることでした。

そこで次に思いついたのは、ルーターでパケットフィルターを作動させる作戦です。

以下はルーターでのパケットフィルタでIPフィルター設定です。
動作：「WAN」側からのパケットを「無視」
宛先：　Lan内すべて
送信元：150.70.0.0/16　←Botが使用しているIP一括です

よく考えれば、これってIP-Banに使えるじゃん　←　いまさら？

さて、これで完了すれば良いのだけれどね～　　^^)

でもトレンドマイクロさん、迷惑振り撒きながらもよくやるわね～～


 ----------------------------------------------------------------------------

（追記2016.7.5 7:50)
今朝ufw.logをみると、トレンドマイクロの迷惑アクセスの[UFW BLOCK]記録がありました。
今度は150.70.188.176ですが、ルーターのIPフィルターが効いていないじゃん。

google先生に聞くと、BBR-4HGのQ&Aで以下のような記載が見つかりました。

「ポート開放設定とパケットフィルタ（IPフィルタ）設定はどちらが優先されますか（BBR-4HG、BBR-4MG）」

『製品仕様によりポート開放（アドレス変換）設定が優先されます。

したがって、ポート開放設定で登録したポート番号を
パケットフィルタ（IPフィルタ）設定で閉じることはできません。

特定のIPアドレスに対し、パケットフィルタ（IPフィルタ）設定で
パケットの拒否を行った後にそのIPアドレスに対しポート開放を設定した場合、
パケットフィルタリングは無効となります。』

う～～ん、Raspberry_Pi2, XS35, Bxbt2807の3台にpacketを振り分けるため、アドレス変換を使用していましたので、これなしに設定するのは、相当に難しそう。

しばらくは、迷惑なLogが残るけど我慢するかな～。。。。

でも、自社の顧客の便宜をはかるために、他へは迷惑をかけてもかまわないというトレンドマイクロ社の姿勢には、疑問を感じます。

トレンドマイクロの、Botな異常アクセスを正式にお断りしてみました。

SSはいつものトレンドマイクロからの迷惑アクセス記録です。
（Raspberry_Pi2でJOGへOpensimを接続しているサーバーのufw.logです）

今日の発信元は150.70.173.44

中国からの不正アクセスよりも頻度が高くなってきました。

トレンドマイクロの調査Botと思われますが、対象ポートは9010/tcpで、OpensimでJOGへ常時接続しているポートですから、どこへも解放しています。

しかし、ufwがブロックしているのは、異常な接続をしようとしているからですよね。
iptableの以下の記載部分で接続拒否をしているのだと思います。

limit: avg 3/min burst 10 LOG level warning prefix "[UFW BLOCK] "

連発の醜い接続は、会社の姿勢が問われるかもしれませんね～。。。。＞＜
ufwがブロックしない程度の、おとなしい(？)接続なら問題にしないのに。。。。

でも、このBotはアフォかも？
数時間前や昨日に調べた内容を覚えていないのかしら？？？
しかも、ufwの標準設定でも怪しまれてブロックされてるしね。
会社の悪名までたどれる足跡を残すのは、やっぱりアフォなBotだわ　＾＾）



残念ですが入口での接続拒否の処置をします。
sudo ufw deny from 150.70.0.0/16 to any port 9010

この会社のBotからの接続を拒否すると、ここの製品である「ウィルスバスター」から危険ホスト扱いされるかも知れないといううわさがあるのですが、どうなるんでしょうね～？

いあ、今までもufwでブロックしていたんだわ。
迷惑接続のLogに載らないようにしただけですね。。。。。^^)

--------------------------------------------------------------
（追記2016.7.3　21.50）
作戦失敗です。。。。＞＜
ufwで接続拒否はできるのですが、やっぱり SSのような"[UFW BLOCK]したLogが記録されます。

う～ん、次の作戦を考えます。。。。　　←楽しんでる？