フランス『boson＊＊＊.ahrefs.com』からの接続って？

中国、オランダから9000/tcp（Opensimサーバー用）へのport-scanは防御できたみたいですが、フランスから1週間に数回にわたって奇妙な接続がありました。
188.165.15.66  boson001.ahrefs.com
188.165.15.59　boson090.ahrefs.com
188.165.15.98  boson066.ahrefs.com

調べてみると、被リンク状況を調査するフランスのサイトだそうです。

リアルタイムのネット攻撃Mapを見ていると、フランスも要注意国で気にしていましたが、まあ害がなさそうなのでこのまま放置して様子を見てみます～。

オランダ経由の『覗き魔』かな？

昨日、9000/tcp（Opensimサーバー用）に以下のIPからPort-scanがありました。
93.174.93.51

『IP広場』で検索してみると
ホスト名：　　　　server.anonymous-hosting-service.com
IPアドレス割当国：オランダ ( nl )

怪しい名前なのでぐぐってみると、秘匿目的のNameサーバーみたいで、Malware送り込みやフィッシング詐欺に以前は使用されているみたいです。

FirestormやSingularityを使用しての接続なら、ここ経由にならないですよね～？

利用者はオランダとは限りませんが、さっそく接続お断り処理です。
$ sudo ufw insert 4 deny from 93.174.93.51 to any port 9000

iptables -L で見ますと、host-nameに変換されてますね～　＾＾）

＜ネット攻撃対策＞ 中国一部からのportscanを拒絶処理

先日からOpensimサーバーへportscanをかけてくる中国IPを拒絶することにしました。
（アタシんところのOpensimサーバーへ本当に来られる中国人なんていないはず～？）

IPアドレスからNetworkアドレス・マスクを、以下のところで計算しました。
http://www.cityjp.com/javascript/network/ipcal.html

数回以上のportscanをかけてきたところは、以下の通りです。
123.151.42.61   CHINANET-TJ  天津
125.64.35.68　　CHINANET-SC  四川
183.60.48.25　　CHINANET-GD  広東

旅行で行った天津や広東が目に浮かびますが、無法者を放置するCHINANETはダメ！
ufwにて上位行でブロックするルールを以下のように追加します。
$ sudo ufw insert 1 deny from 123.151.0.0/16 to any port 9000
$ sudo ufw insert 2 deny from 125.64.0.0/16 to any port 9000
$ sudo ufw insert 3 deny from 183.60.0.0/16 to any port 9000

IPアドレスからネットワークアドレスに変換するところが、自信ありません。
個々のHostを羅列するのは、今後とも骨が折れそうで、広めにブロックします。

iptablesで確認しておきます。
$ sudo iptables -L

Chain ufw-user-input (1 references)
target     prot opt source              destination
DROP       tcp  --  123.151.0.0/16      anywhere      tcp dpt:9000
DROP       udp  --  123.151.0.0/16      anywhere      udp dpt:9000
DROP       tcp  --  125.64.0.0/16       anywhere      tcp dpt:9000
DROP       udp  --  125.64.0.0/16       anywhere      udp dpt:9000
DROP       tcp  --  183.60.0.0/16       anywhere      tcp dpt:9000
DROP       udp  --  183.60.0.0/16       anywhere      udp dpt:9000
ACCEPT     tcp  --  anywhere            anywhere      tcp dpt:9000
ACCEPT     udp  --  anywhere            anywhere      udp dpt:9000
ACCEPT     udp  --  anywhere            anywhere      udp dpt:9001
ACCEPT     udp  --  anywhere            anywhere      udp dpt:9002
ACCEPT     udp  --  anywhere            anywhere      udp dpt:9003
ACCEPT     udp  --  anywhere            anywhere      udp dpt:9004
ACCEPT     udp  --  anywhere            anywhere      udp dpt:9005
ACCEPT     udp  --  anywhere            anywhere      udp dpt:9006
ACCEPT     udp  --  anywhere            anywhere      udp dpt:9007
ACCEPT     udp  --  anywhere            anywhere      udp dpt:9008
ACCEPT     tcp  --  192.168.**.**       anywhere      tcp dpt:****
ACCEPT     udp  --  192.168.**.**       anywhere      udp dpt:****

念のため再起動をかけておきます。

イタチごっこになるかも知れませんが、楽しみながら追加していきます。
踏み台にされる前に、きちっと防御しておきたいですよね。

-----------------------------------------------------------------------------
（追記150114）
ネット名の指定が不適正で、以下のように修正追加しました。
（情報元　http://www.ip2location.com/free/visitor-blocker　）

$ sudo ufw insert 1 deny from 123.144.0.0/12 to any port 9000
$ sudo ufw insert 2 deny from 125.64.0.0/11 to any port 9000
$ sudo ufw insert 3 deny from 183.0.0.0/10 to any port 9000
$ sudo ufw insert 4 deny from 183.64.0.0/13 to any port 9000

＜ネット攻撃対策＞ 中国から portscan されてるな？

OpenSimで外部開放している9000/tcpに、怪しげな接続記録がiptrafに残っていました。

http://www.iphiroba.jp/index.phpで調べてみると、全部中国からです。
しかも、対応するホスト名なしです。

123.151.42.61   中国　初回
125.64.35.68　　中国＊3回目
183.60.48.25　　中国＊2回目

ルーターからのアドレス変換は9000/tcpと9000-9008/udp
Firewallで開いているのも同じです。

iptrafではtcpの全ポートを監視しているのですが、ルーター設定が効いて9000/tcp以外の接続記録はありません。

未使用の9001/tcpのアドレス変換を開通させて、おとり監視してみるかな＾＾）
（　↑　port-scanなら多分連番で接続してくる？）

＜ネット攻撃対策＞ nmap ツールは怖いなぁ

SNSでベテランの方にお教えいただいたnmapをインストールしました。
開放ポートや 脆弱性を確認したりする「セキュリティ確認」パッケージです。

Debianでのインストールは、
$ sudo apt-get install nmap

これで自宅サーバーを調べてみました。
$ nmap 192.***.***.**　　　　　　（tcpチェック）
$ sudo nmap -sU 192.***.***.**　　（udpチェック）

SSはどちらもLan内のローカルアドレスで調べたものです。

ここで、自宅サーバーの外部名『kimikodover.sun.ddns.vc』で調べたところ、ルーターのDIAG赤ランプがしばらく点灯し、どうもルーターのリセットがかかったみたいです。

その後は、JOGに接続しているSimへINできません　＞＜
JOGのホームページでチェックすると当方のサーバーは正常に働いています。

ということは、ルーターのNATループバックが壊れたか、Packet-scan犯と認定されてブロックされたかの、どれかですｗ＞＜

ルーターの電源をしばらく遮断してリセットしてみましたがだめです。
仕方なしにルーターを工場出荷初期状態にもどし、ついでにファームウェアを更新しました。

なおアドレス変換は、tcpは9000だけで良いのに気づき、以下のようにしました。
連動して、Firewall での9001-9008/tcpも閉じておきます。

変換は20項目までなので、あと数個のサーバーは立上げできそう　＾＾）
とりあえずこれでNatループバックが正常に働きだしたみたいで、同一LAN内の端末Viewerからも接続できるようになりました。（ふ～～）

でもこのnmap、使い方を誤るととんでもないことを起こしそう。
さらに-Dオプッションで、こちらのIPアドレスを偽ってスキャンできるみたい。
ステルススキャンってのも可能みたい。

ということは、ポートスキャンを検出してIPブロックかけても無意味ってこと？
これ、防御だけでなく、攻撃側への武器にもなるじゃん　＠＠）

私みたいな初心者には、lsofで十分かもｗ　？
攻撃側に間違えられないよう、もうnmap触るのは止めておこう～　＞＜

＜ネット攻撃対策＞ Port-scan を捕捉できた～＾＾

iptraf でポート監視して、一晩明けるとScanちゃん一匹捕捉できていました＾＾
（↑　喜んでいる場合か～～？　）

iptrafのフィルター設定でサーバーへの全てのtcpポートへの接続を記録したSSです。
Firewallはsshと、Opensim用で9000-9008を開放しています。
4個だけのSimなので、monoは9004-9008のポートを使っていません。

でもPort-scanちゃんは開いているポートへ1回だけ接続してきました。
9009ポートはfirewallを開いていませんので、通信量は０と見るのかな？
（通信量が多い２行は、Windows7機とのssh接続です＾＾）

ルーターでアドレス変換を使用し、9000-9009へ来たものだけをこのサーバーへ送り込んでいます。
これが効いて、全ポートを監視したのにこれら以外は接続がなしですね＾＾

IPアドレスを調べてみましたが、192.186.133.75は検索にかかりませんね。
逆引きホスト名も出ませんが、米国からわざわざ？

怪しさ度９９％・・・・・・　　←早ガッテンかな？
念のために、sudo chkrootkitでお土産を置いていないか？を調べます。

次に sudo lsof -i で、変なポートが開閉されていないかを再チェック

最後に当たられたポート関連場所をでウィルス検査。
『$ sudo clamscan -r -i /home/kimiko/app/jog-0803』
『$ sudo clamscan -r -i /usr』

異常がないので、まだ侵入前の予備段階だったのかも？　＾＾）
ますます、おもしろくなってきました・・・・・＾＾）

次はTakeshichさんから教えていただいたnmapで自分のIPアドレス宛にポートスキャンを試してみようかな？

＜ネット攻撃対策＞ iptraf でポート監視

Google+フレの綾さんにお教えいただいたiptrafをDebianの最小構成にインストールしました。
これは、コンソール上でGUIのように操作出来るネットワークのモニタリングコマンドです。
http://iptraf.seul.org/index.html

Debianでのインストールは『 $ sudo apt-get install iptraf 』です。

フィルター設定でサーバーへの全てのtcpポートへの接続のみを対象にしてみました。
LAN内のWindows7機からsshで接続しましたので、最上行と2番目の通信量が多くでています。

外部からは218.***.***.***:****（DNS外部アドレス）だけの接続記録になっています。
(Viewer切断直後のSSですので、9000番のポートとの通信がCLOSEDになっています。)

コンソール画面から立ち上げたままにしておけば、port-scanが捕捉できるかも？＾＾）