パーソナルファイヤーウォールのログ

質問

トレンドマイクロの「ウィルスバスター2001」を使っています。
8月に「CodeRed」、9月に「Nimda」に感染しました。

それで恐くて、最近はずっと毎日ウィルススキャンしているのですが、ふとログを見るとパーソナルファイヤーウォールのログに不正アクセスとして記録されたIPアドレスがあることに気づきました。
そのIPアドレスはいつも同じではないし、規則性がありません。
これはどういうことなのでしょうか。
また、この場合どのような手段をとるべきなのでしょうか？
わかる方がおられましたら、教えてください。お願いします。

今使っているOSはWindows95です。
ウィルス感染時にはWindows2000サーバーの入ったパソコンを使っていたのですが、二度のウィルス感染とその対策にかかるコストから個人で使うには手に余るので、HDDごと交換してOSをクライアント向けのものに変更しようと思っています。

回答No.2

parts · ベストアンサー

いわゆるアタックですね。
よくあることですよ。
ただし、ファイアウォールがシールドを張ってますから、基本的にブロックされます。
よって、こまめにログを確認して不正侵入されていないかだけをチェックしていれば結構です。
もし、侵入があった際は、通信回線をすぐに抜く、その上でＩＰＡ（参考）に侵入ログや侵入された報告を転送したり、さらにルータや強力なファイアウォール専用ソフトを導入するのが好ましいです。
ちなみに、ＯＳを変えても結構ですが、だからといってアタック減るわけではないので、その点は間違えないようにしてください。

ついでにもう一つセキュリティで不安があるなら、下のサイトでセキュリティリスクの状況をチェックできます。
http://www.symantec.com/region/jp/securitycheck/
（このうち上位３つが安全ならある程度安全性が確保されています）

参考URL：

http://www.ipa.go.jp/security/

お礼

回答ありがとうございました。
OSを変えても危険なのはわかっているんですが。
何せWindows2000では対策ソフトにコストがかかるみたいでして。
クライアント向けのウィルスバスター2001はインストールできなかったし．．．
ホームページの紹介もありがとうございます。
参考に行ってみようと思います。

回答No.4

Haizy

bridgewoodさん、こんにちは。
ウチの壁で、燃え尽きているパケットもふまえ少々・・。

＞8月に「CodeRed」、9月に「Nimda」に感染しました。
大変でしたね。（；－－Ａ
あの蔓延から、一ヶ月以上が過ぎ・・・しかし、未だに、ヤツらは飛んで来ます。（－－；
Ｎｉｍｄａ君が　　１アドレスに対し、日に４～５件、
ＣｏｄｅＲｅｄ１　が１アドレスに対し、日に　０．５件～０．８件
ＣｏｄｅＲｅｄ２　は、最近めっきり。１～２週間程見かけてないです

●個人レベルでは、ワームからのアタックに対し、何かするというのは、相当の知識が無い限り、危険だと思いますよ。ちなみに、こいつらが飛んでくるポートは、８０です。ＣｏｄｅＲｅｄは、一回。Ｎｉｍｄａは、５回程度　接続を試みます。
　これから考えると、導入して正解でしたね。

さんこうになれば。
でわ

お礼

回答ありがとうございます。
正確なところを言うと、CodeRedは2の方に感染しました。
ログを見ると、連続して秒刻みで5・6回の接続が記録されていますが．．．Nimda関連なんでしょうかね。
個人でワームに対抗することが難しいのが今回の感染で嫌というほど思い知りました。ということで、個人レベルでもコストも手間も少なめで済むOSに移行する予定です。ウィルスのことを調べて駆除するのに、休日をつぶされるのはもう嫌。

回答No.3

noname#41381

接続元ポートが「８０」になってないですか？
であれば、相手サーバにHTTP接続（ブラウザで閲覧）した返りのパケットでしょう。
ウイルスバスターのパーソナルファイアウォールは「SYN」や「ACK」のビットをみずに
とりあえず接続先ポートで監視するような動きだったような．．．。
＃出始めのころ使っただけなので自信ないです^ ^;)

その場合、相手のHTTPに接続した時の自分のポートは１０２４以上のポートが割り当てられ、
その応答パケットは「自分IPアドレス宛＆割り当てられたポート」となり、
これがたまたまパーソナルファイアウォールで監視しているポートと重なった場合
ログとして残るのだと思います。

相手IPアドレス、接続先、接続元のポート番号　をここに記載してくれれば
不正アタックなのかちょっとは判断できるかもしれませんよ。
（アタックの対象になるとまずいので、自分IPアドレスは伏せておきましょう）

お礼

回答ありがとうございます。
接続元ポートって、送信元ポートのことでしょうか。
「80」が大体ですが、時々25XXや4XXXというのも入ってきてます。
自分のIPって、送信元ポートと送信先ポートのどちらなのでしょう．．．すいません、無知で．．．

回答No.1

Yoshi-K

私もウイルスバスター２００１を使っていた時は、
そのＩＰアドレスが気になっていました。しかし
ファイヤーウォールがブロックしているんだから
と、結局はそのままにしていました。どうしても
気になるのであれば、下記の参考ＵＲＬを利用し
て見て下さい。ＩＰアドレスを入力すると、ある
程度の情報が得られます。

参考URL：

http://www8.big.or.jp/~000/CyberSyndrome/whois.html

お礼

回答、ありがとうございました。
パーソナルファイヤーウォールも有効にしてあげるだけではダメなのかと思ったのですが．．．やっぱり有効にすれば基本的には平気なんですよね？
二度も連続して感染したので、外から何かやられていないか心配でして。