LAN内部からのPortscan

質問

Norton　Systemworks Premier 2006を使っているのですが、
たまに以下のようなPortscanの警告がでます。
詳細を見ると侵入者はLAN内のパソコンのようなのですが、
これはそのパソコンがウイルスに感染しているのでしょうか。

↓↓↓↓以下警告メッセージ↓↓↓↓
詳細: このコンピュータに対する侵入 「Portscan」 の試みを検出して遮断しました。
侵入者: 192.168.0.**(49156).
危険度: 中
プロトコル: UDP
攻撃された IP: 192.168.0.255.
攻撃された ポート: 6008

回答No.3

tenten72 · ベストアンサー

初めまして。
私も過去に同様な現象で調査を行ったことがあります。
ポート番号などは覚えていないのですが、その時は業務用の
コンピュータにインストールしていたあるソフトウェアが、
他のマシンで不正にキーが使用されていないかどうかを確認
するためにブロードキャストにてチェックを行っていたという
現象がありましたので、侵入者側のコンピュータにインストール
されているソフトウェアを当たってみてはいかがでしょうか。

お礼

回答ありがとうございます。

なるほど、そういうケースもあるのですね。
そういう観点でのチェックは行っていなかったので、
FMVNB50GJさんの教えてくれたツールで調査してみたいと思います。

調査にはちょっと時間がかかりそうなので、
本質問はここで締め切りたいと思います。
原因がわかりましたら、改めてご報告いたします。

回答No.2

FMVNB50GJ

発生元（デスクトップPC）=192.168.0.**(49156)→UDP→スイッチングHUB－到着先（デスクトップPC)=192.168.0.255（6008）

UDPパケットが記録された時間に動作していたプロセスを見る。
プロセスの監視にタスクロガーを入れては。時間も記録されます。そこから追跡可能ではないですか。たぶん。

{ウイルススキャンで見つからないウイルスに感染している？}
ステルスのことですか。ルートキットで、スキャナーと言えば、
http://www.resplendence.com/hookanalyzer
入れていますけど。

読み流し程度に。

お礼

回答ありがとうございます。

タスクロガー、ルートキットスキャナーなど、
教えていただいたツールで調査を行ってみたいと思います。

回答No.1

FMVNB50GJ

読み流し程度
192.168.0.**(49156)のコンピューターが、192.168.0.255（6008）のコンピューターにUDPパケットを飛ばしている

肝心のLANがどのような構成なのか不明
インターネットからルーターを経由してやってきたものか、ルーター内のほかの機器からのものかわからない。

ルーターからなら使用していたソフト、ルーター内なら周辺機器に問題があるとみていいのでは。
ポート6008は何か特定のソフトのような感じ。

補足

回答ありがとうございます。
また状況説明が足りず、申し訳ありません。
状況を詳しく説明すると以下の通りです。

■LAN構成
INET
｜
ルータ
｜
スイッチングHUB－到着先（デスクトップPC)
｜
スイッチングHUB
｜
発生元（デスクトップPC）

■発生元
・業務に使用する普通のデスクトップPC
・周辺機器は何もつけていない。

■試してみた対策
・発生元PCについてNortonSystemWorksにてウイルススキャンを行ったが
　ウイルス発見できず。
・ネットで6008番を使うソフトを検索してみたが見つからず。

■原因の検討
・6008番を使うバックグラウンドで動くようなソフトが入っている。
　対策の必要なし？
・ウイルススキャンで見つからないウイルスに感染している？

以上の状態で、手詰まりになってしまい現在に至っております。
他に必要な情報がありましたらご指摘ください。