侵入されてしまったのでしょうか

質問

BlackIceの件で質問です。
侵入者のアイコンが！（赤色）です。黒い斜線が入っていないのですが、これは侵入されてしまったという事でしょうか。
WindowsXPです。

回答No.3

ShaneOMac · ベストアンサー

では最初に初めの話に戻します。アイコンに斜線が入っていないということはBIのメッセージとしては、その通信を通したということです。BIはファイアウォールではないのでパケットのパターンの差異を通知したとしてもそれを止めるとは限りません。ただしそういったものを一概に「侵入」とは言えないということです。

苦言とかナントカということになっていますが、そうではないのです。あなたご自身でBIが使いたいとおっしゃっていますよね？BIを使うには→BIのメッセージを理解しなければならない。理解するには→まず情報をまとめて解析しなければならない。この流れが分かりますか？

＞
そのアクセスの意味について知りたいのであれば、接続に使われたリモートIPアドレス、使用プロトコル、ローカルポートといったところの情報をまとめないといけません。
＞

こう書きましたし、東陽テクニカの解説ページも紹介しました。読まれたのでしょうか？

evd***.encファイルがBIではログとして保存されていますが、そちらを開いて該当アクセスについて調べてみられましたか？開き方すら分からないということであれば、etherealを紹介しておきます。以下からダウンロードしこのソフトでevdファイルを開いてみてください。

http://www.ethereal.com/download.html

とにかくBIのメッセージに出るだけの断片的な概念では何が起きたのか全く分からないということです。アイコンの色とかTCP接続のハイジャックとかいったキーワードだけではたとえ専門家であっても具体的な状況が見えません。

－－－－－－－－－－－－－－－－－－－
そういった解析作業が面倒だとか、端からできないということなら一旦BIはアンインストールして、ファイアウォールソフトを導入することをおすすめします。ファイアウォールも知識がないと使えませんが、学習過程であるならば、そちらの方がセキュアですし学びやすいでしょう。

そもそもIDSはファイアウォールと組み合わせて使う物ですし、もし現状でファイアウォールを使っていないのでしたらいずれにせよ導入は必須です。ただし組み合わせの面倒等がありますから、今のところはファイアウォールのみで使い、しばらくしてから再検討された方が良いでしょう。Sygateはログが見やすいのでしばらくそれでログを見る練習をすると良いかと思います。解説サイトを挙げておきます。

参考URL：

http://www.geocities.jp/bruce_teller/security/index.htm

お礼

＞苦言とかナントカということになっていますが、そうではないのです。あなたご自身でBIが使いたいとおっしゃっていますよね？BIを使うには→BIのメッセージを理解しなければならない。理解するには→まず情報をまとめて解析しなければならない。この流れが分かりますか？
No.1、No.2のご回答で十分に上記の意味をちゃんと理解しております。
（No.1、No.2のご回答にもしっかり書いてらっしゃいますよね。）
その上で「これ以上の苦言は。。。」とお願いしました。
それでどうして追い討ちを掛け続けるのか？
疑問です。
なんか素直に「ありがとう」って言えなくなっちゃいます。
それが悲しい。ごめんなさい。

＞では最初に初めの話に戻します。アイコンに斜線が入っていないということはBIのメッセージとしては、その通信を通したということです。BIはファイアウォールではないのでパケットのパターンの差異を通知したとしてもそれを止めるとは限りません。ただしそういったものを一概に「侵入」とは言えないということです。
だったら何故No.1でこの内容を書いて下さらないのか？
これをNo.1で書く事が正に「回答」だと思いますが？
こうしてみると、分かっているのにNo.1の回答を書くなんて、そしてNo.2,No.3と学習がどうこうと書き続けるなんて、もう最初から、質問自体に答えるのではなく「学習しろ！」という事が言いたかっただけとしか思えません。
PCの事、よくご存知だから、よく理解出来ない人に対して「勉強しろ！」というお気持ちなんでしょうね。
でも、ここは「教えて！goo」です。質問ー回答です。
人をお説教する為の場ではありません。
（せめて一度だけにして頂きたかったです。もう分かったと言っているのに、やり過ぎです。）
出来ない人、苦手な人の気持ちも少しは分かって下さいね(*^_^*)

回答No.2

ShaneOMac

IDS（Intrusion Detection System）は普通とは異なるスタイルで通信があった場合に記録するソフトです。その通信がどういったリスクを持つものか？自分にとってリスクが及ぶものか？といったことを判断するのは使用するユーザーの仕事です。主に情報を収集することがソフトの役割ですから、それを活かせないのであれば、使う意味がありません。単なるアクセス制限を主目的に考えるならば、もっと一般的なファイアウォールを使うべきでしょう。

そのアクセスの意味について知りたいのであれば、接続に使われたリモートIPアドレス、使用プロトコル、ローカルポートといったところの情報をまとめないといけません。

そのBIのメッセージというのは↓これですよね？
http://www.toyo.co.jp/security/ice/advice/Intrusions/2000320/default.htm

仮に誤検知でないとして、IPスプーフィングをかけてきたとしても、それだけではそれほど大きな意味はありません。それでもってどういったアクセスしたのかが問題なのですから。

お礼

おっしゃりたい事はよくよく分かりました。
少し落ち込んでいます。
でももう（私にとっては高い金額で）購入してしまったソフトなので、今すぐに買い換えるのは難しいので、これ以上の苦言はお許し下さい。
再度のご回答を下さり本当にありがとうございます。

＞IPスプーフィングをかけてきたとしても、それだけではそれほど大きな意味はありません。それでもってどういったアクセスしたのかが問題なのですから。
この最後の一文が私にはよく理解出来ませんでした。
もう少し噛み砕いてご説明頂ける事が可能ならばお願いします。

回答No.1

ShaneOMac

BIは使ったことがないので知りませんが、アイコンの意味が知りたければヘルプや添付の説明書を読みましょう。

BIはIDSであって元々ファイアウォールではありませんし、機能の意味やログの見方を知らないというのでは、使っている意義がありません。どういう意図で導入に至ったのか知りませんが、BIは知識なしに使ってもほとんど意味のないソフトです。

「侵入」というのは具体的にどういったアクセスのことを想定して言っているのでしょう？一般的にwindowsシステムであれば、特にサーバーソフトを起動しているか、あるいはNBTサービスがインターネットに向けて開かれているかしない限り、ファイルアクセスはできません。それ以上の手段を使って個人のＰＣを攻撃する人はまずいません。あなたが特別な著名人でもない限り。

外からTCPでローカルポート139へのコネクションが確立したというなら「侵入」と言っても良いでしょうが、それ以外はネットワーク上を漂う単なるゴミパケットが着いただけです。

お礼

ヘルプを見てもはっきりと分からなかったので質問しました。
お分かりの方はご回答よろしくお願いします。

＞TCPでローカルポート139へのコネクションが確立したというなら「侵入」と言っても良いでしょうが
これはどういう意味でしょうか？
問題の攻撃はTCP 接続のハイジャックを試みられてしまったようなのですが。

ありがとうございました。