専用サーバの不正利用(DoS攻撃)の対策を検討しております。

質問

専用サーバの不正利用(DoS攻撃)の対策を検討しております。

現在、さくらインターネットの専用サーバを利用しております。
http://server.sakura.ad.jp/dedicated/entry/index.html
契約後、設定など殆どいじらずに使用しております。
契約時には、CentOS 5を標準構成でインストールしてもらっており、
契約時のままの状態です。

先日、さくらインターネットから

「ご利用いただいているサーバからDoSと思わしき
　大量のトラフィックが生じていることを確認した」

という連絡がきました。

メール本文にはネットワークログとして

01:20:34.000000 IP xx.xx.xx.xx.34861 > xx.xx.xx.xx.113: UDP, length 1
01:20:35.000000 IP xx.xx.xx.xx.34861 > xx.xx.xx.xx.113: UDP, length 1

という様なログが10行程記載されておりました。
(IPアドレスはふせてあります)

そこで、

(1)、上記の様な攻撃を防ぐ為の具体的な方法(iptablesの設定等)
(2)、上記の様なネットワークログを確認する方法

以上の２点をご教授頂けますでしょうか。

その他、専用サーバを運用する上で、セキュリティ的に必須な設定など、
情報を募集しております。

以上、宜しくお願い致します。

回答No.4

superside0 · ベストアンサー

すでに不正利用されているのなら、iptablesで外へ攻撃しないようにブロックしたところで
侵入者が　iptablesを書き換えることができるのだから、無意味ですよね。

データをバックアップした上で、
さくらインターネットにOSの再インストールを発注した上で、
丁寧にセキュリティー上の問題を潰して再侵入されないようにするしかないでしょう。
（バックアップしたデータを安易に書き戻して、それがバックドアにならないようにも気を付けて）

もしそのスキルが無いのであれば、下手に手を出さないで、専門業者に発注するか、
専用サーバーの利用を諦めて、共有型のレンタルサーバーに乗り換えたほうが
結果的に、安くつくと思いますよ。
ドメインごとサーバを移転することは、そんなに難しいことではないですし。

もし、コストの問題でなく、専用サーバーでなければならない別の事情（特殊なサービスをインストールしている等）があるなら、Saas利用など運用仕様の見直しも含めて。

回答No.3

pakuti

さくらもさくらですね。。。
DoSと思われるパケットって・・・・

identが動作しているようです。
昨今のサーバーやFireWallはidentを受け付けません。
相手側が応答しないと何度もidentパケットを投げます。
何のアプリケーションがidentを投げているのか不明ですが
identを利用しないようにするべきです。

回答No.2

mtaka2

> 「ご利用いただいているサーバからDoSと思わしき
> 　大量のトラフィックが生じていることを確認した」

これは原文のままですか?そうだとすると、「サーバから」という文面からすると、
「質問者さんの借りているサーバが攻撃を受けている」のではなく、
「質問者さんの借りているサーバが余所に攻撃を仕掛けている」ということです。

そうだとすると、質問者さんの借りているサーバは現状で既に誰かにクラッキングされていて、踏み台として利用されている、という可能性なんかを考慮に入れる必要があるかと。
その場合に今更外部からの接続を遮断したところで手遅れです。

回答No.1

okwakitigai

>契約時のままの状態です。
アップデートすらしてないのか?

>(1)、上記の様な攻撃を防ぐ為の具体的な方法(iptablesの設定等)
http://okwave.jp/qa/q6156495.html
この人と同一人物?
対処方法の「iptablesの設定等」って同一レベルのことしか考えてない。
その場しのぎの対処だけで根本的解決をする気がない?

>(2)、上記の様なネットワークログを確認する方法
検索すればいくでも情報出てくるけど質問者は調べる能力すらないの?

質問者みたいな能力がない管理者の管理しているサーバは簡単にバックドアとか仕掛けたりアカウントハックできて
クラッカーにとっていい鴨でしょうね。

お礼

ありがとうございます