Ｂｌａｓｔ．ｅｘｅの攻撃ポートについて

質問

Ｃｏｒｅｇａのルーターのアクセス制限、ＣＡＴＶからのＤＨＣＰによるＩＰ取得とＷＡＮ側から見えないＬＡＮ側ＩＰ、ＭＳのパッチでBlast．exeをブロックしているのですが、ＭＳサイトで説明されているＴＣＰ１３５、ＴＣＰ１３７、ＴＣＰ４４４４、ＵＤＰ６９、ＴＣＰ４４３～４４５以外に、昨日からＴＣＰ１７３００、ＴＣＰ３３０９３、ＴＣＰ５９３ポート攻撃に遭っているようです（ログに記載されます）。
　今回のワームは、このようなポートも攻撃対象としているのでしょうか？
　Blast（オリジナル）以外に、BlastＢ、BlastＣという亜種も発見されているようですが。

回答No.2

o_tooru · ベストアンサー

こんにちは、疑問はつきませんね。

さてご質問の件ですが、インバウンドに関しては基本的にはすべて禁止、必要に応じて許可、が原則ですね。ただ、この場合の禁止というのは、インターネット側からリクエストのあったものに関してということです。

一覧というわけではありませんが、ヤマハのルーターの技術情報の中に基本的な考え方が載っていますので、あげておきます。

他の方もおっしゃっていますが、たとえ外部から内部に向かってリクエストがあったとしても、そのリクエストに応えるサービスが稼働していなければ何も問題とはなりませんね。

参考URL：

http://www.rtpro.yamaha.co.jp/RT/FAQ/IP-Filter/network-security-filter.html

お礼

有難う御座います。まあ、設定をしている事で安心材料が欲しかったという所でした。
　第一サービスとポートとの関連を、サーバーの勉強（独学）で追求したいと考えてもおりました。
　ご紹介のＨＰをよく読んでみます。

回答No.7

goobad

マザーボードのＢＩＯＳ同様、ルータのファームウェアもアップデートされます。

ルータのファームウェアがアップデートされる理由には、ルータへの機能追加だったり、パフォーマンスアップだったり、不具合の修正だったりします。

ルータは各社各製品、たくさんの種類が発売されていますが、一部の製品は工場出荷時のファームウェアではセキュリティ上の問題があります。
メーカがファームウェアをアップデートする場合、その内容を判断して必要なら自分でアップデートする必要があります。

アップデート方法を間違えるリスクがあるので、こういった作業についても自己責任が原則です。
製品保証期間内でも、作業ミスによる修理は有料になる事が多いので、作業のリスクは自分で負う事になります。

http://www.corega.co.jp/support/download/router_barsw4phg.htm
お使いのルータのファームウェアについては、最新版はVer1.22です。
更新内容については確認していないので、ご自分で内容を判断してください。

誤った情報を見た人が勘違いしそうなので、仕方が無く回答つけましたが、標題の質問内容と異なる質問は、別におこなってください。

質問：Ｂｌａｓｔ．ｅｘｅの攻撃ポートについて
今回のワームは、このようなポートも攻撃対象としているのでしょうか？
ようやく対策が確実なものだという確信が持てました。

との記述があるので、この質問は締め切って頂きたいと思います。
（他の方が書き込む可能性もあるので私から要望を出す話ではありませんが、私からあなたへの回答はこれで最後にします。あしからずご了承ください。）

まだまだ疑問はつきないと思いますが、あまり、難しく考えるよりも、基本的な事をおさえていってくださいね。

ルータの設定で、いわゆるステルスモードにしていれば、外部からのpingにも反応しません。

もし、どうしても心配なようであれば、
http://www.upsizing.co.jp/news/report0426.htm
http://www.pcflank.com/about.htm
http://security1.norton.com/ssc/home.asp?j=1&langid=jp&venid=sym&plfid=22&pkj=CTLRESLHFEPGEVVSDUX
http://scan.sygate.com/prequickscan.html
でポートスキャンを行ってくれます。

自作PCの他にノートPCを持っているようなので、自作PCの電源を入れたままで、ノートPCを別回線（アナログモデム経由など）で接続して、インターネット側から自作PCに、自分自身でPORTスキャンしてみるのが、一番確実に状況を判断できると思います。

ただし、ポートスキャン行為そのものを禁止しているISPも多いので、契約しているISPの約款には注意してください。
また、検索すればすぐに出てくるとは思いますが、初心者が安易に使うべきものではないので、ツールが必要ならご自分で探してください。

（たくさん書き込んでしまいましたが、ここNo.628433を見る方が、正しい情報と誤った情報を取り違わないように望みます。）

ルータについてのみ説明しましたが、他にいくつも誤った解釈を見受けられます・・・。
健闘を祈ります。

参考URL：

http://www.corega.co.jp/support/download/router_barsw4phg.htm

お礼

疑問は解消していませんが、要するに自分で調べれば良いということだと理解します。
　さて、ルーターのファームウェアバージョンですが、今は最新版を使っています。失敗したら故障修理になると書かれていましたが、説明書を熟読して成功して使っています。
　＞正しい情報と誤った情報を取り違わないように望みます。と書かれていますが、もう少しはっきりと指摘されれば（決して相手を非難するという意味ではありません）、質問者も納得するのではないでしょうか？
　私もＴＣＰ／ＩＰ関連の書籍を読んでいますが、ここで質問に答えた方が、現在ＴＩＰＳで書かれている内容やマイクロソフトの書籍でも、間違いが多数書かれてあると言われています。それだけWindowsはNetBiosという閉じたＬＡＮ環境での名前解決手法を無理やりＴＣＰ／ＩＰに準拠させたので、非常に複雑になってしまい、作り手側でさえ実態が掴みきれない状態だと、実際に企業でネットワーク管理者をされている著者が書かれていました。
　どうも話しが噛み合わないのは、そのような原因もあったように思います。
　お話しのようにWinsサーバーは立てておらずＬＭ－HostsとＴＣＰ／ＩＰのＤＨＣＰ、NetBiosだけを有効にしていますので（プロバイダーの設定）、そのようなポート開放になったのでしょう。あれこれ書いて誤解を招いても仕方が有りませんので、この辺でスレッドを閉じます。
　ただ、長くお付き合い頂いたことには、感謝します。
　それでは…。

回答No.6

goobad

＞また貴方のご意見としては、ＷＡＮ側もＬＡＮ側もＤＨＣＰを有効にしている場合、無差別にＩＰアドレスをたどった攻撃はできるでしょうが、ＬＡＮ内に侵入しようとしたら２５５の３乗通りのＩＰアドレスを検索するという事実上不可能な状態なので、やはり安心だということですね。
　ただ、？？と思うのですが、私のルーターは別にアクセス制限のＩＰを設定しなくても、ダイレクトにＬＡＮ内のＩＰアドレスに変換を依頼しない場合は、全てブロックしているようです。やはり、この機能がルーターにあるから、貴方は安物でも十分だとおっしゃるんでしょうね。

すみません。
きっと私の書き方が悪いんでしょうね。
どうやってお伝えすればいいのか考えが思い浮かばないのですが・・・。
どこかで仕入れてきた情報と私が書いた文章と混同されているように思います。

なんだか、揚げ足取りになってしまいそうなので、一つ一つ説明しませんが、一度情報を整理してみてください。
（書いていない事を書いたと言われるのは少し残念です。）
＞ようやく対策が確実なものだという確信が持てました。
とりあえず、質問の
「Ｂｌａｓｔ．ｅｘｅの攻撃ポートについて」
不安が解消されたようで、よかったですね。

＞対策について解説してくれれば、これほど混乱せずに済むような気がしています。
マスコミなんて世間に正しいニュースを伝えて社会の役に立とうという基本理念を忘れて、世間騒がせな番組ばかり作りたがるので、マスコミに踊らされないようにしましょう。

インターネットは基本的に自己責任です。
正しい情報を選別して活かす事のできる人間には将来があるけれども、そうでない人の将来は明るくないと危機感を憶えています。

お役に立てたのか立てなかったのか、いまいち自信を持てませんが回答を終わります。

補足

なにせ、ノートで仕事をしながらデスクトップの再インストールをしながらの投稿でしたので、よく文章を解釈せずの返事でした。
　普通分からないことがあれば、辞書で調べて返答するようにしているのですが。要するにＮＡＰＴのことをおっしゃっていたのですね。私のルーターがＮＡＴ利用かＮＡＰＴ利用かは知りませんが、要するにＷＡＮ側からルーターのファームウェアに直接アクセスして変換方式まで読み取ることが、ワームにはできないとう意味ですね？
　回答終わりだそうですが、とりあえず調べました。

回答No.5

goobad

ルータを使っている場合、普通の使い方をしているだけでグローバルIPアドレスをローカルIPアドレスに変換する（IPマスカレード）事になりますので、それだけで飛躍的に安全性が高まります。

フィルタリングルールをこまかく設定できるという事は、それなりに高機能のルータを使っているのだと思いますが、個人ユーザが一般的な回線を使っている場合、もともとビジネス用途のネットワークサーバを本格的に運用するには耐えられないので、ルータは安物でも十分ですよ。
色々と実験してみる分にはスキルアップに繋がりますが。

このサイトを見る他の人に書きますが、むしろシンプルなルータを使う方が混乱がありません。
これから買う人は、3000円程度のルータをお勧めします。
ヨドバシカメラではmelcoのBLR3-TX4Lが3980円で売っていますが、実効最大転送速度も26MBだし、こんなもので十分です。

さて、
＞調べました、ＴＣＰ１３５．４４５．１０３０．１０２５．１０２８がリスニングでした。
Win2Kインストール直後のデフォルトでは、いくつかPORTが開いていたと思います。
１３７～１３９が開いていないようなのでお使いの環境ではNetBiosOverTCP/IPは停止している筈です。
特に問題無いんじゃないですか？
LANを構築せずに単体で使う場合は、Windowsのサービスもそれだけ不要なものを停止できます。
インターネットに接続できる環境を残して不要なサービスを全部停止し、起動時に自動実行されている不要なプログラムを停止すれば、１３５と４４５以外、全て閉じるとは思いますが。

＞なぜかＳＰ３やＳＰ４を適用すると、システムログに「ページング作業中にディスク書き込みできませんでした」とか「ディスク２にエラーが発見されました」とかいった記事が記載される
これはどこかに問題があるんでしょうね。
メーカー製PCなんて余計なソフトがてんこもりの割にはマザーボードのBIOSやデバイスのドライバが公開頻度が悪いので、私も自作PCしか使いませんが・・・、どこかに問題が残っていると思いますよ。

＞ルーター設定だけが頼みの綱
時々ルータのファームウェアがUPされるので、最新ファームにして設定を間違えていなければ、問題ないと思いますよ。

あんまりこだわると、Windowsなんか怖くて使えなくなってしまいます。
まぁ、どんなに対策しようにも、しょせんWindowsなんて消耗品ですから、最低限のセキュリティ対策をして、随時バックアップを取るしかありません。

それでは。

お礼

ソフマップの知り合いに相談して、ようやく解決しました。お騒がせしました。
デュアルブートでのドライブ構成は以下の通りでした。
＊　１台目のＨＤＤ
　　Ｃドライブ　－　サーバー
　　Ｄドライブ　－　論理ドライブ、サーバーのデータ
＊２台目のＨＤＤ
　　Ｅドライブ　－　Ｗ２Ｋ　Pro
　　Ｆドライブ　－　Ｗ２Ｋ　Pro関連のデータを格納
　そこで、２台目のＷ２Ｋ　ProにＳＰ３・４を適用しようとしていたのですが、ＤドライブのページファイルをＳＰ３・４インストーラーが検知し、ＯＳが有効だが不明のキャッシュとして認識するようになったそうです。
　そこでＥ・Ｆドライブを未割り当てにして、次にＣ・Ｄドライブを再度パーティション割り当て→Ｗ２Ｋ　Proのインストール→ＳＰ４適用としたところ、すんなり出来、エラーログも無くなりました。
　ただそうなると、Ｄドライブにサーバーを入れた場合、同じようなエラーが続出する可能性が有りますので、困ってはいますが、ＭＳがそのようなデュアル環境を想定していないらしいので、何とも釈然としない次第です。
　レスの趣旨とは無関係ですが、以前お聞きしましたのでご報告まで。

補足

Blast.exeについてですが、私のＳＷ－４Ｐ　ＨＧはinitスイッチで設定を反映させるタイプなので、ソフト的にウイルスがファームウェアを改ざんすることができないそうです。また貴方のご意見としては、ＷＡＮ側もＬＡＮ側もＤＨＣＰを有効にしている場合、無差別にＩＰアドレスをたどった攻撃はできるでしょうが、ＬＡＮ内に侵入しようとしたら２５５の３乗通りのＩＰアドレスを検索するという事実上不可能な状態なので、やはり安心だということですね。
　ただ、？？と思うのですが、私のルーターは別にアクセス制限のＩＰを設定しなくても、ダイレクトにＬＡＮ内のＩＰアドレスに変換を依頼しない場合は、全てブロックしているようです。やはり、この機能がルーターにあるから、貴方は安物でも十分だとおっしゃるんでしょうね。

　いずれにしても、ようやく対策が確実なものだという確信が持てました。ご協力感謝です。
　それにしても、今回はマスコミが非常に煽ったような報道を続けているようですし、パソコンの初心者が即刻シャットダウンで手も付けられないという状況に陥っているようですので、不安は当たり前ですよねえ。
　マスコミも不安心理を煽るような、見出しだけのような報道をするのでなく、対策について解説してくれれば、これほど混乱せずに済むような気がしています。

回答No.4

goobad

わかりにくい説明だったかと思い、もう一度記します。

まず、Windows2K/XPを起動したら、コマンドプロンプトで
netstat -an
とタイプしてみてください。
TCP135,TCP445,UDP445が表示されますよね。
OS起動直後、ネットワークに接続するソフトウェアを起動していない状態で、このPORTが開いている訳です。

まず、この状態で開いていないPORTに外部から接続要求がきても全て破棄されます。（通信が確立する事はありませんから無視して構わない訳です。）

（余談ですが、ここで、アプリケーションソフトを何も起動していないのに不要なPORTがたくさん開いている場合、トロイの木馬に感染している可能性が非情に高いと言えます。
（この場合、外部からの侵入の問題だけでなく、内部から外部への情報漏洩も問題になります。））

さて、開いているPORTに接続要求が来ても、適切に処理してくれれば問題無いのですが、残念ながらWindowsには重大な欠陥（セキュリティホール）が存在し、欠陥を修復していない場合、PORT135から飛び込んでくるBlaster（亜種を含む）に感染してしまいます。
PORTが開いている事に問題があるというよりも、OSに欠陥が存在する事が問題です。

セキュリティ対策の基本は、まずOSの欠陥を修復する事です。（欠陥を修復している場合、今回のワームには感染しません。）

さて、netstatは、CUIプログラムなので何度もタイプするのは面倒だと思います。
http://www.ne.jp/asahi/cll/cllsite/
これを使うとGUIで状況を確認できます。

IEやOE等を起動すると、PORTが開いていき、IEやOEを終了すると、開いていたPORTが閉じていくのがわかると思います。
（netstatは完全なリアルタイムではありません。若干タイムラグがあるので、実際の状況と多少ずれていますので注意してください。）

繰り返しますが、開いていないPORTにきた接続要求は、全て破棄されます。
netstatコマンドをタイプした時に表示される、
「listening」が、接続要求待ちの、開いているPORTです。
「established」が、接続中の、開いているPORTです。

どうしても通信をもっとこまかく管理したいなら、こんなのがあります。
http://www.ntutility.com/pl/
http://www.ntutility.com/anm/
http://www.istinc.co.jp/netkids/
探せばもっと出てくるでしょうが・・・。

ファイアーウォールソフトを導入している場合、許可しているアプリケーションソフト以外の通信を遮断してくれるので効果があります。

また、ルータを導入している場合、内部から外部への接続要求が無いのに外部から接続要求が来た場合に破棄してくれたり、設定したルールに従ってフィルタリングしてくれたりするので、効果があります。

OSの欠陥を随時適切に修復して（WindowsUpdateをきちんと行って）いるだけで、
http://www.microsoft.com/japan/technet/security/bulletin/MS03-026.asp
この欠陥を攻撃するBlaster（亜種を含む）からPCを守る事ができますが、

ファイアーウォールソフト、ルータを導入していれば、２重・３重に防衛している事になりますので、神経質になる必要は無いと思いますよ。

参考URL：

http://www.ne.jp/asahi/cll/cllsite/

お礼

何度もありがとう御座いました。何せルーターのアクセス制限を見ましたら、１時間で４０～５０件の不正アクセス（ＴＣＰ１３５と１３７など）がありましたので、驚いていたわけです。今回は単純にご存知の脆弱性だけをついてきたものでしたので、単純な手法での対処ができましたが、複雑な機能をもつ亜種が蔓延するとどうなるかと思い、「恐ろしいことだ」と思っていました。
　今までトロイの木馬は増殖しないとされていたので、被害にあったパソコンだけの手当てで十分でしたが、今回のワームはネット内で増殖するというやっかいな物ということですので、本当に迷惑な話しです。

　また、私の自作ＰＣでは、ＳＰ２では問題はないのですが、なぜかＳＰ３やＳＰ４を適用すると、システムログに「ページング作業中にディスク書き込みできませんでした」とか「ディスク２にエラーが発見されました」とかいった記事が記載されるようになりますので（１個だけじゃなくて３～８個）、ＳＰ３をＣＤで持っているものの、適用できないでいます。
　なのでルーター設定だけが頼みの綱なので、神経質にならざるを得ません（無駄だとしりつつも、ホットフィックスは適用しましたが）。
　ＨＤＤをＡＴＡのプライマリで２台、外付け（ＳＣＳＩ）で１台接続し、各ＨＤＤにはＷ２Ｋ・ProとＷ２Ｋ・サーバーをデュアルで入れてあるからかな？とは思っていますが。

補足

調べました、ＴＣＰ１３５．４４５．１０３０．１０２５．１０２８がリスニングでした。
　またとく分からないのですが（ネスケとＩＥ６、ＯＥ６は導入していますが）、１２７．０．０．１～１０２９も開放されているようです。
　ただし、アンチウイルスは常にアンダーグランドで動作させています。

回答No.3

goobad

ウェルノウンポート
で検索すれば、知りたい情報は出てくると思いますよ。

ただし、特定のサービスの為に予約されているポートを勝手に使う悪質なソフトウェア（ウイルスやワーム・トロイの木馬等）がありますので、調べてもあまり意味は無いと思いますよ。

ファイアーウォールソフトがある場合、基本的には、許可されたアプリケーションソフトの通信しか行いませんし、そのアプリケーションソフトを終了させれば、通信の為に開けたポートは自動的に閉じます。

閉じているポートへの接続が外部から試みられても全て破棄されるので通信は確立しません。

心配なら、コマンドプロンプトで
netstat -an
とタイプすれば、開いているポートの状況を表示してくれます。

その時に、
http://www.google.co.jp/search?q=%E3%83%88%E3%83%AD%E3%82%A4%E3%81%AE%E6%9C%A8%E9%A6%AC%E3%80%80%E3%83%9D%E3%83%BC%E3%83%88&ie=UTF-8&oe=UTF-8&hl=ja&lr=
開いていない筈なのに、このようなポートが開いていれば調査の必要があると思います。

が、
＞今回のワームは、このようなポートも攻撃対象としているのでしょうか？
という質問については、このようなことを気にしなくても、既知の対処法で十分だと伝えたかっただけです。

参考URL：

http://www.hoku-hoku.com/forum/dataroom/portnum2.html

お礼

有難う御座います。まあ、設定をしている事で安心材料が欲しかったという所でした。
　第一サービスとポートとの関連を、サーバーの勉強（独学）で追求したいと考えてもおりました。
　ご紹介のＨＰをよく読んでみます。

回答No.1

goobad

ルータを外して直接ログを取ってみましたが、たくさんのポートからきていますね。
流行直後はほとんどがPORT１３５からでしたが。

Blasterワームが行っているのか、新しいワームの登場なのか、わかりませんがそんなことはどうでもいいと思います。

この質問を見て、無意味な質問が乱立しそうなので記しますが、誰か（のPC)が開けていないポートにいくら侵入を試みたところで、接続は確立しませんから、心配の必要は無いと思いますよ。

補足

何が無意味なのか、よく分かりませんが、このようなポートまでブロックすべきなのか、その是非を聞きたいと思っています。
　たとえばＩＥ用のポートとかＯＥ用ポートをブロックすることは、それだけでインターネットができなくなりますし、ＭＳがどのポートを使っているかなど、知りたいと考えています。
　どこかに通常Ｗ２ＫやＸＰが使用するポート番号が掲載されているサイトがあれば、見たいと考えています。
　と言いますのも、今回の亜種は原作者が用意していたという意見が多いようですので、報道にもありますが、類似犯が亜種を作って、異なるポートを狙ってくるとも限りません。
　今回の攻撃を教訓として、ルーターなどに設定しておけば、どんな亜種がやってきたとしても防御できるはずです。