リモートポート80のセキュリティ

質問

不正アクセスがないかを確認していますが、リモートポートがHTTPで使われるポート80の場合は心配しなくてもいいのでしょうか？　詳しい方お教えください。

回答No.4

wellow

＞話は変わりますがHTTPで接続が成立していてもそのIPアドレスにIEからアクセスできないことがあります。この場合、そのIPは不正であると考えていいのでしょうか？

例えば、http://foo.com/のようにリクエストをした場合、ブラウザはhttp://foo.com/index.html、http://foo.com/index.htm、http://foo.com/main.html、http://foo.com/main.htmの何れかを期待しています。もし、http://foo.com/bar.htmlが正しいものであったとすれば、サーバ側の設定にもよりますが、ブラウザに404エラーが表示されたり、403エラーが表示されたりします。場合によっては何も表示されなかったり、タイムアウトになることもあります。

サーバがTCP/80で口を開けていても、正しいURLが与えられないと、上記のようなことになります。WireShark等でパケットを見ないと、不正なものかどうかの判断の糸口にさえなりません。

回答No.3

wellow

dest_port=TCP/80というのは、内側→外側という経路ではしばしば開いているものです。理由はお分かりですよね。
ファイアウォールは大抵、ステートフルですから、内側からのTCP/80リクエストに対する、外側からの応答は通過します。

恐らくあなたは、TCP/80＝HTTPと考えているでしょう。間違いではありませんが、上記に書いた様に「内側→外側のdest_port=TCP/80、外側→内側のsource_port=TCP/80はザル」ということを悪用、いえ、上手く使っているアプリケーションはたくさんあります。

古いところでは、改名前のwindows media（昔の名を思い出せません）、real、pointcast、昨今ではskype、SoftEther等、実に多く存在します。

もし心配ならば、レイヤ４より上を検知できる装置で見なければなりません。具体的には、帯域制御装置のPacketShaperとかPaloaltoのファイアウォールです。

補足

回答ありがとうございます。
「恐らくあなたは、TCP/80＝HTTPと考えているでしょう。間違いではありませんが、上記に書いた様に「内側→外側のdest_port=TCP/80、外側→内側のsource_port=TCP/80はザル」ということを悪用、いえ、上手く使っているアプリケーションはたくさんあります。」というお話はとても参考になりました！

話は変わりますがHTTPで接続が成立していてもそのIPアドレスにIEからアクセスできないことがあります。この場合、そのIPは不正であると考えていいのでしょうか？

回答No.2

superside0

「技術者向け」のカテゴリなので、
自分のサーバーへの80番ポートへの不正アクセスについてのことだと　思って
"SQLインジェクション"などを上げましたが、
もしかして、クライアントPCから　自分が閲覧したWebアクセス中に
不正アクセスがないかを心配しているのでしょうか？

それなら、閲覧した記憶があるか、どうかで判断できますよね。

スパイウェア等に感染して、勝手に不正アクセスしていないかどうかは
まずはウィルスチェックを　行うべきでしょうし。

補足

回答ありがとうございます。家庭用のPCについて質問しています。家庭用PCのコーナーでは適切な回答がもらえなかったので詳しい方にお聞きしたいと思いました。
とても基本的なことですが、自分がアクセスしたサイト以外とHTTPで接続が成立している場合はおかしい、ということでいいのでしょうか？

回答No.1

superside0

SQLインジェクションとか、セッションハイジャックとかは、
ポート80で　アタックされますよ。
手抜きは禁物です。