サーバのログについて

質問

個人で勉強目的でサーバを立てているんですが
ちょっと前から不審なアクセスが目に付きます。
具体的には
/default.ida XXXXXXXXX（中略）%u0078%u0000%u00=a
や
/c/winnt（中略）/cmd.exe /c+dir
等のログが残るんですけどいかにも悪意あるアクセスって感じがしますがこれは何なんでしょう？
サービス拒否攻撃ってほど頻繁にくるわけではないですし、NIMDAやCodeRedと関係あるのでしょうか？それともただ単に攻撃されてるだけでしょうか？
ちなみに攻撃してくるIPは自分と似たIPが多いです。（IPは毎回違いますが最初の8ビットが同じ場合が多い）
それとウィルススキャンでウィルスは検出されませんでした。
セキュリティーに詳しい方々の意見を伺いたいです。
お願いします。

環境
win2000server sp2+その後の各種パッチ
IIS5.0
ZoneAlarm
ノートンアンチウィルス

回答No.2

D-MAKER

こんばんは。
自分のわかる範囲でお答えさせていただきます。

>/default.ida XXXXXXXXX（中略）%u0078%u0000%u00=a

はCodeRedによるアタックだと思われます。
参考URLに関連記事を載せておきますね。
一読されることをお勧めします。
（ちなみにこのアットマーク・アイティのサイトは結構役に立つ情報が載っています。これからの参考にもなるのでマイクロソフトのサポートオンラインとあわせてご覧になることをお勧めします。）

対処の方法は
http://www.asia.microsoft.com/japan/technet/security/codeptch.asp#counterofw2k
に書いてあります。こちらも参考にしてください。

>/c/winnt（中略）/cmd.exe /c+dir

もアタックです。
数が多くないようなので、パッチ等でカバーすれば当面は大丈夫だと思います。
各種パッチが当てられているようですが、足りないパッチがありましたら、上記ＵＲＬや参考ＵＲＬを参考にして追加してくださいね。

それから、文面からは判断できなかったのですが、IISの設定で、c:\Inetpub\wwwrootの設定を変更してありますか？
クラッカーは大抵、OSのデフォルトをついてきます。
デフォルトのページはc:\Inetpub\wwwrootではなく、違うドライブに変更しておきましょう。できれば、OSも違うドライブにインストールするとなおＯＫなのですが、OSの再インストールは厳しいものがあるので、IISの設定ぐらいは変えておきましょう。
勉強目的と書いてあったので、これは必要に応じてなのですが、できればファイアウォールかプロキシー・サーバを立てておいたほうが気休めになります。
それから不要なサービスもわかる範囲内で停止したほうがいいです。
前者は、使用していないポートからのアクセスをカットできます。後者は、万が一、アタックされても被害を少なくすることができます。

>ちなみに攻撃してくるIPは自分と似たIPが多いです。

これは、同じプロバイダーの人か、同じアクセスポイントからアクセスした人の可能性が高いです。
（断言はできません。あくまで可能性の話です。）
ダイアルアップで攻撃されると、個人レベルでは対処できません。（ダイアルアップするたびにＩＰアドレスが変わるので、ユーザを特定できないのです。）
プロバイダーからだと、誰が、いつ、どの電話番号からかけてきて、どのＩＰアドレスを取得したか、ログを見ればわかりますが、個人にはプライバシーの問題上公開されません。

あまり回答にはなっていませんが、サーバを立てる場合は、ある程度、自衛に心がけましょう。被害をこうむるのが自分だけなら問題ないのですが、踏み台にされると大変なことになります。知らない間に加害者にされます。

最後はちょっと脅かしが入ってしまいましたが、自衛の意識と、SIMさんの努力があれば（ログチェックしているみたいだし）大丈夫だと思いますよ。

あと何か不明な点がありましたら、補足で書いてください。またお答えしたいと思います。
勉強がんばってくださいね。

参考URL：

http://www.atmarkit.co.jp/fwin2k/insiderseye/20010803codered/codered.html

補足

丁寧な回答ありがとうございます。
どうやら
/c/winnt（中略）/cmd.exe /c+dir
ってのはD-MAKERさんの教えてくださったサイトによるとNIMDAっぽい感じですね。アタックが始まった時期とNIMDA発生時期が重なりますし。

>IISの設定で、c:\Inetpub\wwwrootの設定を変更してありますか？

とくにセキュリティーを意識したわけではありませんが、なんか邪魔だったので最初にあったページは消してあります (^^;
現在のページのファイルはシステムとは別のHDDに適当なディレクトリを作って置いてあります。これでいいのでしょうか？

とても親切なD-MAKERさんに甘えてさらに質問があります。
我が家の環境は3台のPCがありADSLモデムとサーバの間にルータが入ってます。
3台のPCはそれぞれクラスCのIPを静的に割り当て
ルータのNATでport20(FTP),21(FTP),25(SMTP),80(HTTP),110(POP),1723(VPN←試験的に)をサーバのアドレスに変換してます。サーバにはZoneAlarmというフリーのファイアウォールソフトを入れてます。
ルータのパケットフィルタリングは使っていません。（なにをフィルタしたらいいかよくわからないから (^^; ）
大体セキュリティー対策はこのぐらいでよろしいでしょうか？不足してる部分を指摘していただけるとありがたいです。
それからWIN2000の不要または危険なサービス、塞ぐべきport、OSデフォルトの設定の変更すべき個所等教えていただけると幸いです。（参考サイト等でも結構です）
お願い致します。

個人とはいえサーバを管理するものとして自衛の意識とスキルアップを心がけて行きたいと思います。