サーバのログについて

質問

個人で勉強目的でサーバを立てているんですが
ちょっと前から不審なアクセスが目に付きます。
具体的には
/default.ida XXXXXXXXX（中略）%u0078%u0000%u00=a
や
/c/winnt（中略）/cmd.exe /c+dir
等のログが残るんですけどいかにも悪意あるアクセスって感じがしますがこれは何なんでしょう？
サービス拒否攻撃ってほど頻繁にくるわけではないですし、NIMDAやCodeRedと関係あるのでしょうか？それともただ単に攻撃されてるだけでしょうか？
ちなみに攻撃してくるIPは自分と似たIPが多いです。（IPは毎回違いますが最初の8ビットが同じ場合が多い）
それとウィルススキャンでウィルスは検出されませんでした。
セキュリティーに詳しい方々の意見を伺いたいです。
お願いします。

環境
win2000server sp2+その後の各種パッチ
IIS5.0
ZoneAlarm
ノートンアンチウィルス

回答No.7

D-MAKER · ベストアンサー

こんばんは。
今日はちっと疲れているので短めにします。

selenityさんの回答にもありますが、ここは私の言葉で説明しますね。

簡単に言うとＮＡＴとパケットフィルタリングは全然違います。

まず、ＮＡＴとはグローバルＩＰアドレスとローカルＩＰアドレスを１対１で変換する機能のことをいいます。
パケットフィルタリングとは、特定のポートに対して通す通さないの設定をすることいいます。

わかりましたか？SIMさんはＮＡＴを誤解していたみたいですね。

さて、SIMさんはポートスキャンをして必要なサービス以外のポートは全て閉じられていることを確認しました。
じゃあ、なぜパケットフィルタリングしなきゃいけないのかというと、selenityさんが書いていたトロイの木馬っていうタイプのウィルスがあるからなんです。
このタイプのウィルスは、自分でサービスを提供してポートを空けるんです。管理者がわからないようにメールやマクロなどに仕込んでおいてドカンとやっちゃうんです。

だから外から中に入ってくるパケットや中から外に向かってでていくパケットを制御するんです。
パケットっていう言葉がわかりにくければ、サーバが提供するサービスがやり取りしている情報と思ったほうがわかりやすですかね？

最後の感想についてですが・・・何ともいえませんね。
サーバ立てる人がちゃんと勉強してくれるといいのですが、こういうことをコンサルティングとして仕事をしている人もいるわけですから(笑)。
私の希望としては、インターネットを利用する人たちが増えている中、困っている人も多いわけで、勉強した人は困っている人を助けてあげてくれたらいいなぁと思うわけです。

お礼

どうも毎回親切なアドバイスありがとうございます。
あの感想は昼休みに慌てて書いてしまったものでちょっと誤解されるような文になってしまいました。
私が言いたかったのは、私のように生半可な知識でサーバを立てるのは危険だと自分の愚かさに対する感想のつもりでした。
D-MAKERさんの言われる
>勉強した人は困っている人を助けてあげてくれたらいいなぁ
はとても素敵な考え方だと思います。インターネットのイメージは1部の心ない人たちによってあまりいいものとは言えないのが現状だと思いますが、映画のペイフォワードじゃないですけど人々の善意が広がっていくような善意の場になってくれたらいいなと思います。

それからNATについてはとてもよくわかりました。
丁寧に解説して頂きありがとうございました。

私もちゃんと勉強して誰かを助けてあげられるようになりたいです。（D-MAKERさんみたいに）

本当にいろいろとありがとうございました。
また質問するかもしれませんがそのときは宜しくお願いします。