アタックの逆探知は可能でしょうか

質問

今現在、常時接続でネットを楽しんでいるのですが、
ここ数ヶ月、トロイの木馬系のアタックを受けています。

今のところ・ファイヤーウォールで弾き飛ばしていますが、
ちょっとしつこいので、逆アタックしてやろうかと思っている
ところです。

接続してきているIPは毎回違うのですが、IPを探るといずれも
大きな機関(国立大学やら大手企業やら)を踏み台にいる様子。

こういうののシッポをつかまえるのに有効な手段っていうのは、
なにかありませんでしょうか。

回答No.3

o_tooru · ベストアンサー

こんばんわ、お困りですね。

さてご質問の件ですが、最近のファイアーウォールソフトのメッセージはなかなか挙動がわかりにくいですね。

たぶん「トロイの木馬系のアタック」というメッセージをファイアーウォールソフトがあげてきたのでしょう。ただ、こういった攻撃はたぶん存在しないと思います。

トロイの木馬のワームが入り込んでいるコンピュータを無作為に探しているのだと思います。トロイの木馬がよく使うポートをポートスキャンしていることを、たぶんファイアーウォールソフトがそのように解釈したのだと思います。

ポートスキャン自体はたぶんグレーゾーンに位置されていると思います。（犯罪とも犯罪でないとも。ただ国によっては犯罪とされることもあったかと）

#しかし、ファイアーウォールソフトのメッセージの細か
#い意味は、メーカーのサイトを見ても載っていない気が
#するのですが。どうしても、ネットワーク系の知識がな
#いと、たとえ読んだところで理解できないとは思いま
#すが。どの様なパターンを「トロイの木馬攻撃」などと
#分類するのか説明する責任があると思うのですが。

お礼

回答ありがとうございます。

>たぶん「トロイの木馬系のアタック」というメッセージをファイアーウォールソフトがあげてきたのでしょう。ただ、こういった攻撃はたぶん存在しないと思います。

なるほど、そういうものなんですか。
何度OSをクリーンインストールしても、ISPを変えても、LANから切り離しても
続くのでどうしたもんかと思っていました。

警告がうるさいですが、ガマンして使うことにします。

回答No.2

parts

まず、
「逆アタックしてやろうかと思っているところです。」
というのは問題発言ですね。
これをすれば、あなた自身が、違法行為をするのと同じです。簡単にいえば、今アタックしてくるクラッカーと同じということですね。例え相手が先に仕掛けてきたとしても、逆アタックをすれば犯罪です。（たとえ相手が悪い人間でも、あくまで、法の上で裁かれなければならない。家族を殺されたから、殺した人間を殺された家族が殺せるわけではないのと同じです）

次に、「トロイの木馬系のアタック」では、相手の特定は難しいでしょう。このアタックは、トロイの木馬が潜んでいる環境に対してポートが開いていると仮定して特定の命令を送り、相手のコンピュータを支配するタイプのアタックです。簡単にいえば、自分のコンピュータにトロイが侵入していなければ、問題はないのですよ。

もしこれでコンピュータにトロイが存在する場合で、しかも、ファイアウォールがない、もしくはセキュリティホールがふさがっていなければ、コンピュータは支配され支配したコンピュータ（被害者）から、新しい命令を外部に出し、次のターゲットを探す事も可能です。標的を見つけるために、被害者のコンピュータを介して標的を探す場合もあります。そのため、最初にこの元を作り出した相手を特定するのは難しいでしょう。

元々、こいつは不特定の相手に隙があれば入るだけです。そのため、ファイアウォールソフトをしっかり利用して、ウィルス対策をし、セキュリティホール対策をし監視していれば問題はないです。

どうしても、何とかしたいならご利用のISPやファイアウォールソフトやウィルス対策ソフトメーカー、IPAに相談して対処を依頼した方が良いです。

お礼

回答ありがとうございます。

>まず、
>「逆アタックしてやろうかと思っているところです。」
>というのは問題発言ですね。
>これをすれば、あなた自身が、違法行為をするのと同じです。

確かにそうですね。行動を起こす前にご指摘頂けて良かったです。

それにしても、ごく普通に使っている方が、良からぬ事をしている
人々より、不愉快さを多くガマンしなくてはならない事に理不尽な
ものを強く感じます。

回答No.1

route15519

可能であっても、ここで書くわけには行かないと思いますが？（悪用されないとも限らない）

>トロイの木馬系のアタック
これがちょっと分からないのですが、仕掛けられたのなら駆除する。

アタックは一般にhttp・ftp・NetBIOS・TCP・SMTP・SQL・MSRPC UDP・SOCKS・proxyといったport probeを検索しているに過ぎないのですが。

アタッカーのすすめをここでするわけには行きませんので悪しからず。

お礼

アドバイスをありがとうございます。

>可能であっても、ここで書くわけには行かないと思いますが？（悪用されないとも限らない）

それもそうですね。ちょっと考えがたりませんでした。