ZoneAlarmのポートスキャン感知能力について

質問

以前までKerio Personal Firewall 4.2.2(フリー版) を使用していたのですが
他のプログラムを使用する上でちょっとした相性問題が発生したため ZoneAlarm(フリー版) に変更しました。
私はルーター環境下で使用しているのですが、Kerioを使用していた時に大体平均すると1～2日に1回の割合で同じIPアドレスからのポートスキャンをブロックしていたのですが
ZoneAlarmに変更してからは、ログを見る限り一度もブロックした形跡がありません。
これはZoneAlarmがポートスキャンを感知できずにすり抜けられているということなのでしょうか？
ZoneAlarmのファイアウォールの設定はインターネットゾーン・トラストゾーン共に 高 に設定しています。
やはりそれぞれのファイアウォールソフトごとに感知能力の差というのがあるのでしょうか？
場合によっては違うファイアウォールソフトに乗り換えようかとも考えています。
よろしくお願い致します。

回答No.2

Fushino · ベストアンサー

＃1です。
一つ思いついたのですが、ZoneAlarmはデフォルトでのログはあまり問題のないものは対象外になっていますからそのあたりが影響している可能性もあります。

前回の回答で「ポートスキャンがルータを抜けてくるというのは何か設定（に問題）があるのではないでしょうか。」と（）内が欠如していました。

外部からの通信はルータ（WAN側のIPアドレス）宛てに送られて来ますから、その通信をLAN側のPCに転送するためにはそのように設定しておく必要があります。
このサイトでも「ポート開放」に関する質問が多いようにルータは初期設定では外部からの通信を内部には転送しない（できない）状態にあります。
したがってポートスキャンがPCに届いていたというのが気になった訳です。
※そのあたりをごまかす手法もありますが取りあえず置いておきます。

ポートのセキュリティチェックについてはオープンになっていなければ問題はありません。
クローズとステルスの違いは前者は要求ポートが利用できないという応答を返し、後者は何も応答しないというものです。
ただ 0番と1番だけがクローズになる理由は思いつきません。

アタックログについては何のログを取っているのか不明ですが、DoSアタックのような特定ものだけではないでしょうか。たぶん、取扱説明書等に説明があると思うのですが。

お礼

ご回答ありがとうございます。

Kerio使用時、ログにはPortscanとして表示されていたので気にかかっていたのですが、これがKerio側の誤検知であったことを願います。

ルーターの説明書を読み直してみたのですが、特定のポートを指定して閉じるといった項目は見つかりませんでした。
ポートスキャンに関係しそうな項目は、ステルスモードとファイアウォールの二つで、
ステルスモードは、有効/無効の二択のうち、有効に設定、
ファイアウォールは、セキュリティ高/中/低の三択のうち、中に設定しています。
試しに、ポートスキャンサービスを利用する時に 高 へ変更してみましたが、0番 1番 がクローズの状態は変わりませんでした。
この点は、もう少し検索して情報を探してみます。

アタックログについては、Fushioさんの仰るとおり、DoSアタック用のログと説明書に記載されていました。

回答No.1

Fushino

ZoneAlarm(フリー版) には特定のポートを閉じる機能はなかったはずです。
指定したポートの閉鎖を行いたいのであれば有償版（ZA Pro等）の購入が必要と思われます。

フリー版でできることは指定したプログラム（プロセス）の通信制御だけでプログラムのサーバ動作を許可していればそのプログラムが受け取るポートの通信はすべて許可されたものとして扱われますし、逆にサーバ動作を許可したプログラムがなければ全ポートの通信が遮断されることになります。

ルータ環境でポート閉鎖のような外部からの通信の遮断はルータ側で行うのが一般的だと思いますが、ポートスキャンがルータを抜けてくるというのは何か設定があるのではないでしょうか。

お礼

ご回答ありがとうございます。
プログラムのサーバ動作はすべて 問い合わせ に設定しており、今まで使用してきた中では通信の許可・拒否の問い合わせを受けたことはありません。
試しにShields UP!というサイトのAll Service Portsでポートスキャンをかけてみたところ、0番と1番がClosed 2番から1055番がStealthという結果が出たのですが、これは0番か1番から進入されているかもしれないということなのでしょうか？
ルーターはcoregaの物を使用おり、設定画面を一通り見たのですがポートを指定してステルス状態にするという項目は見つけられませんでした。
一応OPENされたポートは発見されませんでしたがClosedのポートが気にかかります。
ルーター側ですべてのポートをStealthにする方法はご存じないでしょうか？
よろしければご教授願います。

Shields UP!：https://www.grc.com/x/ne.dll?bh0bkyd2

補足

すみません、少し補足をさせて頂きます。
ルーターの設定画面の中にアタックログという項目があり、ログには何も表示されていないのですが、これは一切アタックを受けていないということなのでしょうか？
ZoneAlarmの紹介されているサイト等で「頻繁にアタックを受けているようですが、その都度ブロックしてくれているので安心です。」といった文を読むのですが、ブロック以前に一切アタックを受けないという環境もあるのでしょうか？

それと、ルーターのファームウェアは最新の状態で使用しております。