ＩＰ偽装について

質問

自分はとある会社でＷｅｂサーバーの管理をしているのですが、
毎日のようにＳＳＨで不正アクセス攻撃を受けています。
（おそらく大半のサーバ管理の方は同じ苦労をなされていると思います）
先日messagesログを見ていると、ＳＳＨで
国内から不正アクセスしようとしている痕跡を見つけました。
アクセス元ＩＰをwhois検索してみると普通にカタギの会社です。
それで相手のホームページを見つけ、そこからサーバー管理者の方に
不正アクセスについて問い合わせた所、こちらのログにはそのような跡は
ないというご返答を頂きました。
（具体名は伏せますがそこは半公的機関で、
そこから直接攻撃があることはちょっと考えにくかったです）

そこで質問なのですが、
ＩＰを偽装して他のサーバーにアクセスする者（Ａ）がいた場合、
Ａが偽装したＩＰ（Ｂ）のサーバーは
踏み台にされてもログは残らないのでしょうか。
また踏み台以外の方法で偽装が行われた場合、
Ａの攻撃先からのリクエスト結果は
どういう仕組みでＢではなくＡに戻るのでしょうか。

回答No.3

noname#98978

＞先日messagesログを見ていると、
＞アクセス元ＩＰをwhois検索してみると普通にカタギの会社です

もしかして、どこからでもサーバにアクセスできるようになっているのでしょうか？
ふつうなら、FWで弾くように設定しているはずですが？
専門家に設定してもらったほうがいいのでは？

補足

申し訳有りませんが、返答の意図がよくわかりません。

回答No.2

okg00

>また踏み台以外の方法で偽装が行われた場合、
>Ａの攻撃先からのリクエスト結果は
>どういう仕組みでＢではなくＡに戻るのでしょうか。

返りません。返さなくても良いような攻撃に使います。攻撃の種類にもよりますが、例えばSynFloodなんかだと攻撃元に返る必要がないですし。

お礼

なるほど。
Ａは総当りというのでしょうか、
adminやrootなどいかにもな名前でこちらのサーバーに
アクセスしようとしてきていました。
しかしその場合接続成功すると、その結果はＢに戻ると思います。
この場合Ｂになんらかの悪意のあるプログラム（たとえば
接続成功した場合、ＡにそのＩＤとパスを送信するなど）が
埋め込んであると考えていいのでしょうか。

回答No.1

okg00

大抵のクラッカーなら、踏み台にするぐらいならログの改竄をしますね。
侵入した形式を無くすぐらい。

お礼

なるほど、言われてみるとその通りですね。
ログも確実には信用できませんね。