ルーターと、XPファィアーウォールのログについて

質問

はじめまして。
TA(ルータータイプ)と電話は1階でつないで、パソコンは2階にあるので無線でつないでいます。
OSはXPで、セキュリティーソフトはシマンテックのアンチウイルス、パソコンは1台のみです。
フレッツISDNで接続しています。

先日ルーターのログを確認した所、1日100件ものアクセスがあるのに驚いてしまい、XPのファイアーウォールを設定しました。

そこで、今度はXPのファイアーウォールのログを見た所、ダーッと日付→時間→OPEN或いはCLOSE→TCP或いはUDP→ローカルIP→xxx.xxx.xx.xx等のIPが記載されている中で、所々日付→時間→DROP→TCP或いはUDP、そして先にxxx.xxx.xx.xx等のIP→ルーカルIP→1500(別の数字の時もあります)等の数字→AP(Aや、Rの時もあります)というアルファベット→10桁の数字→さらに10桁の数字(ここは”0”となっている時もあります)→5桁の数字(ここも”0”となっている時もあります)が記載されていました。
また、数箇所日付→時間→INFO-EVENTS-LOST - - - - - - - - - - - - 3(他の数字の時もあります)という表示もありました。
このx後者のxx.xxx.xx.xx等IPが先に記載されている所は、ルーターを超えて不正アクセスされたという事なのでしょうか？

不正アクセスならば、XPのファイアーウォールを設定してまだ数日でこれだけのアクセスがあるのに、設定前は無防備状態でかなりのアクセスがあったかもしれません。
もし、既にパソコンに進入されていたとしたら、それを確認＆排除する方法はあるのでしょうか？

また、ルーターに1日に100件という数は、平均よりかなり多いものなのでしょうか。
パソコンやルーターを乗っとられてしまうのでは…と心配です。

何かご存知の方がいらっしゃいましたら、どうか教えて下さい…！
長くなって申し訳ありませんでした。

回答No.2

honeorizon · ベストアンサー

>ええと、前者のパターンの１つは
>2002-11-30 11:25:38 CLOSE TCP ローカルIP 64.71.155.34 3188 80 - - - - - - - -

これはローカルIPのポート3188から64.71.155.34の
ポート80へアクセスしていたのをCLOSEしたという
意味ですが、

>後者（不正アクセスかもしれないと記載した方です）は、
>2002-11-30 08:15:38 DROP TCP 64.71.155.34 ローカルIP 80 3188 1500 AP 1949212846 808063093 32120 - - -

これは、64.71.155.34のポート80からローカルIPの
3188への通信をDROPしたという意味です。
何か気が付きませんか？そうです。相手のIPとポート
暗号が、最初とのログと同じでしょ？
つまり、あなたが不正アクセスではと心配した相手に
あなた自身がアクセスしていたわけです。
不正アクセスでは？と心配された例の残りも、
210.81.151.234 -> yahooのweb mail関係？
210.153.89.190 -> geocities
202.229.44.8 -> goo
ですし、それも全てポート80からの通信です。
ポート80というのは、http,つまり、HomePageを見る
場合に使われるサーバ側のポートですから、gooや
geocitiesのWebサーバがあなたに不正アクセスしてる
ことになります。そうした可能性もゼロでは有りませ
んが、それよりも、これらのログは、おそらく、あな
たがgoo等をIEで閲覧した後、IEを終了するなどして
webサイトとの通信を閉じた後に、遅れて届いたWebサ
イトからの通信を遮断したことを示すログだと思われ
ます。

お礼

ご回答ありがとうございます！
お礼が遅くなって申し訳ありません。

>つまり、あなたが不正アクセスではと心配した相手に
あなた自身がアクセスしていたわけです。

なるほど…！
確かにそうですね^^;。

教えて頂いたサイトも、行った事のある所ばかりでした。
不正アクセスかなと、とても危惧していたので、honeorizonさんのお言葉を見て安心しました…！

本当にありがとうございました。

回答No.1

honeorizon

>ルーターに1日に100件という数は、平均よりかなり多いものなのでしょうか。

普通でしょう。
それよりも、ログの中身を、あれだけテキトーに記述され
たんじゃ、何も分かりませんよ。伏せ字にするのは、自分
のグローバルIPぐらいにして、それ以外は「そのまま」
出さないと、誰も何も判断出来ないでしょう。

お礼

ご回答ありがとうございます！
100件は普通なのですね。
はじめ、数に驚いてしまったのですが、勉強になりました。
それと誤字が多くてすみません！
この場をお借りしてお詫び致します…！

補足

情報がたりなくて申し訳ありません…！
不正アクセスなのかもまだ分からず、何をそのまま書いたらいいのか、いけないのか判断できずにいました。

ええと、前者のパターンの１つは
2002-11-30 11:25:38 CLOSE TCP ローカルIP 64.71.155.34 3188 80 - - - - - - - -
というもので、後者（不正アクセスかもしれないと記載した方です）は、
2002-11-30 08:15:38 DROP TCP 64.71.155.34 ローカルIP 80 3188 1500 AP 1949212846 808063093 32120 - - -

2002-11-30 11:35:38 DROP TCP 210.81.151.234 ローカルIP 80 4482 40 A 3076358913 3601632629 65535 - - -

2002-12-01 22:015:15 DROP TCP 210.153.89.190 ローカルIP 80 3655 1095 AP 1306414625 571416830 8760 - - -

2002-12-01 22:50:25 DROP TCP 202.229.44.8 ローカルIP 80 3496 40 R 797536875 0 0 - - -

等です。
もし、他にも公開すべき事がありましたら、お手数お掛けして申し訳ありませんが、ご指導下さい…！
どうか宜しくお願い致します。