[connect24h:01489] Re: Backdoor の対処メモ

[Hideaki Ihara <hideaki@xxxxxxxxxxxxx>]

Port139 いはらです。

On Wed, 21 Feb 2001 16:30:35 +0900
Sonoda Michio <sonodam@xxxxxxxxx> wrote:

>バックドアを仕掛けられているとしたら、rootkit的なものを仕掛けられている可能 
>性も高いと思います。

Linux ならオフラインでブートさせて Tripwire でチェックとかなんで
しょうけど...オフラインブートさせてベースラインデータベースがあ
れば rootkit が発見できるはずです、理論上は...誰か起動用 FD 作り
ません？（とかいう）

>システム管理コマンド等で内部から調査するだけでなく、外側からポートスキャンす 
>るなどの手段についても言及された方が良いと思いますが、いかがでしょうか？

これは、バックドアが外部から接続を受け付けるタイプであれば有効だ
と思いますが、内部からセッションを張りにいっている場合には発見が
困難ではないかと思います。

ポートスキャンした結果、何も待ち受けポートに異常がないから安心と
いうのはちょっと危険な気もいたしますので、

・内部プロセスにおいて外部と記憶のないセッションがやりとりされて
  いないか確認する。

ということも必要かと思います。
Windows NT/2000 であれば、TCPView PRO 使うとかですかね。
フリーのだと...名前忘れちゃった...
何が怪しいプロセスなのかを判断するのが、ネックといえばネックです
けど...

あ、どのみちポートスキャンしてポート空いてる場合には何が通信して
るか確認しないと意味ないのか...

rootkit まで考慮するのであれば、というか考慮しないとほんとはいけ
ないんですけど、やはり再インストールして安全だと確認できているデ
ータのみを復旧させるという方法が安全という意味ではベストな気が個
人的にはします。
Tripwire を使っている場合には、rootkit 自体の発見は困難でもデータ
そのもののチェックは依然有効ですから、監視対象をチェックして異常
がなければ監視対象のデータは再インストールしたシステムに戻しても
安全です。
Tripwire とかをいれてない場合には、設定ファイルなど全部作り直すか
安全だと確認できるものだけリストアするってところでしょうか...

---
WinSyslog,EventReporter 販売中: http://adiscon.port139.co.jp/

Hideaki Ihara <hideaki@xxxxxxxxxxxxx>
Port139 URL: http://www.port139.co.jp/
PGP PUBLIC KEY: http://www.port139.co.jp/pgp/