[connect24h:01896] Re: ICMP L3retriever Pingが異常に来るのですが

["Shikata Koji" <koji.shikata@xxxxxxxxxxxx>]

こんにちは、しかＰと申します。

> 実は、うちのサーバーに今朝９時頃から下記のようなアクセスが異常に続いてい
> ます。
>
> /etc/messagesのログ：
> Mar  2 19:28:56 192.168.0.1 IP#2: rx filtered UDP from 210.145.142.162/137
> to 192.168.0.10/137
> Mar  2 19:28:57 192.168.0.1 IP#2: rx filtered UDP from 192.168.0.2/137 to
> 192.168.0.10/137
> 以下同様なログが多数
> ・・・
どうみても、DoSっぽいパケットに見えますね。
210.145.142.162は日本企業ので、OCN経由っぽいですね。
アドレス詐称か、もしくはすでに踏み台にされているのか、どちらかでしょうねぇ。
＃ちなみに上記企業のWWWはまともでした。
192.．．．の方は完全にアドレス詐称ですね。


> snortのログ：
> [**] ICMP L3retriever Ping [**]
> 03/02-09:46:25.620765 0:80:B8:13:2D:66 -> 0:40:26:55:81:54 type:0x800 len:0x4A
> 210.145.142.162 -> 192.168.0.10 ICMP TTL:12 TOS:0x0 ID:37437 IpLen:20
DgmLen:60
> Type:8  Code:0  ID:512   Seq:22039  ECHO
> 41 42 43 44 45 46 47 48 49 4A 4B 4C 4D 4E 4F 50  ABCDEFGHIJKLMNOP
> 51 52 53 54 55 56 57 41 42 43 44 45 46 47 48 49  QRSTUVWABCDEFGHI
> 以下同様なログが多数
> ・・・
こっちはスキャンされているんでしょうねぇ。

> 192.168.0.10はメインのサーバーですが、ルーター（192.168.0.1）で135〜139
（省略）
> ほっといてもいいのでしょうか。
つか、ほっとく鹿。
セキュリティを破られなければいいわけで。
/varがいっぱいにならないよう、定期的にバックアップして嵐が過ぎるのを
待つしかないんじゃないかと思います。

詳しい方のフォロー望みます。
--
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
　　鹿田　幸治／しかＰ　　　Koji.Shikata
　　　E-Mail:koji.shikata@xxxxxxxxxxxx
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝