[port139:00345] フィルタされるまでの時間（ Re: [port139:00343] Re: IIS 用＆セキュアなプログラム用新たなツールを企画中？）

[Hideaki Ihara <hideaki@xxxxxxxxxxxxx>]

Port139 伊原です。

引用部分長くなりますが...

On Wed, 27 Jun 2001 16:42:48 +0900
Sonoda Michio <sonoda_michio@xxxxxxxxxxxxxxxx> wrote:

>>っていうのは、IPsec Policy Agent サービスが起動するまではフィルタ
>>が有効にならないはずなんですよね。（以前実験した時にはそんな感じ）
>>比較したことがないんですが、ひょっとすると RRAS 関連のサービスも
>>起動が遅いかもしれません。
>>
>>システム起動
>>↓
>>各種ネットワークサービス起動（軽いものが早い気がする）
>>↓
>>↓----この間、起動したネットワークサービスが保護されない
>>↓
>>IPsec ポリシー エージェントサービス起動
>>↓
>>フィルタが開始される
>>
>>これだと、再起動時などにはケーブルを抜いておかないと危ないような
>>気もするんですけど、みなさんどー思われます？
>
>そこまで行くと考えすぎとも思えますが、しかしここんとこの不正なアクセストラフ 
>ィックの多さを考えると、そうとも言い切れないような気がします。わずかなタイム 
>ラグにしろ付け入るスキがあったら、機械的にいたずら先を探しているようなのに引 
>っかからないとも限らないでしょうしね。

意外にサービス起動するまでにかかるんですよぉ。（T_T)
実際に、同一 LAN 上にある別のシステムから、対象のシステムへ ping を
ずっと撃って、どの程度フィルタまで時間がかかるかテストしてみました。
Celeron 500Mhz、192M の PC に Windows 2000 Server という環境です。


IPsec によるフィルタの場合、システム起動からサービス起動までにやり
とり可能な ping は 47個

RRAS によるフィルタの場合、システム起動からサービス起動までにやり
とり可能な ping は 45個

ちなみに、

BackICE Defender によるフィルタの場合、システム起動からサービス起動
までにやりとり可能な ping は 60個

でした。
なお、システムをシャットダウンする際にも同じことが発生します。
＃こちらはより短い時間ですが、停止に時間がかかるものがいると...

見てる感じですと、起動してます〜の画面の状態ですでに TCP/IP は動き
だしますので、そこからログオンダイアログがでて少し経過するまではか
かるようです。

>確かWin9Xとかだと、起動するソフトウエアの順番をいじることができたと思います 
>が（アプリケーションだけ？システムプロセスも？）、NT系統でブートストラップい 
>じりに挑むのはチャレンジ過ぎなんでしょうか？

理想とすれば、フィルタするサービスが起動するまでは別のサービスの
起動を待たせるのがベストなんですが、どうもそういったサービスの起
動順序を管理者が任意に設定するというのは難しいようです。

---
WinSyslog,EventReporter 販売中: http://adiscon.port139.co.jp/

Hideaki Ihara <hideaki@xxxxxxxxxxxxx>
Port139 URL: http://www.port139.co.jp/
PGP PUBLIC KEY: http://www.port139.co.jp/pgp/