ポートスキャン、リモートコード実行、VoIP 攻撃

　先日、連続ネットワークアクセスのログが大量に記録されました。

　こんな感じです。


IP アドレス： 1.20.150.223 （タイ）
ポートスキャン後、連続アクセス。

IPS Prevention Alert: WEB-ATTACKS bash Access, SID: 8920, Priority: Medium -  1.20.150.223, 5313

bash Access とあるので、bash シェルの脆弱性（Shellshock）を狙った攻撃のようです。
　Unix、Linux、Mac OS X をお使いの方は注意が必要ですね。

参考：
bashに存在する「Shellshock」脆弱性についての注意喚起

　そして、この Shellshock 狙いどおり、リモートコード実行試行が10分間で 5700 回以上の連続アクセスが記録されていました。
　攻撃先のポートが 80 (http) だったので、Web サーバ狙いでしょうね。

WEB-ATTACKS Web Application Remote Code Execution 45, SID: 5617, Priority: Medium - 1.20.150.223

IP アドレス： 212.83.136.198 （フランス）

　ポートスキャン後、 連続アクセス。
　過去のレポートを見ていると、先月末からもちょこちょこアクセスしている記録がありますし、この IP アドレスは以前から悪用が報告されているようです。

参考：
AbuseIPDB.com への報告

IPS Prevention Alert: VoIP-ATTACKS SIPVicious Activity 1, SID: 5616, Priority: Medium - 212.83.136.198, 5093

　VoIP で攻撃先のポートが SIP だったので、IP 通話関係の接続確立を試みたようです。



　みなさまもお気を付けください。

拠点間VPNネットワークの構築 (2) --- 回線の冗長化

近年、インターネット回線やルータなどのネットワーク機器はかなり安定してきているようですが、回線かルータのいずれかが落ちると拠点間の通信は一切できなくなるので、冗長化する --- 回線とルータを複数用意する--- ことが重要です。　

【回線とルータの冗長化イメージ図】

上図のように、重要な拠点間の回線とルータは二重化または多重化しておきます。　回線は異なるキャリアのものを使用し、一つのキャリアの回線（例：NTT Bflets）が落ちても、生きている他のキャリア（KDDI）に切り替えて運用を継続します。　回線の切替は自動的に実行される（SonicWALLによる冗長化の例）が理想ですが、そのようなネットワーク構成は通常、高額になります。　よって、規模の大きくない拠点においては、障害発生時は手動によりTCP/IPプロパティのデフォルトゲートウェイを切り替えれば良いでしょう。　また、回線にかかる負荷を分散させるために、拠点にあるPCの何台かを1つの回線へ、残りのPCをもう一つの回線へと、通信をゲートウェイの指定により割り振るのも良いと思います。


デフォルト ゲートウェイの冗長化に関するメモ
TCP/IPプロパティのデフォルトゲートウェイに複数のルータのIPアドレスを指定して冗長化すれば、ルータの障害発生時に自動的にゲートウェイを切り替えてくれる筈だが、冗長設定を行うと、通信が不安定になる（断続的に切断される）ので要注意。


回線メモ
◇KDDI
インターネットゲートウェイ　
イーサシェア　光ファイバー、100Mベストエフォート型、￥184,800/月～（関東）　*1
Business-ADSL　下り最大12Mbps/上り最大1Mbps、ベストエフォート型、￥27,000/月～　*2

1. 田舎は使用できないところが多そう。
2. 微妙に（一部）NTTの電話網を使っているようで、NTTが落ちた場合、影響を受ける可能性有。

◇Usen
光ビジネスアクセス　　光ファイバー、100Mベストエフォート型、￥52,500/月～

• 田舎では使用できない。