Sysinternals」の1つを使って自動実行から怪しいファイルを見つける方法を紹介しました。Sysinternalsを利用し、通信から怪しいファイルを見つける方法を紹介します。通信の状況からウイルスやスパイウェアを探るトロイの木馬型やバックドアのようなタイプは、外部(おもにはウイルスの作者)とインターネット通信を行ない、情報の受け渡しや、ウイルスプログラム自身の更新などを行ないます。そのため、PCで行なわれている通信の状況を確認すれば、そういったウイルスなどの活動を見つけ出すことができます。Windows」が役に立ちます。使っているプログラムによっては、実に多くの通信が行なわれる場合があるTCPViewは、そのPCで行なわれている通信をリアルタイムで表示してくれるツールで、netstatコマンドで取得できるのと同等の情報を表示してくれます。Addressがlocalhost以外になっているものです。StateがEstablishというのは、通信が確立している状態のものを示しています。Addressは接続先を示していますので、localhost、つまり自分のPC自体ではない場所と通信しているものを見ていきましょう。わかりやすくするため、ネットワーク通信を行なうことが分かっているプログラム、たとえばブラウザやSkypeなどは終了させておくことをお奨めします。Addressがlocalhostでないからといって、すべてが不審な通信というわけではありません。Whois情報を参考に、次は接続先がどこなのかを調べていきましょう。Whois情報とは?インターネットのすべてのドメイン・IPアドレスには、所有者が登録されています。ドメインやIPアドレスから、その所有者を見つけ出すのがWhois情報です。Whois情報の検索は、ツールなどさまざまな方法がありますが、今回はWebサービスを利用する方法を案内します。Whois情報を検索できるサイトはいくつかありますが、今回は米ドメインツールズの「DomainTools」を使います。Addressのドメイン名やIPアドレスを入力するだけです。Corpになっているので、怪しいものではなさそうだということがわかります。Refに記載されているURLなどで、より詳しい情報を見ることもできる実はこのWhois情報の検索はTCPViewの右クリックメニューからも行なえるのですが、IPアドレスからの検索に対応していないなど不十分なところがあるため、今回はWebサービスを使う方法を紹介しました。Listenしているプログラムも確認しようEstablishedのプログラムに問題がない場合は、Listenしているプログラムについても見てみましょう。Listenという状態は、Webサーバーの様に外部からの接続を受け付けている状態を示しています。トロイの木馬は内部から外部への通信を行なうことが多いですが、バックドアでは逆にインターネットの接続を待ち受けることがあるからです。Properties」を開き、ファイルのフルパスを確認してみましょう。インストールした覚えがなければ、セキュリティソフトやOSのファイアウォールを利用し、通信を行なえないようにして様子を確認するのがよいでしょう。実はさまざまなプロセスが通信の待ちうけを行なっているこうしたListenしているケースは、ルーターを導入している場合はあまり気にする必要はありません。インターネット側からは、ルーターの先のどのPCがListenしているかわからないため、通信できないためです。ルーターで正しくポートマッピングなどされている場合は別ですが。PPPoEなどで直接接続を行なっている場合は、ルーターを導入してしまうというのも大きなセキュリティ対策になります。プロダクトエキスパート2008年、エフセキュアに入社。Linux製品について、パートナーへの技術的支援を担当する。JAWS飯田橋クラウドクラブ(略称:イイクラ)今年も色々ありました。スマホお気に入り一覧マイページ。