FloodやらIP詐称やらがメインです。fail2banでアクセスログ監視とかでメモします。Floodとかポートスキャンとかpingのような攻撃はログに痕跡が残らなかったりするわけです。外から通信を受ける時は下から順に登ってくる、アプリから外へ発信する時は上から下へ降りていくイメージです。Floodとか(=TCPの接続前)による攻撃は一番上のアプリ層までデータが登って来ないから、ログにも載らないのです。†80や443ポートめがけてひたすらSYNだけを投げてきます。大量に来るとリソースがいっぱいになって、正規の通信も不可能になる、というのがDoS攻撃の手法の一つです。コマンドでプロセス数やらメモリやらの上限が表示できます)いずれにせよ資源には限界があります。以下、そういう内容のメモです。443通信をsnortで監視していたら、たまに、よそのWebサーバ目がけてSYN-ACKを飛ばしていることが分かりました。connect)-|つまり、どこかの攻撃者が送信元ポートに80番を指定して(詐称して)うちのサーバへ攻撃してきた感じです。うちのWebサーバは本物か偽物かにかかわらず、とりあえずSYN-ACKを返した、と。通常は送信元ポートにWell-knownポート(1023番以下)あるいは低い番号帯を使うことは無いので攻撃者はどこかのWebサーバへの嫌がらせが目的で、偽のSYNを世界中にばらまいているのだと思います。(Well-knownポートで相手からSYNを受けることはあっても、SYNを投げるために使うことはない、たぶん)そのため、1023以下*1から来る通信はfirewallで止めてしまうことも一考したほうが良いと思います。これと同じ理屈がICMPにも言えます...つまり、詐称したpingをばらまいて、応答をどこかのサーバへ一斉にぶつける攻撃など。OSによってはデフォルトでICMP拒否していますし。†なんか、大量のSYNが飛んできて、netstat(後述)を見てびっくりしました。ように特定のアドレス帯を連番で、あるいはランダムに詐称して攻撃してきます。特定の大手企業が所有する一群だったり(=その企業を攻撃するのが目的?)、なんの脈絡もなくただ連番だったり、様々でした。多いのではなく、明らかに攻撃である、というのは接続数の違いを見れば分かります。ユーザ自身以外の接続も見る。IPアドレスやポート番号を数字のままで出す(いつもはこんな感じだと思います。オプションを忘れずに。これを付けないとIPアドレス1つ1つに対して名前解決が発生して、動作がとても重くなってしまうからです。情報を集めるスクリプト等を作ることも試してみましょう。送受信量はsarコマンドからも取得できます。