活用TIPS2018.03.07起動サービスのポート使用状況調査についてのお願い先日よりお知らせしておりますとおり、グローバルネットワークに公開されたサーバ上で起動されるmemcachedのポートを対象とした攻撃が頻発しています。強固な認証やアクセス制御などのセキュリティ機能を持たず、グローバルネットワーク側への開放を想定していないサーバソフトウェアが外部より無制限にアクセス可能な状態となると、今回のような攻撃に晒され、お客様サーバ内に保存されたデータの流出のみならず、ネットワークトラフィックの増大や外部ホストへの攻撃により他のお客様へのご迷惑となる場合があります。つきましては、インターネットからユーザが直接アクセスするサービス(HTTPの80番ポートやSMTPの25番ポートなど)の他に、主にローカルネットワークでの通信を想定したサービス(MySQLの3306番ポートやNFSの2049番ポートなど)のポートが開放されていないかをご確認いただき、サービスの制限機構やファイアウォールなどによる適切なアクセス制御設定の実施や、意図せず開放されていた場合サービスを停止するなどのご対応をお願いいたします。CentOS7系環境での開放ポート確認方法CentOS7系では、標準でインストールされているssコマンドを使用して確認が可能です。listening”オプションを付与して実行します。:::*※実際の表示とは一部異なります。意図せずポートが開放されていた場合、追加で”-p”オプションを付与することでそのポートを占有しているプロセス名とプロセスIDが表示されます。users:(("httpd",27054,6),("httpd",17112,6),("httpd",17110,6))表示されたプロセスIDをもとに不要なポートをListenしているプロセスを特定し、プロセスの停止やアクセス制限設定の再確認・追加などにより不正なアクセスが行われないよう対応を行ってください。不必要なサービスはsystemctlコマンドなどを使用し、サーバ起動時に自動的に起動しないような設定を行ってください。用いてファイアウォールを設定し、公開する予定の無いポートは予め遮断しておく、通信先が限定されているポートにはアクセス可能なIPを指定するなどアクセス制限を行ってください。設定方法を解説していますのでご参照ください。意図せず開放されていることの多いポート何らかのプログラムをインストールし、デフォルトの設定のままで起動した場合によく開放されるポートの一覧です。ssコマンドなどによる調査でこれらのポートが意図せず開放されていた場合はグローバルネットワーク側に対するポート閉塞対応を推奨します。HTTPでアクセス可能なGUIインタフェース、80番ポートの代替など。HTTPでアクセス可能なGUIインタフェース、80番ポートの代替など。プログラムの管理インタフェースへの接続用、SSHの代替など。SunRPC(NFS関連)ポート。RPCリフレクション攻撃対象ポート。53番(DNS)ポートの代替。mDNSリフレクション攻撃対象ポート。MongoDBデフォルトポート。MySQL、memcached同様グローバル非公開推奨。Sambaをインストールしたサーバ、WindowsOSで要注意。グローバル非公開推奨。WindowsOSで要注意。グローバル非公開推奨。プログラムの管理インタフェースへの接続用、SSHの代替など。