김황중문제는......
서버로부터 특정 몇몇군데의 원격지로(국외. 다국적입니다.) UTP 포트에서 송신하고 있는
패킷이 감지 되었고요.
오늘 오전부터 꾸준히......... 10M의 트래픽을 국외로 보내고 있습니다.
실제로 일부는 보내지고 일부는 드랍 중이기는 하고 있으나
어떤 데이타가 나가고 있는지는 확인되지 않고 있고
단지 출발지가 UTP 0번 포트이고 원격지의 UTP 0번 포트로 전송 중인것만 확인 된 상태입니다.
(IDC 보안팀에서 해당 서버의 ip에 대한 패킷을 확인하여 알려준 포트번호 입니다.)
제가 알기에는 UTP 0번의 경우 윈도 서버의 경우 예약된 포트라 다른 프로그램이 사용을 못할텐데
이상하게도 이 포트를 이용하여 패킷이 나가고 있네요.
바이러스 프로그램을 설치하여 검사하였으나
웹등의 증상도 전혀 않보이고.....
일단은 포트라도 막아야 할것 같은데
어떻게 막아야 하는지 모르겠네요.
아침부터 이것저것 다 해보고 있으나 막을수가 없으며
해당 서버는 웹, 디비, DNS 기능외 ftp 서비스를 하고 있어서
해당 서비스를 모두 내렸으나 10M의 국제 패킷은 막히지 않고 있네요.........
또한 방화벽에서 모든 인바운드와 아웃 바운드를 다 막아도 신기하게도 트래픽은 꾸준히 발생 됩니다.
물론... 서버를 끄면 더이상은 트래픽 발생은 없고요....^^;;
어떻게 UTP 0번 포트를 막을수 있을까요?
조언 부탁드리겠습니다.
- by inoree.com -
0번 치는건 ddos 가 많아요
저도 이런 경우 고객사에서 몇번 봤습니다.
결국엔 방화벽에서 지원하는 ddos 기능 썼었는데 제가 방화벽 담당자가 아니니 뭐... 어떻게 처리 됬는지는 모르겠네요.
그리고 예약된 포트라서 다른 프로그램이 사용을 못한다는 말은 한참 잘못 알고 계신 것 같습니다.
ddos 공격자나 해커들이 알려진 포트로 공격을 해야지 이상한 비정규 포트라면 관리자 입장에서는 바로 차단하잔아요?
또한 첨부주신 그래프로는 아무것도 알수가 없습니다.
그냥 네트워크 트래픽 오르락 내리락 하는 건데 저것으로 분석을 할 수 있겠나요.
최소한 넷몬이나 와이어샤크로 0번포트 패킷 정보라도 올려주시는게 맞는데....
네.. UDP가 맞고요.
저도 와이어샤크로 패킷 오전부터 보고 있는데
0번 포트가 저는 않보이는...^^;;
다시한번 찾아보고 패킷 데이타 남기도록 하겠습니다.
백신은 어떤걸 사용해보셨는지요. 윈도우즈용 방화벽 전문 프로그램으로 모니터링
해보시면 어떨런지요 ?
해당 서버에 바이러스 프로그램도 돌려보고
일주일간의 데이타를 수동으로 일일히 검색 하여 확인 하였으나
역시 이상 증세는 없었고요.
서버 문제가 아닌 ip로 들어오는 ddos문제로 보여 집니다.
물론 ddos라고 하기엔 너무 적은 양이긴 하나.....
혹시 하여 해당 서버의 ip를 바꾸어 보니
그동안 발생됐던 트래픽은 발생되지 않고 있네요.
그러므로 원인은......
외부에서 ddos를 치고 있고
해당 서버는 해당 패킷이 비정상 패킷이므로 차단되고는 있으나
패킷에 대한 응답만을 하고 있는듯한 생각입니다.
가장 빠른 최선의 방법이야 ip변경이지만
문제는 해당 ip를 가진 서버가
저의 메인 네임서버라는것이 문제네요......ㅡ,.ㅜ