[Ver 3.02] --- コンピュータセキュリティインシデント報告様式 --- JPCERT コーディネーションセンター (JPCERT/CC) この報告様式は、コンピュータセキュリティインシデント情報を JPCERT/CC へお送り頂く際にご利用頂くためのものです。 報告様式一式に関しては、http://www.jpcert.or.jp/form/ をご覧下さい。 初めて利用される方は「インシデント報告のガイドライン」(GUIDELINE.txt) をお読み下さい。 報告内容の暗号化、またアーカイブの署名検証に必要な JPCERT/CC の PGP 公開鍵は以下の URL にございます。 http://www.jpcert.or.jp/jpcert.asc ---------------------------------------------------------------------- 1. 連絡先 ---------------------------------------------------------------------- 1-1 お名前、組織名称、部署名をご記入下さい。 名前: 因登 るう 組織名称: JPCERT コーディネーションセンター 部署名: システム管理本部第一ネットワーク課 1-2 連絡先の指定のある方はご記入下さい。指定がなければ、お送り頂いた 電子メールアドレス、もしくは FAX の発信元に返信致します。 電子メール: FAX: ---------------------------------------------------------------------- 2. この報告の目的 (記入が無い場合は情報提供として扱います) ---------------------------------------------------------------------- 2-1 JPCERT/CC の対応について、以下の [1] 以外をご希望の場合は、 項目 「2-2」 に具体的な内容をご記入下さい。 1: 情報提供 2: 質問 3: 関係サイトへの連絡を希望 原因の特定、拡大および再発の防止等の目的で、アクセスに関係した 各サイトの管理者に通知連絡を行なう際に、今回お送り頂いた情報を そのまま連絡先に対して開示する場合があります。 もし開示にご同意いただける場合には以下の [ ] 内に○をご記入く ださい。ご記入のない場合は、同意がないものとして関係サイトへの 連絡を控えさせていただくことがあることをあらかじめご了承くださ い。 今回の報告に関してログ内容等の情報の開示に同意します [ ] 4: その他 選択番号 [2] 2-2 上記にて 2, 3, 4 を選択された方は具体的なご要望をご記入下さい。 受領を確認したのち、こちらから折り返し連絡致します。 このようなインシデントに対して、どのように対応すればいいのか教えてほし い。何らかの侵入を受けている可能性が高いと考えられる。 ---------------------------------------------------------------------- 3. 発生したインシデントの概要 ---------------------------------------------------------------------- 3-1 アクセス元に関する情報をご記入下さい。 IP アドレス、ホスト名など: 192.168.88.99(FireWallのログから判明) 3-2 インシデントの内容、発見方法、対処などについてご記入下さい。 サービスしていないはずのポート (9997/tcp,9996/tcp,9955/tcp) で待ち受け ている。ファイヤーウォールのログを見ると、そのポートに対して、外部から アクセスを受けていた模様。原因が判明しないが、ホストを止められないため 困っています。 3-3 インシデントの発生したシステムについてご記入下さい。 IP アドレス 又は ホスト名: 172.16.0.1 (w3.jpcert.or.jp) プロトコル 又は ポート: 9955, 9996, 9997 関連ソフトウェア: 不明 ハードウェア/OS: PC/AT互換機 / NetBSD1.6.1 発生日時: 2003/05/01 22:50 タイムゾーン(時間帯): UTC+0900 ____________________________________________________________ netstat -a の出力結果から抜粋した。 Active Internet connections (only servers) Proto Recv-Q Send-Q Local Address Foreign Address State tcp 0 0 *:9997 *:* LISTEN tcp 0 0 *:9996 *:* LISTEN tcp 0 0 *:9955 *:* LISTEN tcp 0 0 *:ssh *:* LISTEN tcp 0 0 *:smtp *:* LISTEN udp 0 0 *:ntp *:* udp 0 0 *:ntalk *:* udp 0 0 *:talk *:* udp 0 0 *:discard *:* raw 0 0 *:icmp *:* 7 raw 0 0 *:tcp *:* 7 ____________________________________________________________ __________ Copyright (C) 2003-2004, by JPCERT/CC. All rights reserved. ---------------------------------------------------------------------- 皆様のご協力に感謝致します。JPCERT/CC の識別番号は、当組織にて報告を 受領した際に、改めてお知らせ致します。 ----------------------------------------------------------------------