Linuxでポートスキャンの検出を行う方法

この記事では、Linux環境においてポートスキャンの検出を行うための手法とツールについて解説します。特にオープンソースのツールを用いて、簡単にポートスキャンを検出できる方法を紹介します。具体的なコード例、その詳細な解説、さらには応用例を含めて説明します。

はじめに：ポートスキャンとは

ポートスキャンとは、ネットワーク上のコンピュータがどのポートでどのようなサービスを提供しているかを調査する手法です。この情報を悪用することで、不正アクセスやサービスの妨害が行われる可能性があります。

必要なツール

Linuxでポートスキャンの検出を行うには、いくつかのツールが利用できますが、今回は`snort`を例にします。

snortのインストール

Ubuntuを例に、以下のコマンドで`snort`をインストールします。

sudo apt update
sudo apt install snort  # snortをインストール

基本的な使用方法

snortの設定

snortを用いてポートスキャンを検出するための基本的な設定は以下の通りです。

sudo snort -A fast -b -d -D -i [インターフェース] -c /etc/snort/snort.conf  # snortをデーモンモードで起動

ポートスキャンの検出

上記の設定で、snortがポートスキャンを検出すると、ログに記録されます。

応用例

応用例1: メール通知

検出したポートスキャン情報をメールで通知する設定です。

echo 'alert tcp any any -> $HOME_NET 22 (msg:"SSH scan detected"; sid:1000001;)' > /etc/snort/local.rules

応用例2: 特定のIPを除外

特定のIPアドレスからのスキャンを無視する設定です。

ipvar EXTERNAL_NET ![10.0.0.1]

応用例3: ログの自動解析

ログを自動で解析し、疑わしい活動があればアラートを出す方法です。

cat /var/log/snort/alert | awk '{print $3}' | sort | uniq -c

応用例4: ポート範囲指定

特定のポート範囲のみを検出対象とする設定です。

portvar MY_PORTS [22,80,443]

応用例5: パケットダンプ

検出したポートスキャンに関連するパケットをダンプする方法です。

tcpdump -i [インターフェース] -w /path/to/dump.pcap

まとめ

Linuxでポートスキャンの検出を行うには、`snort`などのツールが役立ちます。基本的な使用方法から、さまざまな応用例まで解説しました。これらの知識を用いて、より安全なシステムを構築してください。