리눅스

3923,

11/197

멍멍

http://hackerschool.org

[re] 특정 포트 스캔에 대한 사고분석기법

http://www.hackerschool.org/HS_Boards/zboard.php?id=QNA_linux&no=1951 [복사]

===============================================================================
>한 컴퓨터에서 특정 대역으로 포트스캔이 발생하였습니다..
>
>알수있는것이라곤 스캔한 대역의 IP 들 뿐인데.
>
>사고처리에 대한 조언좀 부탁드리려고 합니다..
>
>Linux 알면 쉬운데 아무것도 없는 상태에서의 접근은 참 난해 하군요..
>
>그럼 멍멍님 ^^ 조언 부탁드려요..
===============================================================================

안녕하세요. soarrr님.

서버 관리 일을 하고 계신거 같은데.. 어느 분야(학교, 기업..)에서 하고 계신지 궁금하네요.

관리하고 계신 컴퓨터들 중 한 컴퓨터에서 외부로 Scan을 했다는 말씀이지요?

그렇다면 그 컴퓨터가 이미 크래커의 의해 점령당했다는 얘기가 됩니다.

Scanning은 물론 불법 침입에 더 큰 관점을 두고 처리를 하셔야 할 듯합니다.

일단 로그 기록을 보존하여 크래커가 침투한 증거를 확보하는 것이 급선무입니다.

그 후엔 확보한 증거를 제시하여 신고를 하면 되는데, 이 방법과 절차는

사이버테러대응센터 홈페이지에서 자세하게 설명하고 있습니다.

http://www.ctrc.go.kr/user/content/kw_content_treat.jsp?k_menu_key=26

로그 분석을 통해 크래킹 흔적, 침투 방법 등을 조사할 수 있는데, 리눅스에

익숙하지 않다면 이 부분이 어려울테니 관련 자료를 올려주시면 분석을

도와드리도록 하겠습니다.

Hit : 2233 Date : 2006/06/22 02:52


soarrr	모 학교에서 일을하고 있습니다만.. 리눅스는 아직 익숙하지 않아서요.. 그렇다고 사고컴퓨터에대한 root 를 드릴수도 없는 노릇이고.. ^^ 링크문서 는 잘 참고하겠습니다..	2006/06/23
soarrr	레벨 테스트 중인데 서버가 다운됐나봐요..	2006/06/23
soarrr	제가 어디서 일하는지는 IP 조회만 해보셔도 쉽게 아실수 있으실듯.. ^^	2006/06/23
멍멍	아.. 외국에 나가계시네요? 담에 놀러가면 맛난 거 사주세요 ㅎㅎ	2006/06/23
soarrr	호곡 외국 아닌데요.. IP 조회하면 안나오나요??	2006/06/26