Squidへの妙なアクセス(TCP_MEM_HIT/200 580 HEAD http://www.dell.com/ - NONE/- text/html)

ま夜中にたログを眺めていると、電源が入ったままのPCが何やら頻繁に通信しています。

192.168.1.xxx TCP_MEM_HIT/200 580 HEAD http://www.dell.com/ - NONE/- text/html

今回計測してみると約1分に一回の割合でアクセスしているようです。URLからも分かる通りDELL社のPCが発信元です。

前回使用したTCPViewを使ってみましたが、やはりプログラムの特定は出来ませんでした。

何か良いものは無いかと検索していると以下のプログラムにたどり着きました。

パケット警察 for Windows

そうです。あの有名なソフトイーサの会社の製品です。しかもフリーソフト。

早速試してみます。

おや、ダウンロードしたのにファイルが無い。一体どこへ・・・

と思っていたら何やら表示されています。

どうも社内で標準的に導入しているSymantecEndPointSecurityが反応しているようです。

”信頼に値しない証拠”って。そっちのソフトも妙なアクセスあるのに(これはブログに書いていませんが)
後日自宅のPCでダウンロードし、スキャンしてみます。某通信会社の光回線の契約で1本使えるセキュリティソフトでチェックしても問題はありません。ファイルを添付して会社のメールアドレスへ転送します。
次の日。会社に届いたファイルを確認します。そもそもウィルスが入っていると添付ファイルは届きませんが、無事届いています。念のためPCにダウンロードしスキャンしてみましたが問題ありません。

最近社内のPCから結構な確率でウィルスが検出されていますが、一体何を止めてくれているのでしょうか。不思議です。

軽く動かしてみましたが、動作設定時にはパスワードをかけてユーザーが勝手に削除できないように設定することが出来るようです。ということは、こっそり相手のPCにインストールしていろんなパケットを捕まえて・・。Symantecが反応する理由はここかも知れません。

私のPCはDELLのPCではありませんので、次回試してみます。

Squidへの妙なアクセス(TCP_DENIED/403 3391 CONNECT)

夜間にSqiudのログを眺めていると下記のようなログが数秒に一度書かれていました。

192.168.3.xxx TCP_DENIED/403 3391 CONNECT PCXXXXX:16993 - NONE/- text/html

これは問題だと思い、PCを調べてみましたがはっきりしません。

まずTCPView v3.05というソフトを導入して調べてみました。

ProxyServerにアクセスしているプロセスを捕まえればすぐにわかると思っていましたが、結局わかりませんでした。

使用しているPCはLenovo社の5485A9Jという型式のPCで同様のパケットが同じPCで出ていることがわかりました。ということはプリインストールされているプログラムの可能性が高くなってきました。

一方、”Thinkcentre　port　16993”というキーワードで検索したところ、下記の興味深いドキュメントが出てきました。

AMT_Implementation_and_Reference_Guide

これはきっとIntel関係らしいということまではわかったので、サービスを停止してみます。

やっぱこれでした。元々は遅延起動になっていましたが、停止に変更して完了です。

Win2003R2 to Hyper-V(Windows2003ServerをHyper-Vへ)

社内に設置してあるWin2003Serverですが、今年は移行しないことになってしまいました。しかしリース契約も完了してしまうということで、Hyper-Vへのコンバートを行うことに。

まずは、既に導入済みのMicroSoftVirtualMachineConverterを使用してみます。

なんということでしょうか。Windows2003R2はNGのようです。しかも最後にこのメッセージを表示するのはどうなんでしょうか？

他の方法を探します。

こちらにいろいろ書いてあります。
http://knowledge.sakura.ad.jp/tech/3129/

次はXenConvertを使ってみます。良くわからずにこれをHyper-VServerに導入しましたが、こちらはコンバート対象のマシンに導入するようです。

しかし今回の対象のWin2003Serverはほぼ導入時のまま。IEも6の状態で上記のコンバートもダウンロード出来ない状態です。

別のPCでChromeSetup.exeをダウンロードして、2003Serverで実行しChromeをセットアップします。でXenConverter2.5を試してみます。

.NETFrameWorkが必要だと表示されました。このServerにはHDDの空きがないのでNGです。これも諦めます。

最後はDisk2vhdです。

開始するととんでもない時間が表示されます。が実際は近くに設置されているHyper-Vの共有ディスクをZ:ドライブに割り当てることで60GBで30分程度で完了しました。

あとはHyper-V側で読み込ませれば完成です。物理PC固有のサービスを削除して完了です。

今更SSL3.0で接続する場合

社内に設置してある、とあるメーカーの機器にアクセスするといつの間にかログイン出来なくなっていました。いろいろ試してみると、どうやらSSL3.0を有効にするとNGらしい。

メーカーに確認するとFWのアップデートが必要とのこと。早速指定されたFWをダウンロードし、IE11の設定を変更し試してみると、何故かIEでFWを指定しようとするとIEがフリーズ。

IEをリセットしてもいまいちなので、別のブラウザで試してみることに。

Chrome
そのような設定はもう無いようです。わかりませんでした。

FireFox
こちらのページを参考に実行したところ上手くFWを更新することが出来ました。

IE11の調子が悪い方は是非お試し下さい。

CentOSの重複ファイルの調査

会社で使用しているsambaサーバーですが、日々データが増加しています。データを削除するよりも、大きなHDDを付けたほうが良いという方向で進めてきましたが、重複しているデータもあるのでは？と疑問に思えて来ました。WindowsServerであれば、そのようなチェックも簡単に行えるのですが果たしてLinuxでは？

fdupes

Ubuntuは使用できるコマンドのようです。CentOSで検索してみると、RPMはあるようです。

怪しそうなので、他をあたってみます。

Duplicate Files Searcher

こちらはJAVAのようなのでCenｔOSでも使用出来そうです。

標的型メール攻撃の訓練を無料で出来る？

最近世の中で標的型メール攻撃と見られる被害が増えています。年金機構等の有名な所に被害が出ると、どうしても”我が社でも”ということになってしまいます。

と言うことで調べてみました。

偽のウイルスで対策意識を喚起、「標的型攻撃訓練」を検証する

それなりにお金はかかりそうです。

もっと安く出来ないでしょうか？

標的型メールの訓練は、キットを使って自前で実施しよう | 標的型攻撃メール対応訓練実施キット

なんとこちらの会社は実施キットを無料で配布しています。約5名程度でテストが出来るようなキットのようです。でもこの会社のサービスは安いです。メールの配布のみであれば無料のようです。実際に開封した結果を確認したい場合は有料になるという設定のようです。

で、今回のテーマはズバリ"タダ"が目標なのでこれ以外で考えます。

で、いろいろ探した所以下の様な方法である程度実現できることがわかりました。

ポイントは、偽装された添付ファイルを開いたてしまうかどうかなので、そこだけを確認することにします。

・準備

イントラネットのサーバー/適当なページ

Webビーコン入のWordのファイル
作り方はこちら

会社以外のメール
なければこのようなサービスで

・実践

Wordのファイル作成が全てです。リンクの先に丁寧に解説がありますので、そちらに沿って作成します。私が試した限りでは、HTML形式で保管しただけではちょっと動作が違っていました。

HTMLファイル作成、Webビーコン埋め込み、doc形式で保管　

で作成できました。

実際に試してみると、Wordファイルを開くだけでイントラネットのサーバーのアクセスログにPCのIPアドレスが記録されます。外出先やモバイルで確認できるような会社の皆様には適用できません。社員の方が帰社したらそっとメールを送ってみましょう。

Squidがお昼に遅い件

社内でProxyにSquidを使用していますが、最近お昼が相当遅いという苦情がありました。その先にあるFireWallの能力不足だと思っていましたが、その前に対応する方法がないか探してみました。

Squidがアクセス集中時に遅くなったときに行った対策

やはり同じような問題に対応している方がいらっしゃいます。こちらのページを参考にログを確認してみると、cache.logを見てみると、確かにYour cache is running out of filedescriptorsというメッセージが頻発しています。

Squidで接続数がオーバーしてデスクリプタエラーが出た時の対処方法

こちらのページに書いてあるように、コマンドで確認してみます。

# squidclient -p 8080 mgr:info | grep 'file descri'
        Maximum number of file descriptors:   1024
        Available number of file descriptors:  213
        Reserved number of file descriptors:   100

Squidを標準ポートで動かしている場合は8080=>3128等に変更します。

10:00過ぎに試してみましたが、残りは213しかないようです。

squid.confに以下を記述してみます。

max_filedesc 4,096

Firewall側のセッションはお昼に10,000を超えているますが、まずは4,096にに設定してみます。

この変更はサービスをリスタートしないと適用されないようです。squidのリスタートは若干時間がかかるので、設定のみ変更してお昼にリスタートすることにします。

プロキシサーバーのインストール

上記のサイトを参考に、合わせてsquid.confの内容を見なおしてみます。

キャッシュサイズは小さかったのでこちらの変更しておきます。


お昼になったのでこっそりsquidをリスタートします。

squidclient -p 8080 mgr:info | grep 'file descri'
        Maximum number of file descriptors:   4096
        Available number of file descriptors: 1694
        Reserved number of file descriptors:   100

何度かコマンドを実行しましたが、最も少ない数値で1694でした。あくまでもコマンドを実行した結果ですが。元々1024では全く足りていないことがよくわかりました。

キャッシュも従来の4倍に設定してみたので、改善したような気もします。

cache_dir ufs /var/spool/squid 2000 16 256

以上Squidがお昼に遅い件でした。