[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]
[debian-users:09547] Re: log of portmap
こんばんは。梶本と申します。
御助言ありがとうございました。
kenn> 以下の点についてはいかがでしょうか:
kenn>
kenn> 1. 発生するタイミング。
kenn> いつごろ(何時頃)「良く」発生するか。
kenn>
kenn> 2. 頻度
kenn> どの程度頻繁に発生するか。
kenn>
kenn> 3. ばらつき
kenn> ぽつぽつと散発的に発生するか、それとも、発生する時はまとまっ
kenn> て発生するのか。
kenn>
kenn> 4. ホスト毎の特徴
kenn> たとえば、
kenn> あるホストの記録は頻繁にみられるが、ほかはまれだ、とか、
kenn> あるホストの記録はYP関連に集中している、とか、
Oct 27 11:48:15 hostname portmap[6156]: connect from xxx.yyy.zzz.www \
to callit(nfs): request not forwarded
のようなログが残っていた時間と時間とホストは以下のようでした。ホストか
対象がかわるごとに空行を入れています。
多いときは，同じホストから同じサービスに対して数秒間隔で発生しています。
時間 host service
Oct 27 11:48:15 A (nfs)
Oct 27 11:48:19 A (nfs)
Oct 27 11:50:06 A (nfs)
Oct 27 11:50:10 A (nfs)
Oct 27 11:50:34 A (nfs)
Oct 27 11:50:38 A (nfs)
Oct 27 11:53:30 A (nfs)
Oct 27 11:53:34 A (nfs)
Oct 27 11:53:39 A (nfs)
Oct 27 12:04:47 B (nfs)
Oct 27 12:30:09 C (nfs)
Oct 29 11:43:23 D (mountd)
Oct 29 12:21:39 D (ypserv)
Oct 29 13:56:38 E (rstatd)
Oct 29 13:56:44 E (rstatd)
Oct 29 13:57:31 E (rstatd)
Oct 29 13:57:36 E (rstatd)
Oct 29 13:58:06 D (rstatd)
Oct 29 13:58:06 D (rstatd)
Oct 29 13:58:11 D (rstatd)
Oct 29 13:58:11 D (rstatd)
Oct 29 13:58:36 D (rstatd)
Oct 29 13:58:36 D (rstatd)
Oct 29 14:00:23 D (rstatd)
Oct 29 14:00:23 D (rstatd)
Oct 30 14:28:44 B (mountd)
Oct 30 14:35:18 B (mountd)
Oct 30 14:43:48 F (mountd)
kenn> ただし、ものがRPC だけに、記録されているホストの管理者と連絡を
kenn> 密にして、「何が起こっているのか」ということだけでも特定してお
kenn> いたほうが望ましいと思われます。すくなくとも、そのほうがすっき
kenn> りするでしょうし。
DとEのホストは，丁度上記の時間のころ，NFSがらみの作業を行っていたそ
うです。ただし，NFSサーバーとしてサービスを供給するための作業を行って
いたそうで，上のようなログが残る理由は分からない，と言われました。
A〜Eのホストは同じところで管理されているのですが，それらのホストのログ
にも特におかしな記録は残っておらず，変なデーモンが動いていることもなかっ
たそうです。
Fのホストは，なんにもしていないそうです。
なお，portmapのログが残っていたのは上記3日間だけで，その後はありません
でした。
と，ここで念のためもう一度ログを見てみたら，また今日，同じようなログが
残っていました。上のFホストと，新たな2ホストからです。なんで？
Nov 4 14:26:48 hostname portmap[26526]: connect from G \
to callit(mountd): request from unauthorized host
Nov 4 17:00:52 hostname portmap[26833]: connect from F \
to callit(mountd): request from unauthorized host
Nov 4 17:01:21 hostname portmap[26834]: connect from G \
to callit(mountd): request from unauthorized host
Nov 4 18:44:01 hostname portmap[26876]: connect from H \
to callit(mountd): request from unauthorized host
kenn> なお、portmapperそのものについては、例えばNIS-HOWTO などで概要
kenn> を知る事ができます。
ありがとうございます。読んでみます。
/********************************************************
梶本 亮一 東京大学物性研究所附属中性子散乱研究施設
kaji@xxxxxxxxxxxxxxxxxxxxxx
http://www.issp.u-tokyo.ac.jp/labs/neutron/
********************************************************/