外部へのアクセスの原因を確認したい

Question

現在契約しているVPSの運営から、外部サーバーへの不正なアクセスが行われているとの警告メールがきました。
心当たりがないため、調査をしたいのですが、どのようにすれば良いかわかりません。

どのように調査するのが良いでしょうか？

また、取り急ぎ、外部へのアクセスログを確認したいのですが、どこから確認をするのが良いでしょうか？
VPSはWordPressの運営に利用しています。
また、環境は、CentOSです。

よろしくお願いいたします。

Answer 1

iptables でログを取るのはどうでしょうか。
全部取ると膨大な量になるので、TCP SYN だけとか。

(設定)
# iptables -I OUTPUT -p tcp --syn -o eth0 -j LOG

  ※eth0 はご使用のネットワークインターフェースに合わせて変更ください。

(削除)
# iptables -D OUTPUT 1

(OUTPUT チェインのルール全クリア)
# iptables -F OUTPUT

ログは journalctl -k, journalctl -k --no-pager などで参照できます。
DST=宛先IPアドレス, DPT=宛先ポート です。

Answer 2

参考までに、Apacheのアクセスログの見方

Comments

[sont]

コメントありがとうございます。
これはアクセスされているログでしょうか？
こちらから外部へのアクセスログもこちらからみれるのでしょうか？

Answer 3

また、取り急ぎ、外部へのアクセスログを確認したいのですが、どこから確認をするのが良いでしょうか？

外部へのアクセスログはLinux上にはありません。

どのように調査するのが良いでしょうか？

現在も通信が行われるなら ss -nea とかで通信相手が分かるかも。
いつ通信するかわからないなら、パケットキャプチャーを取って、あとからキャプチャを解析すれば 運が良ければ 分かるかも。

ただ、rootkit の類がインストールされちゃうと、隠蔽されるので 無駄に終わる可能性もありそうですね。

Answer 4

VPSの運営から、発生事象についての情報と調査／対処手順を提供してもらうのが良いと思います。
提供しているVPSでセキュリティインシデントが発生した際の手順が用意されているものと思われます。

Comments

[sont]

コメントありがとうございます。
ConoHaを使っているのですが、サポートからはなにもできない、という回答をもらいました。
残念ですが自力でなんとかするしかなさそうです。。。

Answer 5

踏み台にされている可能性があるので、本来はネットワークを切断した方が良いです。
次善策としてとりあえず、sshなど外部からログインなどアクセス環境を提供しているサービスがある場合は管理者のパスワードや、サービスのポート番号を変更するなどの対応をお勧めします。

取り急ぎ、外部へのアクセスログを確認したいのですが、どこから確認をするのが良いでしょうか？

ちょっと古い情報ですが、以下を参考に
https://www.linuxmaster.jp/linux_skill/2009/02/linux-4.html
その他、モニターするツールも色々とありますが、どこまでふ

何れにしても、専門家に相談されることをお勧めします。

Comments

[sont]

コメントありがとうございます。
いただいたリンク先見ながら調査してみます。
専門家が、、、周りにいないんですよね泣