第9回 悪意有る詮索攻撃の出鼻をくじくIDPS

ポートスキャンとは、ネットワークを通じてサーバーやPC、モバイル端末などに連続してアクセスしてセキュリティーホールを探す行為です。

インターネットに接続するPCやモバイル端末はTCP/IPというプロトコルに従って通信を行いますが、その際に「ポート」と呼ばれる仮想的な通信の窓口を複数利用して通信を行います。この「ポート」は、概念として1番から65535番までの番号によって区分されますが、利用するモバイルアプリやソフトウェアによって異なる番号（窓口）を使用します。

例えば、インターネットブラウザーでウェブのブラウジングをする際にはポート80番（HTTPの場合）を、POP3のメール受信の際にはポート110番を、と言った具合です。これらのポートが開いていれば、それぞれインターネットブラウザーとメールが利用されていることがわかります。

悪意のある攻撃者は、ネットワークを通じてポートスキャンを行うことで、ネットワーク上の端末のどのポートが開いているか（利用されているか）知ろうとしています。

開いているポートを知ることで、それらの端末がどのようなサービスを利用しているかが判り、それらのサービスのうちで既知の脆弱性を持つものを捉えます。そして、その脆弱性を利用して端末への侵入行為、情報搾取、破壊行為等を行います。

つまり、ポートスキャンは、悪意ある攻撃者にとってまさに攻撃の準備行為ということになるわけです。ArxceoのIDSは、このようなポートスキャンを検知し、スキャン行為を検出した場合には、利用されたスキャンの種類によって「Warning」や「Severe」としてユーザーに知らせます。

また、IDPSではこれらのスキャン行為をブロックして、そもそも端末のポート状態を外部に知らせないようにすることで、潜在的侵入者の攻撃の出鼻をくじくきます。