へっぽこSE奮闘記

該当のプログラムがhosts.allowが有効になる（TCP Wrapperを使っているか）を調べる

> ldd /usr/sbin/sshd | grep libwrap

又、
>lsof /usr/lib/libwrap.so*

とすれば、一覧を出すことも出来ます。

サーバのセキュリティ対策として、不要ポートを閉じるというのは必須中の必須の作業です。

空いているポートを調べる手段としては、nmap を利用するのが一般的なようです。

そんなnmapですが、基本的にはLINUX向けに提供されているツールなのですが、Windows版のnmapも提供されているようです。

こちらのページ（http://insecure.org/nmap/download.html）にある、インストーラ（nmap-9.99-setup.exe ）を実行すればセットアップは完了です。

Windowsアプリケーションとしてのツールも出ていますが、DOSプロンプトから使うツールの方が使い勝手が良いですね。

公開ポートの確認は、Localhostでの確認のほかに、外部の端末からの監視も行うことをお勧めします。

ポートは開いているけど、hosts.allow/hosts.denyで閉じているはず

っていうのが本当に大丈夫なのかも調べられますので。

尚、このWindows版NMAPですが、WindowsXPでの制限として、ダイアルアップ接続などでのインターネット接続ではうまく動作しないようです。

そんな私が今回使ったコマンドはこちら

>nmap -sT -P0 -p 1-65535 hoge_sv01.hoge.com hoge_sv02.hoge.com hoge_sv03.hoge.com hoge_db.hoge.com

オプションの意味：
-sT：TCPコネクトスキャン〜空いているポートを調べる〜
-P0：pingなし（なぜかping有りだと失敗するので）
-p 1-65535 ： ポート番号１〜６５５３５ まで全てのポートをチェックする（デフォルトだと、nmap実行PCにサービスとして定義されているポートしかチェックしない為）

参考になるマニュアルはこのへんに
http://insecure.org/nmap/man/jp/index.html

それにしても、Windows版のnmapは、Linux版のnmapと比べて、物凄く重いです


その後、よく分からんポートが開いていたら、fuserを利用して「何のPGなのか」を調べます。
>fuser -vn tcp 80

また、lsofでも、ポートをOpenしているプロセスが何かを調べることが出来ます
> lsof -i:80,443


nmapの結果で表示されているサービスと、実際に対応するプログラムが違っている可能性もあるので、注意が必要です。
※ nmapにて表示されているサービス名は、nmapを実行しているクライアント側にて定義されている、ポート番号：サービス名のマップに従っている為

前回の88.blacklist.zap に登録された後、「解除してくれメール」を送り、一時は復活したお客様とのメールのやりとりですが、年明けの今日確認したら再び88.blacklist.zap に登録されてました・・・・・

---------------
Sent <<< RCPT TO:
Received >>> 550 service unavailable; client host [192.168.1.1] blocked using 88.blacklist.zap; mail from ip banned to request removal from this list please forward this message to delist＠frontbridge.com

Unable to deliver message to (and other recipients in the same domain).
---------------
前回と全く同じ内容です。

１度ならず２度までもブラックリストに登録されるということは、【うちのMailServerが大量のメール送信をし、スパムのサーバと認識されている】という線が強くなります。

Relayの設定を確認したり、「http://www.abuse.net/relay.html」にあるrelay設定テストを行ったところ、結果は白でした。

そこで社員が誰も出社していない正月期間のメールログを確認したところ、「メール送信のログは【基本的に】殆ど無い」というのが分かりました。


強いてあげるとすれば、弊社の存在しないユーザ宛へのメールに対する、「そんなユーザ存在しませんメール」が大量に発生しているのみです。
（１日に１〜２万件くらい？）


良くも悪くも、うちの会社には、大量のスパムメールが届きます。
このうちの７−８割は、「存在しないユーザへのメール」となってますので、
「そんなユーザ存在しませんメール」も大量に送信していることになります。

Return-pathヘッダの偽装を行えば、「そんなユーザ存在しませんメール」は、MSNやYahooなどの普通のメールサービス事業者に大量に送りつけることも可能です。

恐らくは、これが原因でしょう・・・

とりあえず、再びdelist＠frontbridge.comに「Blacklist解除要求」のメールを出しましたが、この先のことは考えないと駄目かも分からんね・・・


----後日追記----
Blacklistに登録されているかをチェックするツールを見つけました。
http://www.mxtoolbox.com/blacklists.aspx
見事に、Blacklist入りしてました・・・
又、http://www.spamhaus.org/lookup.lasso
を使うと、SBL,PBL,XBL の登録状況が確認できます。

2

メールサーバのIPアドレスを調べる方法です。
（MXレコードの調査方法です）

PINGではメールサーバのIPは調べることが出来ないので、nslookupというコマンドを利用して調べます。

これは便利なことに、WindowsのDOSコマンドで実行可能です。
（もちろん、Linuxでも使用可能です）

1. CMDを開く
2. > nslookup -type=mx docomo.ne.jp とコマンドを叩く
3. 結果が出る。

こんな感じです。

その結果がこんな感じ。

C:\Documents and Settings\hepo>nslookup -type=mx docomo.ne.jp
Server: hepo.hepo.local
Address: 172.16.0.10

Non-authoritative answer:
docomo.ne.jp MX preference = 10, mail exchanger = mfsmax.docomo.ne.jp

docomo.ne.jp nameserver = ns001.docomo.ne.jp
docomo.ne.jp nameserver = ns002.docomo.ne.jp
mfsmax.docomo.ne.jp internet address = 203.138.181.240
mfsmax.docomo.ne.jp internet address = 203.138.180.112
mfsmax.docomo.ne.jp internet address = 203.138.180.240
mfsmax.docomo.ne.jp internet address = 203.138.181.112
ns001.docomo.ne.jp internet address = 203.138.203.82
ns002.docomo.ne.jp internet address = 203.138.203.83

この結果で、MXレコードに定義してあるホスト名と、docomoのネームサーバの情報が分かるという具合です。


又、Linuxの場合はnslookupのほかに、digコマンドが利用可能です。

>dig mx docomo.ne.jp

digコマンドを使うと、最近流行り（？）のSPFの設定を調べることも出来ます。

>dig txt yahoo.co.jp

dig txt yahoo.co.jp

; <<>> DiG 9.3.1 <<>> txt yahoo.co.jp
;; global options: printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 43931
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 2

;; QUESTION SECTION:
;yahoo.co.jp. IN TXT

;; ANSWER SECTION:
yahoo.co.jp. 276 IN TXT "v=spf1 include:spf01.yahoo.co.jp include:spf02.yahoo.co.jp ~all"

;; AUTHORITY SECTION:
yahoo.co.jp. 668 IN NS dnsg01.yahoo.co.jp.
yahoo.co.jp. 668 IN NS ns10.yahoo.co.jp.

;; ADDITIONAL SECTION:
ns10.yahoo.co.jp. 668 IN A 210.80.243.9
dnsg01.yahoo.co.jp. 668 IN A 211.14.12.10

;; Query time: 3 msec
;; SERVER: 61.122.112.97#53(61.122.112.97)
;; WHEN: Wed Jan 9 19:37:00 2008
;; MSG SIZE rcvd: 177

本日、会社のメールにて、お客様先にメールを出したら、以下のようなメールが返信されてきた・・・

----
Sent <<< RCPT TO:<相手のメールアドレス>
Received >>> 550 service unavailable; client host [192.168.1.1] blocked using 88.blacklist.zap; mail from ip banned to request removal from this list please forward this message to delist@frontbridge.com

Unable to deliver message to <相手のメールアドレス> (and other recipients in the same domain).
----

要約すると、「おまえんとこの[192.168.1.1]はブラックリストの中に入ってるからメールをブロックしました。リストから削除して欲しくば、delist@frontbridge.comにメールを転送するように。」ってことのようです。
（間違ってたらごめんなさい）


とりあえず、「delist@frontbridge.com」ってところに「解除してくれ」というメールを英語で送って解除してもらうことにしました。

その後、「24時間以内に何とかします」的な自動応答のメールが飛んできたので、とりあえずGmailからそのお客さんに用件を伝えることにしました。

---その時の英文ここから---
To Whom it May Concern,

This is a request to remove our IP address [192.168.1.1] from your list ASAP.
---その時の英文ここまで英文を考えてくれたSさんに大感謝！---


何でブラックリストに入れられたのは良く分かりませんが、同じ状況に陥った方は慌てずに対処して下さい。


※ ASAP：As soon as possible （できるだけ早く）の略だそうです。
決して、新手のシステムやらサービスやらではございません。

英語も勉強しなきゃなぁ〜 と考えさせられる出来事でした。


====後日追記====

「24時間以内に何とかする」という自動メールに反して、解除してもらうのに36時間くらいかかりました・・・

その後分かった内容を追記します。

blacklist.zap には複数の種類があるようです。

85.blacklist.zap:CBL で公開されているBlacklist
86.blacklist.zap:SBL で公開されているBlacklist
87.blacklist.zap:XBL で公開されているBlacklist
88.blacklist.zap:独自の（？）フィルターによってスパムと判断されたBlacklist

なんだそうです。
登録されているBlacklistによって、解除してもらう方法は違うようで、88.blacklist.zap の場合は、delist@frontbridge.comにメールするようです。

delist@frontbridge.comにメールすると、frontbridge側の方で新規にインシデントが発行され、問題ないと判断された場合、
---
This IP address is safelisted on our 88-blacklist. As long as this IP address does not continue to send a majority of spam, messages will continue to be allowed to route through our network.
---
といったメールが送られてきました。


又、ここの記述によれば


「正規の電子メールを誤ってスパムに振り分ける割合は極めて低く、25万件に1件であるという。」らしいのですが、今回はこんな結果になっちゃってます・・・

兎に角、年末の忙しい時期に迷惑な話です