포트 스캔 공격에 대한 질문 드립니다.

ahab01 · 손님

며칠 전부터 미국의 특정한 IP에서 회사에서 사용하고 있는

IP 대역에 대해서 포트 스캔이 들어오고 있습니다.

방화벽을 junifer를 쓰는 중이라 포트 스캔을 하는 IP 대역을 다 막아버렸는데

궁금한 것이 있어서 질문을 드립니다.

방화벽에 로그가 남는 것을 보면

(소스) (목적지-회사내부 IP)
72.167.43.142:80 211.xxx.xxx.xxx:53019
72.167.43.142:80 211.xxx.xxx.xxx:52763

(목적지 포트번호는 랜덤하게 변경됩니다.)

이런 식으로 소스포트가 80으로 되어 있는데요. 이건 방화벽을

회피하기 위해서 이렇게 하는 것인지요.

그리고 스캔 로그를 보면 시간대가 30초 간격으로 IP 하나에 대해서

스캔하고 30초 후에 그 다음 IP에 대해서 스캔 하는 식이더군요.

만약 무작위로 스캔 하는 것이라면 컴퓨터가 연결되어 있지 않은 IP에 대해서도

스캔로그가 남아야 할 텐데 로그에 남는 IP는 다 컴퓨터가 연결되어 있는

IP 입니다.

공격 준비를 위한 포트 스캔인것 같아서 좀 불안합니다.

뭔가 도움이 될 만한 정보가 있다면 알려주시면 감사하겠습니다.

truefeel

ahab01 · 손님

truefeel