イベントビューワーの警告イベントについて調べてみました。
テーマは、
【説明：TCP/IP で、同時 TCP 接続試行回数のセキュリティ制限値に達しました。】
以下詳細。
Windows XPSP2では、不完全な送信 TCP 接続の同時試行数の制限が10に設定されました（SP1では65,000）。多数のホストへ感染を試みるワームやウィルスなどの悪意があるプログラムの感染を抑制させるために実施された制限です。その反面、この制限によってNetCrunchなどの正当なネットワーク監視アプリケーションに悪影響を及ぼします。ネットワーク監視作業への著しいパフォーマンスの低下とイベント・データベースへの接続の遅れなどとなる可能性があります。
WindowsXPのSP2のTCP/IPスタックでは不完全な送信 TCP 接続の同時試行数が10に制限されます。制限に達すると、その後のＴＣＰ接続のリクエストはキューに入れられ、一定の率で解決されます。通常では、アプリケーションが有効なＩＰアドレスへの接続を試みる際に不完全なＴＣＰ接続に制限は掛かりません。例えば、アプリケーションが無効の複数ＩＰアドレスに同時接続を試みて制限に達した場合には、イベント4226としてWindowsのイベントログに出力されます。接続制御によって多数の端末への感染を試みるウィルスやワームの感染速度が抑制されます。特定のウィルスやワームなどの悪意のあるプログラムは多数のランダムＩＰアドレスへの接続で感染を試みます。大半のアドレスへの接続は失敗するため、このような状況はコンピュータが感染した可能性を示しています。
TCP/IP
TCP/IP の機能
TCP/IP (伝送制御プロトコル/インターネット プロトコル) は、ネットワーク間の各コンピュータを接続するための一連の標準プロトコルです。TCP/IP により、Windows ベースのコンピュータが、他の Microsoft システムまたは Microsoft 以外のシステムに接続し、情報を共有できるようになります。
この機能の対象ユーザー
TCP/IP を使用してネットワーク経由で情報をやり取りするユーザーはすべて、Windows XP Service Pack 2 に盛り込まれた変更点を理解しておく必要があります。
Windows XP Service Pack 2 でこの機能に追加された新機能
raw ソケット経由のトラフィックの制限
詳細説明
raw IP ソケットは、ごくわずかな Windows アプリケーションで使用されており、アプリケーションが TCP/IP スタックを使用するより少ない整合性およびセキュリティ チェックで TCP/IP パケットを作成するための、業界標準の手段を提供します。Windows の TCP/IP の実装では、raw IP ソケットでのトラフィックの受信は引き続きサポートされています。ただし、raw ソケット経由でのトラフィックの送信機能は、次の 2 つの方法で制限されています。
• TCP データを raw ソケット経由で送信することはできません。
• 無効な送信元アドレスを持つ UDP データグラムを raw ソケット経由で送信することはできません。送信 UDP データグラムの IP 送信元アドレスがネットワーク インターフェイスに存在している必要があります。そうでない場合は、データグラムが削除されます。
この変更が重要な理由と軽減される脅威
この変更により、悪意のあるコードによって分散化されたサービス拒否攻撃が作成されたり、偽造パケット、すなわち発信元 IP アドレスを偽造した TCP/IP パケットが送信される可能性が減少します。
不完全な送信 TCP 接続の同時試行数の制限
詳細説明
TCP/IP スタックで、同時に試行できる不完全な送信 TCP 接続の数が制限されるようになりました。上限に達した場合、後続の接続試行はキューに入れられ、一定の率で解決されます。通常の運用では、アプリケーションが有効な IP アドレスで使用可能なホストに接続を試みても、接続率の制限は発生しません。これが発生した場合は、新しいイベントが ID 4226 としてシステムのイベント ログに出力されます。
この変更が重要な理由と軽減される脅威
この変更は、ウイルスやワームなどの悪意のあるプログラムが未感染のコンピュータに広がる速度を抑制するのに役立ちます。悪意のあるプログラムは、一般に、ランダム IP アドレスへの同時接続を開くことによって未感染のコンピュータに到達しようとします。これらのランダム アドレスのほとんどは接続に失敗しますが、コンピュータでこのような現象が集中的に見られる場合は、悪意のあるプログラムによってコンピュータが感染した可能性があることを示します。
動作の相違点
ポート スキャナなどの特定のセキュリティ ツールの動作が遅くなる場合があります。
これらの問題の解決法
失敗した接続試行に関与しているアプリケーションを停止します。
Winsock の自己復旧
詳細説明
Windows のアプリケーション用ネットワーク ソケット機能である Winsock は、階層サービス プロバイダ (LSP) と呼ばれる機構によって拡張できます。Winsock の LSP は、インターネットの保護者による制限や Web コンテンツのフィルタ処理など、実用的な目的に幅広く利用できます。以前のバージョンの Windows XP では、形式の正しくない (バグのある) LSP を削除すると、レジストリ内の Winsock カタログが破損して、結果的にすべてのネットワーク接続が失われる可能性がありました。現在は、このような LSP をユーザーがアンインストールした後、Winsock が自己復旧するようになっています。
この変更が重要な理由と軽減される脅威
ユーザーは、問題のある LSP をシステムから安全に削除できる必要があります。
新しい Winsock Netsh コマンド
詳細説明
Windows XP Service Pack 2 には、次の 2 つの新しい Netsh コマンドが導入されています。
• netsh winsock reset catalog
このコマンドは、Winsock カタログを既定の構成にリセットします。形式の正しくない LSP がインストールされていてネットワーク接続が失われる結果を招く場合に、これを使用すると便利です。このコマンドの使用により、ネットワーク接続は復元できますが、以前にインストールされていたすべての LSP を再インストールする必要があるため、注意が必要です。
• netsh winsock show catalog
このコマンドは、コンピュータにインストールされている Winsock LSP の一覧を表示します。
この変更が重要な理由と軽減される脅威
これらのコマンドは、追加の管理機能として、Winsock LSP のメンテナンスやトラブルシューティングに利用できます。また、スクリプトで使用すれば、広範囲にインストールされた形式の正しくない LSP からの回復に役立ちます。
テーマは、
【説明：TCP/IP で、同時 TCP 接続試行回数のセキュリティ制限値に達しました。】
以下詳細。
Windows XPSP2では、不完全な送信 TCP 接続の同時試行数の制限が10に設定されました（SP1では65,000）。多数のホストへ感染を試みるワームやウィルスなどの悪意があるプログラムの感染を抑制させるために実施された制限です。その反面、この制限によってNetCrunchなどの正当なネットワーク監視アプリケーションに悪影響を及ぼします。ネットワーク監視作業への著しいパフォーマンスの低下とイベント・データベースへの接続の遅れなどとなる可能性があります。
WindowsXPのSP2のTCP/IPスタックでは不完全な送信 TCP 接続の同時試行数が10に制限されます。制限に達すると、その後のＴＣＰ接続のリクエストはキューに入れられ、一定の率で解決されます。通常では、アプリケーションが有効なＩＰアドレスへの接続を試みる際に不完全なＴＣＰ接続に制限は掛かりません。例えば、アプリケーションが無効の複数ＩＰアドレスに同時接続を試みて制限に達した場合には、イベント4226としてWindowsのイベントログに出力されます。接続制御によって多数の端末への感染を試みるウィルスやワームの感染速度が抑制されます。特定のウィルスやワームなどの悪意のあるプログラムは多数のランダムＩＰアドレスへの接続で感染を試みます。大半のアドレスへの接続は失敗するため、このような状況はコンピュータが感染した可能性を示しています。
TCP/IP
TCP/IP の機能
TCP/IP (伝送制御プロトコル/インターネット プロトコル) は、ネットワーク間の各コンピュータを接続するための一連の標準プロトコルです。TCP/IP により、Windows ベースのコンピュータが、他の Microsoft システムまたは Microsoft 以外のシステムに接続し、情報を共有できるようになります。
この機能の対象ユーザー
TCP/IP を使用してネットワーク経由で情報をやり取りするユーザーはすべて、Windows XP Service Pack 2 に盛り込まれた変更点を理解しておく必要があります。
Windows XP Service Pack 2 でこの機能に追加された新機能
raw ソケット経由のトラフィックの制限
詳細説明
raw IP ソケットは、ごくわずかな Windows アプリケーションで使用されており、アプリケーションが TCP/IP スタックを使用するより少ない整合性およびセキュリティ チェックで TCP/IP パケットを作成するための、業界標準の手段を提供します。Windows の TCP/IP の実装では、raw IP ソケットでのトラフィックの受信は引き続きサポートされています。ただし、raw ソケット経由でのトラフィックの送信機能は、次の 2 つの方法で制限されています。
• TCP データを raw ソケット経由で送信することはできません。
• 無効な送信元アドレスを持つ UDP データグラムを raw ソケット経由で送信することはできません。送信 UDP データグラムの IP 送信元アドレスがネットワーク インターフェイスに存在している必要があります。そうでない場合は、データグラムが削除されます。
この変更が重要な理由と軽減される脅威
この変更により、悪意のあるコードによって分散化されたサービス拒否攻撃が作成されたり、偽造パケット、すなわち発信元 IP アドレスを偽造した TCP/IP パケットが送信される可能性が減少します。
不完全な送信 TCP 接続の同時試行数の制限
詳細説明
TCP/IP スタックで、同時に試行できる不完全な送信 TCP 接続の数が制限されるようになりました。上限に達した場合、後続の接続試行はキューに入れられ、一定の率で解決されます。通常の運用では、アプリケーションが有効な IP アドレスで使用可能なホストに接続を試みても、接続率の制限は発生しません。これが発生した場合は、新しいイベントが ID 4226 としてシステムのイベント ログに出力されます。
この変更が重要な理由と軽減される脅威
この変更は、ウイルスやワームなどの悪意のあるプログラムが未感染のコンピュータに広がる速度を抑制するのに役立ちます。悪意のあるプログラムは、一般に、ランダム IP アドレスへの同時接続を開くことによって未感染のコンピュータに到達しようとします。これらのランダム アドレスのほとんどは接続に失敗しますが、コンピュータでこのような現象が集中的に見られる場合は、悪意のあるプログラムによってコンピュータが感染した可能性があることを示します。
動作の相違点
ポート スキャナなどの特定のセキュリティ ツールの動作が遅くなる場合があります。
これらの問題の解決法
失敗した接続試行に関与しているアプリケーションを停止します。
Winsock の自己復旧
詳細説明
Windows のアプリケーション用ネットワーク ソケット機能である Winsock は、階層サービス プロバイダ (LSP) と呼ばれる機構によって拡張できます。Winsock の LSP は、インターネットの保護者による制限や Web コンテンツのフィルタ処理など、実用的な目的に幅広く利用できます。以前のバージョンの Windows XP では、形式の正しくない (バグのある) LSP を削除すると、レジストリ内の Winsock カタログが破損して、結果的にすべてのネットワーク接続が失われる可能性がありました。現在は、このような LSP をユーザーがアンインストールした後、Winsock が自己復旧するようになっています。
この変更が重要な理由と軽減される脅威
ユーザーは、問題のある LSP をシステムから安全に削除できる必要があります。
新しい Winsock Netsh コマンド
詳細説明
Windows XP Service Pack 2 には、次の 2 つの新しい Netsh コマンドが導入されています。
• netsh winsock reset catalog
このコマンドは、Winsock カタログを既定の構成にリセットします。形式の正しくない LSP がインストールされていてネットワーク接続が失われる結果を招く場合に、これを使用すると便利です。このコマンドの使用により、ネットワーク接続は復元できますが、以前にインストールされていたすべての LSP を再インストールする必要があるため、注意が必要です。
• netsh winsock show catalog
このコマンドは、コンピュータにインストールされている Winsock LSP の一覧を表示します。
この変更が重要な理由と軽減される脅威
これらのコマンドは、追加の管理機能として、Winsock LSP のメンテナンスやトラブルシューティングに利用できます。また、スクリプトで使用すれば、広範囲にインストールされた形式の正しくない LSP からの回復に役立ちます。
この記事のトラックバックURL
http://shushushu.blog10.fc2.com/tb.php/217-0744a04a
この記事にトラックバックする(FC2ブログユーザー)
この記事にトラックバックする(FC2ブログユーザー)
この記事へのトラックバック
