CodeRedワームに関する対策について(2001/9/19)
【内容が更新されていますのでご一読ください】
発生現象とその原因 対策ファームウェア 設定による回避方法
MUCHO-ST,TL,TL-DSU,PSを
お使いのお客様へ		 自動回線切断不可について
〜対処方法		 ご参考ページ
発生現象と原因　ページトップへ戻る
MUCHO-Eシリーズでインターネットに接続している場合，エラーリセットを繰り返してしまう現象が多発しています。
Code Red ワームによるアタックが原因である可能性が高いと考えられます。
Code Red ワームとはマイクロソフト社の Internet Information Server (IIS) を使用しているサーバに感染するウィルスで（ルータ自体に感染するわけではあ りません），感染したサーバは，ランダムな IP アドレスの WWW サービス (TCP/80) に対してアタックを仕掛けます。このアタックにより，MUCHO等の機器 でエラーリセットが発生しています。
WEB設定機能を持っているものであれば，発生する可能性があります。 MUCHO-Eシリーズのほかに，INFONET-VP100，FITELnet-Eシリーズでも発生します。
これを防ぐための方法として，対策ファームウェアへバージョンアップをお願い致します。また、ファームウェアのバージョンアップができない場合は、下記の「設定による回避方法」をご参照の上、設定を行ってください。

対策ファームウェア　ページトップへ戻る
Code RedワームによるWWWサービス（TCP/80）へのアタックを受けた場合にエラーリセットをするという問題点を改修したファームウェアです。

（ファームアップ時のご注意！）
ファームウェアのアップロード中に，装置にリセットがかかると，装置が起動できない状態になってしまいます。ファームアップをする場合は，必ず以下の手順で行って下さい。
1)ファームウェアをダウンロードする場合には，インターネットに正常に接続された状態でダウンロードしてください。
2)装置にファームウェアをアップロードする際には，必ずインターネットに接続されているWAN側のケーブルを抜いて，インターネットにアクセスできない状態で行なってください。
3)MUCHOのディップスイッチの6番がONになっている場合は，一旦電源をOFFにし，スイッチをOFFにしてから再度電源をONにしてください。
4)ファームアップ終了が確認できてから，WAN側のケーブルを接続して下さい。
ファームアップ中にリセットがかかってしまって装置が起動できない状態になった場合，弊社といたしましては，責任を負えませんのでご了承下さい。

設定による回避方法　ページトップへ戻る
設定による回避方法として，以下のいずれかの方法で対応をお願いいたします。
    機種 設定による回避方法
    MUCHO-E (1),(2)
    MUCHO-EX (1),(2)
    MUCHO-EV (1),(2)
    MUCHO-EV/PK (1),(2)
    FITELnet-E20 (2),(3)
    FITELnet-E30 (2),(3)
    INFONET-VP100 (2)
赤十字　(1)「リモートアクセス禁止スイッチ」をONにしてください。
MUCHO-Eシリーズの背面にディップスイッチがあります。このスイッチの6番が 「リモートアクセス禁止スイッチ」で，ルータ自身へのFTP，telnet，HTTPのア クセスを強制的に禁止することができます。 ルータの電源を落とし，6番スイッチをONにし，再びルータの電源を入れてくだ さい。

　このスイッチをONにすると，WAN側，LAN側からのルータへのリモートアクセスができなくなります。
　ルータのメンテナンスを行う場合は，コンソールをご利用ください。
赤十字　(2)ルータ自身のIPアドレス(210.xxx.xxx.1)でポート80をフィルタリングしてください。
    この方法は，ダイヤルアップでご利用のお客様はご利用いただけません。
    (1)または(3)の方法をご利用ください。
【コマンドによる設定】
・telnetもしくはコンソールでルータにログインし，コンフィグレーションモー ドで下記の設定を行ってください。 
conf#iprouting filtering=on
conf#ipfiltering -f add dst=0.0.0.0,0.0.0.0 src=0.0.0.0,0.0.0.0
conf#ipfiltering -d add dst=210.xxx.xxx.1,255.255.255.255 src=0.0.0.0,0.0.0.0 dstport=80,80 prot=tcp
【WEBブラウザによる設定】
・WEB設定画面で下記の設定を行ってください。

「ルータの便利な設定」の「IPパケットフィルタイリング」で，「IPパケットフィルタリング機能」を「ON」にします。
「上記登録中から中継したくないIPパケットの登録を行う」を選び，
●「パケット発行元の指定」の 「IPアドレス」→「0.0.0.0」
「アドレスマスク」→「0.0.0.0」
「ポート番号」→「0」〜「65535」
●「パケット受け取り先の指定」の 「IPアドレス」→「210.xxx.xxx.1」
「アドレスマスク」→「255.255.255.255」
「ポート番号」→「80」〜「80」
●プロトコルの指定→「tcp」
●インタフェースの指定 「受信」→「全て」
「送信」→「全て」
赤十字　(3)設定ダイヤルでリモートアクセスを禁止してください。
設定ダイヤルを回転させ、「ログインロック」が表示されたら2回押下します。
さらに回転させ「http」が表示されたら2回押下します。
さらに回転させ「キンシ」が表示されたら2回押下します。
MUCHO-ST,TL,TL-DSU,PSをお使いのお客様へ　ページトップへ戻る
MUCHO-ST,MUCHO-TLなどは、WEB設定画面を有さないため、直接アタックを受けることはありません。
ただし，OCNエコノミーなどで複数のグローバルアドレスを取得して，ルータでNAT機能を使用し，ルータ以外ではグローバルアドレスを使用していない場合、未使用のグローバルアドレス宛のアタックを受けるとNATテーブルがあふれてしまい通信不可の状態になることがあります。
この場合は、使用していない範囲のグローバルアドレス（ネットワークアドレス、ブロードキャストアドレスも含む）をすべてフィルタリングして下さい。
・telnetもしくはコンソールでログインし、コンフィグレーションモードで下記の設定を行ってください。

グローバルアドレス 210.***.***.0/29（8個）
MUCHOのWAN側アドレス 210.***.***.1 の場合の設定は以下の通りです。 
conf#iprouting filtering=on
conf#ipfiltering -f add dst=0.0.0.0,0.0.0.0 src=0.0.0.0,0.0.0.0
conf#ipf -d add dst=210.***.***.0,255.255.255.255 src=0.0.0.0,0.0.0.0
conf#ipf -d add dst=210.***.***.2,255.255.255.255 src=0.0.0.0,0.0.0.0
conf#ipf -d add dst=210.***.***.3,255.255.255.255 src=0.0.0.0,0.0.0.0
conf#ipf -d add dst=210.***.***.4,255.255.255.255 src=0.0.0.0,0.0.0.0
conf#ipf -d add dst=210.***.***.5,255.255.255.255 src=0.0.0.0,0.0.0.0
conf#ipf -d add dst=210.***.***.6,255.255.255.255 src=0.0.0.0,0.0.0.0
conf#ipf -d add dst=210.***.***.7,255.255.255.255 src=0.0.0.0,0.0.0.0


自動回線切断不可について〜対処方法　ページトップへ戻る
    対象機器
    MUCHO-E，MUCHO-EX，MUCHO-EV，MUCHO-EV/PK，
    MUCHO-ST，MUCHO-TL，MUCHO-TL/DSU，MUCHO-PS，
    FITELnet-E20，FITELnet-E30，INFONET-VP100
CodeRedワームの被害を受けた場合WWW サービス (TCP/80) に対してのアタック を受けますが，この時ルータが応答パケットを返してしまうため，無通信監視タ イマが働かず，回線が切断されない状態になります。 外部からのアクセスを無通信監視の対象外とする「recvidletimer」というパラ メータがありますが，ルータが応答を返してしまうために，このパラメータでは 回線を切断することができません。
このような現象が発生した場合は，以下の設定で回避できます。
NAT+スタティック登録によりルータ宛てにきた80番ポート宛てのパケットを実際に存在するLANアドレスの使用していないポート宛へ中継させます。これによりルータは外部からのパケットに応答しません。
また受信パケットを無通信監視タイマーの対象外とするために「recvidletimer」 の設定を行います。

【コマンドによる設定】
・telnetもしくはコンソールでルータにログインし，コンフィグレーションモー ドで下記の設定を行ってください。 
conf#isdn -1 recvidletimer=on
conf#natplusstatictable add virtual=,80 local=192.168.1.xxx,yyy
※「192.168.1.xxx」はルータのLAN側のネットワーク上で実際に使用されている任意のホストアドレス，「yyy」はこのホストで実際には使用されていないポート番号

【WEB設定】
・WEB設定画面で下記の設定を行ってください。
1. 「便利な設定」→「ISDN回線の接続について 」→「データ受信は無通信とす るか」で「はい」にチェックする。
2. 「便利な設定」→「NAT+機能」→「NAT+スタティック登録 」→「新規登録」
LAN上の端末指定：
IPアドレス 「192.168.1.***」（ルータのLAN側のネットワーク上で実際に使用されている任意のホストアドレス）
ポート番号 「yyy」（上記IPアドレスで実際には使用されていないポート番号）

外部に見えるIPアドレスとポート番号：
IPアドレス 「接続先より割り付けられる値を使用する」
ポート番号 「80」


ご参考ページ　ページトップへ戻る
Code Red ワームに関しては、以下のページをご参照ください。
http://www.ipa.go.jp/security/ciadr/vul/20010727codered.html


All Rights Reserved, Copyright(C) FURUKAWA ELECTRIC CO., LTD. 2001