%SEC-6-IPACCESSLOGPログが多発 上位機器への高トラが発生

[y.yoshida]

上位機器にて異常なトラフィックが確認され、切り分けると配下にあるVPNルータ(C891FJ-K9)とのことでした。

ログを確認すると、以下のログが多発していました。

%SEC-6-IPACCESSLOGP: list 102 denied tcp xxx.xxx.xxx.xxx(0) ->xxx.xxx.xxx.xxx(0),1 packet

1分間に4～10回ほどのアクセスがあります。

対処法などご教授頂けますでしょうか。

[Akira Muranaka]

ポートが(0)なのでTDP/UDP以外の通信かと思いますが、
トラフィックをどう捉えるかによって対処が変わるかと思います。

─────────────────────────────
【対処例】
異常なトラフィック（無視してもよいもの）
⇒ ログが出ても無視する

異常なトラフィック（無視してもよいがログが邪魔。Syslogサーバーを圧迫するなど理由）
⇒対象IPにマッチするACL（ログオプション無し）を設定するなどしてログ出力を止める
   ※当対策すると 同IPからの異常通信もログ出力されなくなるため基本オススメできません

内部からの異常なトラフィック（無視できないもの）
⇒IPから送信元端末やサーバーを特定し通信を止めるよう指示や設定

外部からの異常なトラフィック（無視できないもの）
⇒関連会社など身元が特定できる場合は連絡
不特定多数からのアクセスの場合は「正常なブロック」と考え様子見
─────────────────────────────

なお、Firewallを運用しているとDenyログは日常茶飯事なので、
特に不特定多数からアクセスされる環境にある機器の場合は、
私の場合は 1分に数回など多少のDenyログが出ても気にしません（苦笑）
Denyはしっかりブロックできた証拠とも言えるので。

逆に不正な通信がPermitで許可されているほうが怖いです。

ACL設定 参考情報：
https://atnetwork.info/ccna1/acl16.html