Fwd: Re: 【應軟課詢問】中華資安委外健檢後續追蹤，請協助確認IP

-------- 原來郵件 --------
主旨: Re: 【應軟課詢問】中華資安委外健檢後續追蹤，請協助確認IP
寄件日期: 2021.07.08 14:34
寄件者: 氣象局-資訊中心-林靜宜 <judy.lin@cwb.gov.tw>
收件者: 唐睿 <baron0607@cwb.gov.tw>
副本: 吳湘荑 <im54531@cwb.gov.tw>, 葉莉貞 <lijen@cwb.gov.tw>, 劉政
<lc@cwb.gov.tw>, 沈里音 <leonshen@cwb.gov.tw>, 林靜宜 <judy.lin@cwb.gov.tw>

唐睿 您好

已回覆中華資安工程師172.16.70.71為Nessus弱掃主機、172.16.71.56為NBU Server主機
但因先前詢問數值課連線紀錄時，負責人無法回覆這兩台是否是為正常連線執行業務
對方為求謹慎，希望這兩台主機也能夠配合這次健診，主機作業系統版本、電腦名稱、主機用途等資訊並進行掃描，供他們分析以避免有惡意程式存在

此事已連同報告回報給沈副，並進行追蹤
再請系統課幫忙提供172.16.70.71、172.16.71.56相關訊息及提供掃描檔

資安健診的掃描程式及說明連結如下：
https://drive.google.com/drive/folders/1riS7POCdBFdv2rZXHuLPwFhvVnVN7Xjv

感謝您


林靜宜 敬上


唐睿 於 2021.07.07 14:11 寫到：
> 您好:
>
> 是的，172.16.70.71 (Nessus弱掃主機)、172.16.71.56 (NBU Server主機)
>
>
>
> 氣象局-資訊中心-林靜宜 於 2021.07.07 13:33 寫到：
>> 唐睿 您好
>>
>>
>> 中華資安執行委外健檢後，對方工程師對於數值課所屬172.16.243.49每幾個月會與172.16.70.71、172.16.71.56進行連線的紀錄有疑慮，希望確定IP來源，也針對這兩個IP進行掃描分析
>> 詢問數值課後，想跟您確認172.16.70.71、172.16.71.56是否為系統課所屬主機/IP？
>> 感謝您
>>
>> 林靜宜 敬上
>> ----------------------------------------
>> 交通部中央氣象局
>> 氣象資訊中心 應用軟體課
>> 林靜宜
>> E-mail: judy.lin@cwb.gov.tw
>> TEL: 02-2349-1282
>> ----------------------------------------
>>
>>
>> -------- 原來郵件 --------
>> 主旨: RE: FW: (請檢查主機活動)【！重要！氣象資訊中心通知】有關中華資安委外資通系統資安檢測事宜
>> 寄件日期: 2021.07.02 13:35
>> 寄件者: 吳政修 <jswu@cwb.gov.tw>
>> 收件者: 氣象局-資訊中心-林靜宜 <judy.lin@cwb.gov.tw>, 黃婉綺 <wanchi@cwb.gov.tw>, 唐睿
>> <baron0607@cwb.gov.tw>
>> 副本: 李香蘭 <gfs5@cwb.gov.tw>, 陳柏榮 <fajan09@cwb.gov.tw>, 唐晉堯
>> <chinyao@cwb.gov.tw>, 吳湘荑 <im54531@cwb.gov.tw>, 葉莉貞
>> <lijen@cwb.gov.tw>, 劉政 <lc@cwb.gov.tw>
>>
>> 靜宜您好，
>>
>>
>> * 172.16.70.71 主機名稱Nessus，是系統課安內弱點掃描主機。
>>
>> * 172.16.70.56 IDMS上查不到，非數值課主機。
>> (如果IP是172.16.71.56，主機名稱nbusvr，是系統課主機)
>>
>>
>> 如果是Nessus, nbusvr這兩台會去連sgrapha (172.16.243.49)，應該也不算異常來源!?
>>
>> 煩請應軟課跟系統課協調後續如何處理。
>>
>>
>>
>>
>> 政修
>>
>>
>> 氣象局-資訊中心-林靜宜 於 2021.07.02 10:41 寫到：
>>> 香蘭、政修 您好
>>>
>>> 中華資安健檢的報告已出爐
>>> 上週的問題因未連線成功，判斷不需要啟動資安事件調查
>>> 但中華資安工程師為求謹慎，想針對172.16.243.49做進一步檢查：
>>> 1.
>>> 172.16.243.49的連線紀錄，幾個月會從172.16.70.71、172.16.70.56連線一次
>>> 想請問此兩台是什麼設備(基本用途等資訊)?
>>> 2.
>>> 請協助掃描172.16.70.71、172.16.70.56，並提供離線掃描檔進行分析
>>> 離線掃描檔請由下方連結下載：
>>>
>>> https://drive.google.com/drive/folders/1riS7POCdBFdv2rZXHuLPwFhvVnVN7Xjv
>>>
>>>
>>> 以上，謝謝！
>>>
>>>
>>> 靜宜 敬上
>>> ----------------------------------------
>>> 交通部中央氣象局
>>> 氣象資訊中心 應用軟體課
>>> 林靜宜
>>> E-mail: judy.lin@cwb.gov.tw
>>> TEL: 02-2349-1282
>>> ----------------------------------------
>>>
>>>
>>>
>>> -----Original Message-----
>>> From: 李香蘭 <gfs5@cwb.gov.tw>
>>> Sent: Tuesday, June 29, 2021 9:25 AM
>>> To: '吳政修' <jswu@cwb.gov.tw>
>>> Cc: '陳柏榮' <fajan09@cwb.gov.tw>; '唐晉堯' <chinyao@cwb.gov.tw>; '吳湘荑'
>>> <im54531@cwb.gov.tw>; '林靜宜' <judy.lin@cwb.gov.tw>
>>> Subject: RE: FW: (請檢查主機活動)【！重要！氣象資訊中心通知】有關中華資安委外資通系統資安檢測事宜
>>>
>>> Dear All
>>>
>>> 功勳工程師有來信:
>>> 他說172.16.243.49於5月25日沒有執行弱掃
>>>
>>> 香蘭
>>>
>>> -----Original Message-----
>>> From: 李香蘭 <gfs5@cwb.gov.tw>
>>> Sent: Tuesday, June 29, 2021 8:55 AM
>>> To: '吳政修' <jswu@cwb.gov.tw>
>>> Cc: '陳柏榮' <fajan09@cwb.gov.tw>; '唐晉堯' <chinyao@cwb.gov.tw>; '吳湘荑'
>>> <im54531@cwb.gov.tw>; '林靜宜' <judy.lin@cwb.gov.tw>
>>> Subject: RE: FW: (請檢查主機活動)【！重要！氣象資訊中心通知】有關中華資安委外資通系統資安檢測事宜
>>>
>>> Dear All
>>>
>>> 昨唐睿已經請他們課裡的工程師(林功勳)幫忙查原因:
>>>
>>> 安內掃描主機nessus(172.16.70.71)是否有於2021/05/25
>>> 17:37對GRA南區主機(172.16.243.49)
>>> 進行弱掃
>>>
>>> 等消息吧！
>>>
>>> 香蘭
>>>
>>> -----Original Message-----
>>> From: 吳政修 <jswu@cwb.gov.tw>
>>> Sent: Monday, June 28, 2021 4:39 PM
>>> To: 李香蘭 <gfs5@cwb.gov.tw>; 唐睿 <baron0607@cwb.gov.tw>
>>> Cc: 陳柏榮 <fajan09@cwb.gov.tw>; 唐晉堯 <chinyao@cwb.gov.tw>; 吳湘荑
>>> <im54531@cwb.gov.tw>; 林靜宜 <judy.lin@cwb.gov.tw>
>>> Subject: Re: FW: (請檢查主機活動)【！重要！氣象資訊中心通知】有關中華資安委外資通系統資安檢測事宜
>>>
>>> 172.16.70.71好像是Nessus弱點掃描主機?
>>>
>>>
>>> 政修
>>>
>>>
>>> 李香蘭 於 2021.06.28 15:36 寫到：
>>>> 唐睿您好
>>>>
>>>> 有關中華資安檢測掃GRA系統南區機器時發現如附件所述:
>>>>
>>>> 172.16.70.71大量使用不存在帳號(例:n3ssus、anonymou等)進行登入之失敗紀錄，
>>>> 疑似帳號暴力破解的行為，中華資安檢測他們要我們確認是否於2021/05/25 17:37有進行演練或是例行正常掃描的情況?
>>>>
>>>> 我查 /etc/hosts.allow 並未開放172.16.70.71(不認得 所以不知它是誰? ) 做連線啊！
>>>> 你那邊查得出嗎?
>>>>
>>>>
>>>> 香蘭
>>>>
>>>> -----Original Message-----
>>>> From: 氣象局-資訊中心-林靜宜 <judy.lin@cwb.gov.tw>
>>>> Sent: Monday, June 28, 2021 3:01 PM
>>>> To: '吳政修' <jswu@cwb.gov.tw>; 'GRA系統' <gra@cwb.gov.tw>
>>>> Cc: '吳湘荑' <im54531@cwb.gov.tw>
>>>> Subject: RE: (請檢查主機活動)【！重要！氣象資訊中心通知】有關中華資安委外資通系統資安檢測事宜
>>>>
>>>> 政修 您好
>>>>
>>>> 請回報結論，
>>>> 上一封信有附圖，內有試圖登入的帳號跟IP
>>>> 請確認是否認得登入的IP跟帳號，或是當天有沒有進行演練或是例行正常掃描等活動
>>>> 我需要回復給中華資安
>>>> 感謝你
>>>>
>>>>
>>>>
>>>> 靜宜 敬上
>>>> -----Original Message-----
>>>> From: 吳政修 <jswu@cwb.gov.tw>
>>>> Sent: Monday, June 28, 2021 2:41 PM
>>>> To: GRA系統 <gra@cwb.gov.tw>; 林靜宜 <judy.lin@cwb.gov.tw>
>>>> Cc: 吳湘荑 <im54531@cwb.gov.tw>
>>>> Subject: Fwd: (請檢查主機活動)【！重要！氣象資訊中心通知】有關中華資安委外資通系統資安檢測事宜
>>>> Importance: High
>>>>
>>>> 各位好，
>>>>
>>>>
>>>> 轉知應軟課中華資安健檢狀況，請見下面轉寄內容。
>>>>
>>>>
>>>> 另外請教靜宜，需要回報結論給你們嗎，還是只是單純轉知?
>>>>
>>>>
>>>>
>>>>
>>>> 政修
>>>>
>>>>
>>>> -------- 原來郵件 --------
>>>> 主旨: (請檢查主機活動)【！重要！氣象資訊中心通知】有關中華資安委外資通系統資安檢測事宜
>>>> 寄件日期: 2021.06.28 14:22
>>>> 寄件者: 氣象局-資訊中心-林靜宜 <judy.lin@cwb.gov.tw>
>>>> 收件者: '吳政修' <jswu@cwb.gov.tw>
>>>> 副本: '李香蘭' <gfs5@cwb.gov.tw>, 吳湘荑 <im54531@cwb.gov.tw>, 葉莉貞
>>>> <lijen@cwb.gov.tw>
>>>>
>>>> 政修 您好
>>>>
>>>> 轉述中華資安分析掃描檔案後的疑問如下：
>>>>
>>>> 主機sgrapha:
>>>>
>>>>
>>>> 有來自172.16.70.71，大量使用不存在帳號(例:n3ssus、anonymou等)進行登入之失敗紀錄，疑似帳號暴力破解的行為，故想請確認是否於2021/05/25
>>>>
>>>> 17:37有進行演練或是例行正常掃描的情況?
>>>>
>>>>
>>>> 請您確認主機狀況，謝謝！
>>>>
>>>>
>>>>
>>>> 靜宜 敬上
>>>> ----------------------------------------
>>>> 交通部中央氣象局
>>>> 氣象資訊中心 應用軟體課
>>>> 林靜宜
>>>> E-mail: judy.lin@cwb.gov.tw
>>>> TEL: 02-2349-1282
>>>> ----------------------------------------
>>>>
>>>>
>>>> -----Original Message-----
>>>> From: 吳政修 <jswu@cwb.gov.tw>
>>>> Sent: Tuesday, June 22, 2021 3:17 PM
>>>> To: 林靜宜 <judy.lin@cwb.gov.tw>
>>>> Subject: RE: （數值課檢測結果）【！重要！氣象資訊中心通知】有關中華資安委外資通系統資安檢測事宜
>>>>
>>>> 第三台主機名是micnpd01nz(10.140.4.74)才對。
>>>>
>>>>
>>>> 政修
>>>>
>>>> 吳政修 於 2021.06.22 15:15 寫到：
>>>>> 靜宜您好，
>>>>>
>>>>>
>>>>> 數值課3主機有做離線掃描，都在附件。
>>>>>
>>>>> 1. sgrapha (172.16.243.49)
>>>>> 6/22補做。
>>>>>
>>>>> 2. mdpstest (172.16.66.117)
>>>>> 上封信已說明，6/21補做。
>>>>>
>>>>> 3. micnpd02nz (10.140.4.74)
>>>> ^^^^^^^^^^
>>>> micnpd01nz
>>>>> 6/21補做。
>>>>>
>>>>>
>>>>> 耽誤你們，不好意思。
>>>>>
>>>>>
>>>>>
>>>>> 政修
>>>>>
>>>>>
>>>>> 氣象局-資訊中心-林靜宜 於 2021.06.22 14:36 寫到：
>>>>>> 正修 香蘭 您好
>>>>>>
>>>>>> 因為已過預定掃描時間，後續還有中華資安團隊要進行分析報告
>>>>>> 請於今天(6/22)完成掃描
>>>>>> 感謝您
>>>>>>
>>>>>>
>>>>>> 靜宜 敬上
>>>>>> -----Original Message-----
>>>>>> From: 李香蘭 <gfs5@cwb.gov.tw>
>>>>>> Sent: Tuesday, June 22, 2021 11:21 AM
>>>>>> To: 吳政修 <jswu@cwb.gov.tw>
>>>>>> Cc: 氣象局-資訊中心-林靜宜 <judy.lin@cwb.gov.tw>; 吳湘荑
>>>>>> <im54531@cwb.gov.tw>;
>>>>>> 陳婉瑜
>>>>>> <carinchen@cwb.gov.tw>; 陳柏榮 <fajan09@cwb.gov.tw>
>>>>>> Subject: RE: （數值課檢測結果）【！重要！氣象資訊中心通知】有關中華資安委外資通系統資安檢測事宜
>>>>>>
>>>>>> 政修
>>>>>>
>>>>>> 好的 待我研究一下如何離線掃
>>>>>>
>>>>>> 香蘭
>>>>>>
>>>>>> 吳政修 於 2021.06.22 10:38 寫到：
>>>>>>> 靜宜您好，
>>>>>>>
>>>>>>> 1. mdpstest (172.16.66.117)應該就是"21日掃描結果_截圖"裡的mdpstest.mic.cwb
>>>>>>>
>>>>>>> 他沒抓到IP，大概因為原本有連線問題，我另外想辦法透過連網版執行完的關係。
>>>>>>>
>>>>>>> 我昨天有另外用離線版執行，請參考附件。
>>>>>>>
>>>>>>> 看要mdpstest以哪份結果為主。
>>>>>>>
>>>>>>> 2. micnpd02nz (10.140.4.75)
>>>>>>>
>>>>>>> 我們目前沒拿到機器，所以無法掃描、無法提供檢測報告。
>>>>>>>
>>>>>>> 3. sgrapha (172.16.243.49)
>>>>>>>
>>>>>>> 這台是南區的安內機器，大概防火牆未通，要麻煩香蘭用離線版掃描。
>>>>>>>
>>>>>>>
>>>>>>>
>>>>>>> 政修
>>>>>>>
>>>>>>>
>>>>>>> 氣象局-資訊中心-林靜宜 於 2021.06.22 09:58 寫到：
>>>>>>>> 政修
>>>>>>>>
>>>>>>>> 感謝回報
>>>>>>>> 請幫忙再次確認172.16.243.49、172.16.66.117是否已掃瞄？
>>>>>>>> 我擷取的報告中，沒有查到這兩個IP
>>>>>>>>
>>>>>>>>
>>>>>>>>
>>>>>>>>
>>>>>>>>
>>>>>>>> https://drive.google.com/drive/folders/1aouUlU9LcOhn4UTplzRw31yxafybe
>>>>>>>> wex
>>>>>>>>
>>>>>>>> 另外10.140.4.75，因系統課VM資源不足，尚未提供此機器給數值課
>>>>>>>> 是指這台目前無法進行掃瞄嗎？
>>>>>>>>
>>>>>>>> 以上，感謝
>>>>>>>>
>>>>>>>>
>>>>>>>> 靜宜
>>>>>>>>
>>>>>>>> -----Original Message-----
>>>>>>>> From: 吳政修 <jswu@cwb.gov.tw>
>>>>>>>> Sent: Monday, June 21, 2021 2:49 PM
>>>>>>>> To: 吳湘荑 <im54531@cwb.gov.tw>; 林靜宜 <judy.lin@cwb.gov.tw>
>>>>>>>> Cc: 陳婉瑜 <carinchen@cwb.gov.tw>; 李香蘭 <gfs5@cwb.gov.tw>; 陳柏榮
>>>>>>>> <fajan09@cwb.gov.tw>
>>>>>>>> Subject: Re: （數值課檢測結果）【！重要！氣象資訊中心通知】有關中華資安委外資通系統資安檢測事宜
>>>>>>>>
>>>>>>>> 不好意思，更正一台主機資訊
>>>>>>>>
>>>>>>>>> mipstest (172.16.66.177) 原本有連線問題，已另想辦法透過連網版執行完。
>>>>>>>> ^^^^^^^^^^^^^^^^^^^^^^^^
>>>>>>>> 應修正為mdpstest (172.16.66.117)
>>>>>>>>
>>>>>>>>
>>>>>>>>
>>>>>>>> 政修
>>>>>>>>
>>>>>>>>
>>>>>>>> 吳政修 於 2021.06.21 14:28 寫到：
>>>>>>>>> 湘荑, 靜宜你們好，
>>>>>>>>>
>>>>>>>>>
>>>>>>>>> 感謝你們幫忙，回報數值課本次檢測狀況
>>>>>>>>>
>>>>>>>>> 1. 離線檢測結果請參考附件，共1台:
>>>>>>>>> micnpd01nz (10.140.4.74) 此為DMZ區主機，無法連10.6.1.248，以離線執行。
>>>>>>>>>
>>>>>>>>>
>>>>>>>>> 2. 尚未實際取得主機，共1台：
>>>>>>>>> micnpd02nz (10.140.4.75)，因系統課VM資源不足，尚未提供此機器給數值課。
>>>>>>>>>
>>>>>>>>>
>>>>>>>>> 3. 其他主機皆已透過連網版執行完，共15台如下：
>>>>>>>>> mips7e (172.16.20.9)
>>>>>>>>> mips8e (172.16.20.10)
>>>>>>>>> mipstn (172.16.20.11)
>>>>>>>>> mipstest (172.16.66.177) 原本有連線問題，已另想辦法透過連網版執行完。
>>>>>>>> ^^^^^^^^^^^^^^^^^^^^^^^^
>>>>>>>> 應為mdpstest (172.16.66.117)
>>>>>>>>
>>>>>>>>> nngraphc (172.16.66.55)
>>>>>>>>> grapha (172.16.66.69)
>>>>>>>>> graphb (172.16.66.70)
>>>>>>>>> gradev (172.16.66.7)
>>>>>>>>> sgrapha (172.16.243.49)
>>>>>>>>> micgra3dlni (172.16.66.11)
>>>>>>>>>
>>>>>>>>> NPD01 (61.56.15.71)
>>>>>>>>> NDP02 (61.56.15.72)
>>>>>>>>> NPD03 (61.56.15.57)
>>>>>>>>> NPD04 (61.56.15.58)
>>>>>>>>> NPDtest (61.56.15.76)
>>>>>>>>>
>>>>>>>>>
>>>>>>>>>
>>>>>>>>>
>>>>>>>>> 政修