どのドメイン経由で不正アクセスしているか調べられますか？(DDNS)

自宅PCを外部公開し、知人数名間だけで使用しています。
固定IPではないためダイナミックDNSを利用し、
aaa.bbb.com ccc.ddd.com eee.fff.com の様な3種類の名称を使い分けています。

しかしここ最近アクセスが非常に思いので、ルータのログを見たところ、
海外らしきIPからのアクセスが集中しておりました。

恐らくどれかのダイナミックDNSのドメイン名が漏れているため相手がアクセスできているのかと思うのですが、
3種類のどのドメイン名経由からのアクセスなのか調べる方法はありますでしょうか。

質問者からの補足コメント

• 

  ありがとうございます。ついでに一例を見ていただけませんか。YAMAHAのNVR500
  
  PP[01] Rejected at IN(default) filter: UDP 85.54.172.119:51413 > 192.168.1.5:6881
  [INSPECT] PP[01][out][200082] TCP 192.168.1.108:52104 > 74.125.23.95:443 (2015/12/17 12:57:53)
  [INSPECT] PP[01][out][200081] UDP 192.168.1.1:10453 > 202.224.32.1:53 (2015/12/17 13:12:04)
  
  こんな感じのログが1分間に500行位のペースで3日前からきてます。
  落ち着くまでルータ、ONUを再起動した方が良いですか？
  何かツールとかないですかね(Windows)

  No.2の回答に寄せられた補足コメントです。 補足日時：2015/12/17 13:22

• 

  詳細にお調べいただいてありがとうございます！
  
  74.125.23.95 > Google関係っぽいです
  
  202.224.32.1 > 仰る通りアサヒネットでした
  
  
  >BitTorrent使っている意識がないのなら、192.168.1.5は再起動なりした方がいいんじゃないですかね？
  >ウィルスなりなんなりに汚染されている可能性もあるのかも知れませんが。
  
  5はNASです。NASにBitTorrentの機能が付いていたみたいなので、サービス停止しました。
  
  NVR500内蔵のファイアウォール機能がOFFになってたので、
  ONにしたところ、重さが解消されたようです。
  その後のログ取得ですので、重かった時のログではありません。
  重かった原因はReject行に反映されてると思ってましたが違うのかも。
  
  今からでも調査できる方法があればと思って質問させていただきました。

  No.3の回答に寄せられた補足コメントです。 補足日時：2015/12/17 16:33

No.3 回答者： Wr5 回答日時： 2015/12/17 14:07

該当のルータは触ったコトありませんが……

>PP[01] Rejected at IN(default) filter: UDP 85.54.172.119:51413 > 192.168.1.5:6881

外部から内部へのUDPの6881ポートへの接続…ですかね。
6881ポートだと……
https://ja.wikipedia.org/wiki/TCP%E3%82%84UDP%E3 …
BitTorrentのようですが？
192.168.1.5でBitTorrent使っていませんか？

>[INSPECT] PP[01][out][200082] TCP 192.168.1.108:52104 > 74.125.23.95:443 (2015/12/17 12:57:53)

内部の192.168.1.108から外部へのHTTPS接続…っぽいですが。
なんの接続かは不明です。

>[INSPECT] PP[01][out][200081] UDP 192.168.1.1:10453 > 202.224.32.1:53 (2015/12/17 13:12:04)

内部の192.168.1.1から、外部DNSサーバへの問い合わせ…じゃないですかね？
asahi-net.or.jpのDNSサーバですかね。


>落ち着くまでルータ、ONUを再起動した方が良いですか？

BitTorrent使っている意識がないのなら、192.168.1.5は再起動なりした方がいいんじゃないですかね？
ウィルスなりなんなりに汚染されている可能性もあるのかも知れませんが。


とりあえず、掲示された内容では自宅サーバもDDNSも関係なさそうですけど。

No.2 回答者： Wr5 回答日時： 2015/12/17 12:30

>ドメイン名漏れていなくても不正アクセス(というかアタック)は可能ですよ。

微妙に誤解招きそうだから補足。
『貴方を狙った攻撃』という意味ではありません。
適当なIPアドレス宛の攻撃がたまたま続いた。というだけです。
ランダムに攻撃するスクリプトを走らせているヤツが一人だけ…ということはありませんし。
# ポートによってはウィルスなどに感染したPCがバックグラウンドでやっていることもある。

No.1 回答者： Wr5 回答日時： 2015/12/17 11:27

>しかしここ最近アクセスが非常に思いので、ルータのログを見たところ、

>海外らしきIPからのアクセスが集中しておりました。

どのポートへのアクセスですか？

80番ポート(Webサーバへの接続)であれば、サーバによってはHTTPリクエストヘッダ中のHostヘッダを記録できる場合があります。
# 名前ベースのバーチャルホストの機能の為、Hostヘッダは必須…だったかと。

Webサーバ以外(FTPやらSSHやら)の場合は、相手側が指定したホスト名を受け渡しはしないでしょうから調べようがありません。

>恐らくどれかのダイナミックDNSのドメイン名が漏れているため相手がアクセスできているのかと思うのですが、

ドメイン名漏れていなくても不正アクセス(というかアタック)は可能ですよ。
特に22番ポートとか閉じていない場合はスクリプトが執拗にパスワード認証を繰り返します。