[박현수]님이 남기신 글:

>netstat -na|grep :80 으로 확인해 보면..
>아래와 같이 동일 아이피에서 80번 포트로 동시에 접근하는
경우가 많습니다..
>iframe이나 팝업으로 인해 첨에는 그런가 했는데..
>해당 사이트에 iframe은 거의 쓰지 않고, 팝업도 없는데.. 너무
접근이 많네요..
>이 사용자로 인해 아파치 데몬의 최대 수치로 근접해
외부접근이 힘든 경우도 있고..
>이 사용자만 그런것도 아니고..
>
>왜 이런 현상이 일어나는지 정확히 알고 싶습니다..
>원인을 알아야 대책 강구가 가능할것 같아서요..
>대충봐서 50개 이상 접근해 있는것 같습니다..
>(살펴보니.. 이 사용자는 해당 사이트를 이용중인
고객이엿습니다.
 악의성 없는..)
>
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2726 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2729 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2728 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2731 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2730 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2733 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2732 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2735 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2734 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2705 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2704 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2707 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2706 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2709 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2708 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2711 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2710 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2713 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2712 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2715 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2714 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2717 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2716 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2719 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2718 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2689 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2688 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2691 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2690 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2693 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2692 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2695 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2694 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2697 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2696 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2699 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2698 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2701 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2700 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2703 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2702 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2673 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2672 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2675 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2674 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2677 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2676 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2679 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2678 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2681 FIN_WAIT2
>tcp 0 0 211.xx.xx.xx:80 12.34.56.78:2680 FIN_WAIT2 

========================================

아마도 거의 대부분 이미지쪽 connection 인것 같네요.

실제 해당 웹페이지를 링크되어 있는 SRC 속성 개수와 비교해
보세요.

이것이 아니면 공격성 커녁션으로 밖에 해석될 수 없습니다.