最近のsshブルートフォース 3

ネットに接続されるデバイスがルータやサーバーなどではなく、ゲーム機、TV、カメラを初めいろいろなメディアデバイスであることを経験する場合が増えており、無防備な状態でネットにさらされていたり、そういったデバイスを狙った攻撃が増えていて様々な検索情報、IP情報も公開されるようになって久しいです。特に最近はこういったデバイスが増えていることからなにかと影響を受けたり、利用されたりする可能性が高いのではと思います。セキュリティ問題の解析、対策をはじめネット上の事象に対応する際に単純にサーバーとかサーバープログラムの問題の解決でという発想では古くて的外れな対応になってしまう経験をするようになってからも久しいです。。。あれ？これTVじゃんっ？パッチって、、？とか。。。時代はどんどん変わっていき大変です。。

とはいえ、VPSやcloudサービスの拡大のおかげかまだまだ単純にUNIXサーバー狙いな攻撃は多いままで、その中でも単純なsshのブルートフォースは相変わらずです。

最近1ヶ月間に3ホストに対して行われたブルートフォースの状況です。

被攻撃対象の環境、契約サービス等の違いにより攻撃の特性は異なることが多く、また、CloudサービスやVPSサービスでは同一サービス内からの隣接攻撃が多く国で分類する意味がなかったりする場合もありますので参考までとなります。

この期間のこの観測ポイントでは、アジアから攻撃が非常に多いです。そしてアメリカ。

トップサイト。

10年前から、攻撃→踏み台化→踏み台から攻撃→の繰り返しで次のステップの攻撃に利用するためのサイトを増やしていきます。

この過程で乗っ取られたサイトはたまにDDoSに利用される場合もありますが、それよりも圧倒的な頻度でDrive-Byで利用されたり広告サイトに利用されたりする例が多いようです。

目立つものがそういったもであって、もっと深い攻撃利用があるかもしれませんが。

もう１０年この状況続いてますが、あいかわらず脆弱なアカウントが多く、簡単に乗っ取られるユーザーが多いということなのでしょうかね。

不用意に放置されている場合が多いですが、SI的、マネージドサービス的にオープンにせざるを得ないという事情がある例も多々見て来ました。セキュリティ云々という問題ではない場合もあったりするんですが、それでも最低限の対策をすることで被害は大幅に防げます。

• 可能であるならアクセス元IPを限定する。Firewallやフィルタリング。
• sshdの待ち受けポートをTCP22番以外にする。結構効果的。
• 公開鍵認証を利用する
• rootでのsshログインは禁止に
• idとpasswordには同じ文字列を使わない。数字や記号を付加した程度では破られる可能性が高い。
• 単純なルール（キー配列利用や文字列置き換え）も危険。複数のルールの組み合わせやルールの複雑化を（おや、スマホのパターン認証も同じぐらい簡単ってことかな）
• ログ(/var/log/secure等)は定期的にチェックしましょう

[カテゴリ:botnet観察日記]

by jyake