侵入されたサーバーに現れる兆候

レン

最近サーバーが妙に重い気がする…気のせいかな。

プロクラ

気のせいで済めばいいけど、一度確認してみよう。侵入されたサーバーには、わりと分かりやすい変化が出ることがあるんだ。

よくある兆候

• 何もしていないのにCPU使用率が高い（暗号資産の採掘に使われている典型例）
• 身に覚えのない通信が外部へ出ている
• 見覚えのないユーザーやSSH鍵が増えている
• 見覚えのないcron（定期実行）の設定がある
• ログイン履歴に知らない時間帯・知らない場所からの記録がある
• ログが不自然に消えている、または特定の期間だけ欠けている
• ファイルの更新日時が、自分が触っていない日になっている

ウィルスン

…よく見ている。だが優秀な侵入者は痕跡を消す。ログを消し、ファイルの日時を偽装し、あたかも何もなかったかのように振る舞う。だから「痕跡が無いから安全」とは言い切れないのだよ。

レン

消されたら分からないじゃないか！

プロクラ

だからログを別の場所へ送っておく価値があるんだ。侵入されたサーバーの中のログは信用しきれないけど、外に送ったものは書き換えられないからね。

採掘に使われるのが多い理由

侵入した側から見て、すぐ現金に換えられて足も付きにくいからです。データを盗んで売るより手間がかからず、サーバーの持ち主が気づきにくい。CPUが常に高いだけなので、重いプログラムを動かしていると勘違いしたまま何か月も動き続けることがあります。

プロクラ

個人のサーバーで一番多い被害がこれなんだ。攻撃者にとって、盗むデータが無くてもサーバーの計算能力そのものがお金になる。だから「うちには盗まれて困るものは無いから」は理由にならないんだよ。

プロクラ

重いと感じたら、まず何がCPUを使っているか確認する。この習慣だけでも早期発見につながるよ。おかしいと思ったら、次の記事の手順に進もう。

どこを見れば分かるか

プロクラ

兆候は、見る場所さえ決まっていれば拾えるよ。定期的に見るのはこの4か所でいい。

• ログイン履歴: 身に覚えのない成功があるか（last コマンド）
• ユーザーとSSH公開鍵: 増えていないか
• 定期実行の設定: 登録した覚えのない処理が無いか
• 資源の使われ方: 何もしていないのにCPUや通信が続いていないか

分かりにくい兆候

プロクラ

壊れる形で現れるとは限らないんだ。むしろ静かに使われるほうが、相手には都合がいい。次のようなものは見落とされやすいよ。

• ログにぽっかり空白の時間帯がある（消された可能性）
• 設定ファイルの更新日時が、自分の作業日と合わない
• 送信していないメールが大量に出ている
• サイトに、自分が書いていない文言やリンクが混ざっている
• 検索結果に、自分のサイトとして知らないページが並んでいる

ウィルスン

…壊してしまえば、気づかれる。だから壊さない。静かに使い続けるほうが、ワタシには得なのだよ。

プロクラ

だから「普通に動いているから大丈夫」は根拠にならない。疑わしいと思ったら、復旧より先に保全する手順に進もう。慌てて作り直すと、原因が分からないままになるからね。

レン

壊れないまま使われることがある、って怖いな。定期的に4か所見る。