総当たり攻撃のログが止まらない：無視していいのか

レン

認証ログを見たら、知らないIPからのログイン失敗が何千件も…毎日これなんだけど、放っておいていいの？

プロクラ

結論から言うと、条件を満たしていれば放っておいて大丈夫だよ。公開サーバーなら、これは日常の風景だ。むしろ「失敗が記録されている＝防げている」証拠でもある。

放置してよい条件

ログイン試行の記録は、公開しているサーバーなら必ず出ます。鍵認証にしていてパスワードでは入れない構成なら、記録が並んでいても実害はありません。危ないのは、成功の記録が混ざっている場合です。件数の多さではなく、成否を見てください。

プロクラ

ただし、無条件で無視していいわけではない。次の状態になっていることが前提だよ。

• パスワード認証を無効にしてある（鍵でしか入れない）
• rootでの直接ログインを禁止してある
• OSとソフトの更新を当てている
• 身に覚えのないログイン成功が記録されていない

プロクラ

1つめが決定的だよ。パスワードで入れない設定なら、いくら試されても通らない。試行の回数は問題ではなくなる。逆に、パスワード認証が有効なままなら、この記録は危険信号だ。

本当に危ない記録

ウィルスン

…失敗の山を眺めて安心している間に、その中に成功が1件だけ紛れている。そういう見せ方も、ワタシは好むのだがな。

• 身に覚えのないログイン成功（最優先で確認する）
• 作った覚えのないユーザーが増えている
• SSHの公開鍵が、自分の知らないものに増えている
• ログにぽっかり空白の時間帯がある

プロクラ

失敗を全部読む必要はないけれど、成功だけは定期的に見よう。last コマンドで一覧が出るので、月に一度でも眺める習慣があるといい。

ログを減らす手段

プロクラ

記録の量そのものが負担なら、減らす方法はあるよ。ただし、目的は「安全になる」ことではなく「見やすくなる」ことだと理解しておこう。

• 自動遮断の仕組みを入れる（同じIPからの試行が早く止まる）
• SSHのポート番号を変える（雑な自動攻撃の多くは既定の番号しか見ない）
• 接続元IPを絞れるなら、それが最も効く
• ログの保存期間と容量に、上限を設定する

プロクラ

3つめが可能なら、記録はほぼ消える。届く前に落とせるからね。ただし自分の回線のIPが変わると入れなくなるので、戻る手段を確保したうえで行うこと。

消しすぎない

プロクラ

うるさいからといって、認証ログを短期間で消す設定にはしないでね。侵入は数週間気づかれないことがある。数週間分は残しておくのが、後から調べられる最低ラインだよ。

レン

失敗は日常、成功が非常事態。鍵だけにしてあれば落ち着いていられるんだね。

Webのアクセスログも同じ考え方

プロクラ

認証ログだけでなく、Webのアクセスログにも同じ種類の記録が並ぶ。存在しない管理画面のURLへの大量アクセスがそれだよ。

• /wp-admin/ や /phpmyadmin/ への404が並ぶのは日常
• そこに置いていなければ、404が返るだけで実害は無い
• 危ないのは、実際にそこに何かを置いている場合
• 使っていない管理ツールを消しておけば、この記録は無視できる

プロクラ

つまり、どちらのログも「そこに入口が無いなら、叩かれても構わない」という同じ理屈だね。入口を減らすことが、記録を安心して無視できる状態を作る。