侵入されたサーバーに現れる兆候

レン

最近サーバーが妙に重い気がする…気のせいかな。

プロクラ

気のせいで済めばいいけど、一度確認してみよう。侵入されたサーバーには、わりと分かりやすい変化が出ることがあるんだ。

よくある兆候

• 何もしていないのにCPU使用率が高い（暗号資産の採掘に使われている典型例）
• 身に覚えのない通信が外部へ出ている
• 見覚えのないユーザーやSSH鍵が増えている
• 見覚えのないcron（定期実行）の設定がある
• ログイン履歴に知らない時間帯・知らない場所からの記録がある
• ログが不自然に消えている、または特定の期間だけ欠けている
• ファイルの更新日時が、自分が触っていない日になっている

ウィルスン

…よく見ている。だが優秀な侵入者は痕跡を消す。ログを消し、ファイルの日時を偽装し、あたかも何もなかったかのように振る舞う。だから「痕跡が無いから安全」とは言い切れないのだよ。

レン

消されたら分からないじゃないか！

プロクラ

だからログを別の場所へ送っておく価値があるんだ。侵入されたサーバーの中のログは信用しきれないけど、外に送ったものは書き換えられないからね。

採掘に使われるのが多い理由

プロクラ

個人のサーバーで一番多い被害がこれなんだ。攻撃者にとって、盗むデータが無くてもサーバーの計算能力そのものがお金になる。だから「うちには盗まれて困るものは無いから」は理由にならないんだよ。

プロクラ

重いと感じたら、まず何がCPUを使っているか確認する。この習慣だけでも早期発見につながるよ。おかしいと思ったら、次の記事の手順に進もう。