この記事の要点
- fail2banは、ログイン失敗を繰り返す接続元を自動で遮断する仕組みです
- パスワードを何度も試す攻撃への、基本的な備えになります
- 正規の利用者が遮断されることもあり、解除手順が必要です
- 遮断の記録は、設定ミスや攻撃の把握にも役立ちます
fail2banとは、サーバーのログを監視し、ログインの失敗が続いた接続元を、一定時間自動で遮断するソフトウェアです。パスワードを機械的に何度も試す攻撃(ブルートフォース攻撃)の対策として広く使われます。ただし、正規の利用者が誤って遮断される場合もあるため、確認と解除の手順を持っておく必要があります。
ブルートフォース攻撃とは何ですか?
ブルートフォース攻撃とは、パスワードの候補を片っ端から試して、ログインを突破しようとする攻撃です。人手ではなく自動化されたプログラムで行われ、インターネットに公開されたサーバーには常に試行が届きます。
試行が続くと、サーバーに負荷がかかるほか、弱いパスワードが突破される危険があります。
fail2banはどう動きますか?
fail2banは、次の流れで動きます。
- ログインに関するログを常に見る
- 一定時間内に失敗が決めた回数を超えた接続元を見つける
- その接続元からの通信を、一定時間遮断する
- 時間が経過したら、遮断を解除する
対象は、SSH(サーバーへの遠隔接続)、メールのサーバー、WordPressのログインなど、ログに失敗が記録されるサービスです。
どのように設定を決めますか?
| 項目 | 考え方 |
|---|---|
| 失敗の回数 | 少なすぎると正規の利用者の打ち間違いで遮断される |
| 判定の時間 | 短すぎると遅い攻撃を見逃す |
| 遮断の時間 | 長いほど効果的だが、誤遮断の影響も長くなる |
| 除外する接続元 | 社内や管理者の接続元は対象外にすることもある |
正規の利用者が遮断されることはありますか?
あります。メールの設定が古いままの端末が、正しくないユーザー名で繰り返し接続しようとして、遮断されることがあります。たとえば、移行後に旧ユーザー名のまま接続し続けるスマートフォンです。
当社でも、メールボックスの移行後に旧ユーザー名で接続が続き、fail2banの自動遮断に該当した事例に対応しました。この場合は、遮断の記録から原因の端末と設定を特定し、iPhoneやGmailでの設定を案内して解消しています。
誤遮断への備え
- 遮断された接続元の確認方法と、解除の手順を用意する
- 遮断の記録を、定期的に確認する
- 利用者に、正しい接続設定を案内する
fail2banだけで十分ですか?
fail2banは、攻撃の拡大を抑える有効な手段ですが、それだけでは足りません。管理画面のIP制限、強いパスワード、二段階認証、ソフトの更新と組み合わせます。遮断の記録を月次点検で確認し、攻撃の傾向や設定の不整合に気付く材料にします。
スタイルチューンができること
スタイルチューンは、サーバーの保守・管理の一環として、fail2banの導入と調整、遮断の記録の確認、誤遮断が起きたときの原因調査と案内を行います。メールボックスの移行(差分移行、重複排除)や、メール設定の案内とあわせて対応できます。
サービスの全体像はサービス一覧をご覧ください。
不正ログインの試行が気になる、メールの接続が突然できなくなった、という場合は、お問い合わせフォームからご相談ください。