[debian-users:51569] Re: システムをクラッキングされたようです・・

["Taku YASUI" <tach@debian.or.jp>]

やすいです。

いろいろ盛り上がってていいですねぇ。

2009/1/8 Tomoo Nomura <nomurat@xxxxxxxxx>:
> 私も、何件かのリモートサイトを管理していますが、初期設定時はともかく、つ
> ながったら操作はすべてVPN/IPSECです。ルータ間をトンネルして、
> 192.168.xx.xx以外からはsshを許していません。だいぶ違うと思いますよ。

たしかに、だいぶ違うと思います。
が、VPN のところをやられてしまうと、攻撃ホストが 192.168.xx.xx になって
しまうので、より危険にさらすことになってしまうかもしれません。:)

セキュリティに関しては「○○しているから大丈夫」だとか「△△しているから
安心」なんてことはありえなくて、常にアンテナを立てて気を配る必要があります。
あとは、守りたいものの価値とそれにかかるコスト、そしてリスクの大小を考え
ながら、それぞれに応じた施策を行っていけば良いと思います。

皆さんがいろいろ提案されている施策は、それぞれ有効だと思いますし、価値のある
ものだと思います。でも、それで OK というわけではないということをアタマの
片隅にでもおいておいていただければ、と。

それだけではなんなので、施策をひとつ。
fail2ban というパッケージがあります。これは、python で書かれたデーモンで、
ログを監視して、おかしな文字列が短時間に複数記録された場合に、一定時間
その IP アドレスからのパケットを iptables で DROP するように設定してくれます。
デフォルトでは、10分に6回 SSH のパスワードを間違えたら、その IP アドレス
からのパケットを 10 分間遮断します。

パスワードでログインできないようにしたり、IP アドレスを絞ったりするのは
効果的ですが、そうできない場合には有効だと思います。もちろん、破られにくい
パスワードにするのがもっとも重要ですが。

他にも、spam を送ってくる IP アドレスを遮断したり、blog に spam 投稿をしてくる
IP アドレスを遮断したりするなど、応用はいろいろきくので、利用してみてください。
-- 
安井 卓 <tach@debian.or.jp>