{"id":21189,"date":"2023-05-24T10:15:36","date_gmt":"2023-05-24T01:15:36","guid":{"rendered":"https:\/\/je1sgh.mydns.jp\/je1sghblog\/?p=21189"},"modified":"2023-05-24T10:15:36","modified_gmt":"2023-05-24T01:15:36","slug":"%e5%9f%b7%e6%8b%97%e3%81%aa%e3%83%a1%e3%83%bc%e3%83%ab%e6%94%bb%e6%92%83%e8%80%85%e3%81%a8%e3%81%ae%e6%88%a6%e3%81%84","status":"publish","type":"post","link":"https:\/\/je1sgh.mydns.jp\/je1sghblog\/?p=21189","title":{"rendered":"\u57f7\u62d7\u306a\u30e1\u30fc\u30eb\u653b\u6483\u8005\u3068\u306e\u6226\u3044"},"content":{"rendered":"\n

ここ数年でしょうか，SMTPでメールを送り込もうという試みが繰り返されています．認証の設定の不備を発見してSPAMの踏み台にしようとしているのではないかと推測しています．<\/p>\n\n\n\n

sendmailのログは1年間保存しています1<\/a><\/sup>さらに，2018年からのbackupもあります．<\/span>．そこから， “AUTH failure” または “Access denied”を含む行のIPアドレスを集めました．これはsed, uniq, sortなどのunix\/linuxに標準的についてくるツールでできます．<\/p>\n\n\n\n

こちらのMTAに対してどこの馬の骨か解らないIPアドレスからメールを送り込もうと接続してきたら，こちらからは「認証が必要だよ」と返すので，なんか適当なuser IDとパスワードを送ってきます．ちまたに出回っているID\/passwordの組み合わせを使った辞書攻撃と思われますが，それで破られることはないので結果として “AUTH failure”になるわけです2<\/a><\/sup>全く別のIPアドレスからほぼ同時に同じUserIDが送られてきます．BOTを操っているとあたまでは解りますが，なんとも不気味です．<\/span>．<\/p>\n\n\n\n

まれに相手をまともなMTAと認めるのか3<\/a><\/sup>どういう基準か解りません😓<\/span>，UserID@当サイトドメイン<\/strong> の型式のメールをまとめて100くらい送り込んでこようとします．そのUserIDがタコ過ぎて当サイトでは100% “User unknown”となります．このケースでは，”User unknown”の行に相手先のIPアドレスが含まれていないので，その処理のID4<\/a><\/sup>たぶんQueue ID．<\/span>を抽出して，そのIDとIPアドレスを含む別の行からIPアドレスを取り出す，という感じで一手間余計にかかります．ここは，Perlスクリプトを書きました．<\/p>\n\n\n\n

そうして過去1年と今月5<\/a><\/sup>2023年5月．<\/span>3週間分のログから不正な接続元のIPアドレスを抽出したところ，ユニークなIPアドレスが6,788個ありました6<\/a><\/sup>ちなみに，Perlスクリプトで抽出したMTAとしての接続に成功したIPアドレスは，この1か月間に208個（それ以前の12か月間はゼロ）ありますが，2回使用されたIPアドレスが7個あるだけで残りは全部ユニークです😱

\n\n\n\n

\"\"<\/figure>\n\n\n\n<\/span>．<\/p>\n\n\n\n

せっかく抽出したのだからiptalbes で全てのIPアドレスを “DROP”するように設定してみました7<\/a><\/sup>サブネットなしの個々のIPアドレスを “DROP”．<\/span>．当サイト始まって以来の巨大なテーブルとなりました．<\/p>\n\n\n\n

しかし，全く効果がありません8<\/a><\/sup>多少，時間あたりの不正接続の頻度が減ったような感じはあります．<\/span>．次から次へと新しいIPアドレスで不正アクセスを試みてきます．<\/p>\n\n\n\n

いくら大量のBOTを要しているにしてもその数は有限なわけですが，1年分くらいのデータでは防ぐことはできないようです．<\/p>\n\n\n\n

次から次へと新しいIPアドレスで不正アクセスしてくるのですが，繰り返し使われるIPアドレスもあります．この1年で10万回以上不正アクセスしてきたIPアドレスが2つあり，それぞれモスクワと香港の会社が管理するIPアドレスです．第3位も香港で約5万回です．この3つは特に悪質なので曝します．<\/p>\n\n\n\n

62.233.50.137\n91.240.118.159\n176.113.115.117<\/pre>\n\n\n\n
6,788個のうち100回以上不正アクセスしてきたIPアドレスは55個です．残りは大半が1〜2回なので，そのBOTの規模は計り知れません．<\/p>\n\n\n\n
この100回以上攻めてきた55個は，従来の\/24のサブネットでブロックするように設定しました（残りの6,733個は開放しました😓）．<\/p>\n\n\n\n
今後の方針としてはときどき見直して，一定の期間に大量の不正アクセスをしてきたサイトのIPアドレスをiptablesで “DROP” するよう追加していきます．また逆に，不正アクセスが成功した事例はないか解析し，今後も監視していきます．<\/p>\n","protected":false},"excerpt":{"rendered":"
\u3053\u3053\u6570\u5e74\u3067\u3057\u3087\u3046\u304b\uff0cSMTP\u3067\u30e1\u30fc\u30eb\u3092\u9001\u308a\u8fbc\u3082\u3046\u3068\u3044\u3046\u8a66\u307f\u304c\u7e70\u308a\u8fd4\u3055\u308c\u3066\u3044\u307e\u3059\uff0e\u8a8d\u8a3c\u306e\u8a2d\u5b9a\u306e\u4e0d\u5099\u3092\u767a\u898b\u3057\u3066SPAM\u306e\u8e0f\u307f\u53f0\u306b\u3057\u3088\u3046\u3068\u3057\u3066\u3044\u308b\u306e\u3067\u306f\u306a\u3044\u304b\u3068\u63a8\u6e2c\u3057\u3066\u3044\u307e\u3059\uff0e sendmail\u306e\u30ed\u30b0\u306f1\u5e74\u9593\u4fdd\u5b58\u3057\u3066\u3044\u307e\u3059\uff0e\u305d\u3053\u304b\u3089\uff0c “AUTH failure” \u307e\u305f\u306f “Access denied”\u3092\u542b\u3080\u884c\u306eIP\u30a2\u30c9\u30ec\u30b9\u3092\u96c6\u3081\u307e\u3057\u305f\uff0e\u3053\u308c\u306fsed, uniq, sort\u306a\u3069\u306eunix\/linux\u306b\u6a19\u6e96\u7684\u306b\u3064\u3044\u3066\u304f\u308b\u30c4\u30fc\u30eb\u3067\u3067\u304d\u307e\u3059\uff0e \u3053\u3061\u3089\u306eMTA\u306b\u5bfe\u3057\u3066\u3069\u3053\u306e\u99ac\u306e\u9aa8\u304b\u89e3\u3089\u306a\u3044IP\u30a2\u30c9\u30ec\u30b9\u304b\u3089\u30e1\u30fc\u30eb\u3092\u9001\u308a\u8fbc\u3082\u3046\u3068\u63a5\u7d9a\u3057\u3066\u304d\u305f\u3089\uff0c\u3053\u3061\u3089\u304b\u3089\u306f\u300c\u8a8d\u8a3c\u304c\u5fc5\u8981\u3060\u3088\u300d\u3068\u8fd4\u3059\u306e\u3067\uff0c\u306a\u3093\u304b\u9069\u5f53\u306auser ID\u3068\u30d1\u30b9\u30ef\u30fc\u30c9\u3092\u9001\u3063\u3066\u304d\u307e\u3059\uff0e\u3061\u307e\u305f\u306b\u51fa\u56de\u3063\u3066\u3044\u308bID\/password\u306e\u7d44\u307f\u5408\u308f\u305b\u3092\u4f7f\u3063\u305f\u8f9e\u66f8\u653b\u6483\u3068\u601d\u308f\u308c\u307e\u3059\u304c\uff0c\u305d\u308c\u3067\u7834\u3089\u308c\u308b\u3053\u3068\u306f\u306a\u3044\u306e\u3067\u7d50\u679c\u3068\u3057\u3066 “AUTH failure”\u306b\u306a\u308b\u308f\u3051\u3067\u3059\uff0e \u307e\u308c\u306b\u76f8\u624b\u3092\u307e\u3068\u3082\u306aMTA\u3068\u8a8d\u3081\u308b\u306e\u304b\uff0cUserID@\u5f53\u30b5\u30a4\u30c8\u30c9\u30e1\u30a4\u30f3 \u306e\u578b\u5f0f\u306e\u30e1\u30fc\u30eb\u3092\u307e\u3068\u3081\u3066100\u304f\u3089\u3044\u9001\u308a\u8fbc\u3093\u3067\u3053\u3088\u3046\u3068\u3057\u307e\u3059\uff0e\u305d\u306eUserID\u304c\u30bf\u30b3\u904e\u304e\u3066\u5f53\u30b5\u30a4\u30c8\u3067\u306f100% “User unknown”\u3068\u306a\u308a\u307e\u3059\uff0e\u3053\u306e\u30b1\u30fc\u30b9\u3067\u306f\uff0c”User unknown”\u306e\u884c\u306b\u76f8\u624b\u5148\u306eIP\u30a2\u30c9\u30ec\u30b9\u304c\u542b\u307e\u308c\u3066\u3044\u306a\u3044\u306e\u3067\uff0c\u305d\u306e\u51e6\u7406\u306eID\u3092\u62bd\u51fa\u3057\u3066\uff0c\u305d\u306eID\u3068IP\u30a2\u30c9\u30ec\u30b9\u3092\u542b\u3080\u5225\u306e\u884c\u304b\u3089IP\u30a2\u30c9\u30ec\u30b9\u3092\u53d6\u308a\u51fa\u3059\uff0c\u3068\u3044\u3046\u611f\u3058\u3067\u4e00\u624b\u9593\u4f59\u8a08\u306b\u304b\u304b\u308a\u307e\u3059\uff0e\u3053\u3053\u306f\uff0cPerl\u30b9\u30af\u30ea\u30d7\u30c8\u3092\u66f8\u304d\u307e\u3057\u305f\uff0e \u305d\u3046\u3057\u3066\u904e\u53bb1\u5e74\u3068\u4eca\u67083\u9031\u9593\u5206\u306e\u30ed\u30b0\u304b\u3089\u4e0d\u6b63\u306a\u63a5\u7d9a\u5143\u306eIP\u30a2\u30c9\u30ec\u30b9\u3092\u62bd\u51fa\u3057\u305f\u3068\u3053\u308d\uff0c\u30e6\u30cb\u30fc\u30af\u306aIP\u30a2\u30c9\u30ec\u30b9\u304c6,788\u500b\u3042\u308a\u307e\u3057\u305f\uff0e \u305b\u3063\u304b\u304f\u62bd\u51fa\u3057\u305f\u306e\u3060\u304b\u3089iptalbes \u3067\u5168\u3066\u306eIP\u30a2\u30c9\u30ec\u30b9\u3092 “DROP”\u3059\u308b\u3088\u3046\u306b\u8a2d\u5b9a\u3057\u3066\u307f\u307e\u3057\u305f\uff0e\u5f53\u30b5\u30a4\u30c8\u59cb\u307e\u3063\u3066\u4ee5\u6765\u306e\u5de8\u5927\u306a\u30c6\u30fc\u30d6\u30eb\u3068\u306a\u308a\u307e\u3057\u305f\uff0e \u3057\u304b\u3057\uff0c\u5168\u304f\u52b9\u679c\u304c\u3042\u308a\u307e\u305b\u3093\uff0e\u6b21\u304b\u3089\u6b21\u3078\u3068\u65b0\u3057\u3044IP\u30a2\u30c9\u30ec\u30b9\u3067\u4e0d\u6b63\u30a2\u30af\u30bb\u30b9\u3092\u8a66\u307f\u3066\u304d\u307e\u3059\uff0e \u3044\u304f\u3089\u5927\u91cf\u306eBOT\u3092\u8981\u3057\u3066\u3044\u308b\u306b\u3057\u3066\u3082\u305d\u306e\u6570\u306f\u6709\u9650\u306a\u308f\u3051\u3067\u3059\u304c\uff0c1\u5e74\u5206\u304f\u3089\u3044\u306e\u30c7\u30fc\u30bf\u3067\u306f\u9632\u3050\u3053\u3068\u306f\u3067\u304d\u306a\u3044\u3088\u3046\u3067\u3059\uff0e \u6b21\u304b\u3089\u6b21\u3078\u3068\u65b0\u3057\u3044IP\u30a2\u30c9\u30ec\u30b9\u3067\u4e0d\u6b63\u30a2\u30af\u30bb\u30b9\u3057\u3066\u304f\u308b\u306e\u3067\u3059\u304c\uff0c\u7e70\u308a\u8fd4\u3057\u4f7f\u308f\u308c\u308bIP\u30a2\u30c9\u30ec\u30b9\u3082\u3042\u308a\u307e\u3059\uff0e\u3053\u306e1\u5e74\u306710\u4e07\u56de\u4ee5\u4e0a\u4e0d\u6b63\u30a2\u30af\u30bb\u30b9\u3057\u3066\u304d\u305fIP\u30a2\u30c9\u30ec\u30b9\u304c2\u3064\u3042\u308a\uff0c\u305d\u308c\u305e\u308c\u30e2\u30b9\u30af\u30ef\u3068\u9999\u6e2f\u306e\u4f1a\u793e\u304c\u7ba1\u7406\u3059\u308bIP\u30a2\u30c9\u30ec\u30b9\u3067\u3059\uff0e\u7b2c3\u4f4d\u3082\u9999\u6e2f\u3067\u7d045\u4e07\u56de\u3067\u3059\uff0e\u3053\u306e3\u3064\u306f\u7279\u306b\u60aa\u8cea\u306a\u306e\u3067\u66dd\u3057\u307e\u3059\uff0e 62.233.50.137 91.240.118.159 176.113.115.117 6,788\u500b\u306e\u3046\u3061100\u56de\u4ee5\u4e0a\u4e0d\u6b63\u30a2\u30af\u30bb\u30b9\u3057\u3066\u304d\u305fIP\u30a2\u30c9\u30ec\u30b9\u306f55\u500b\u3067\u3059\uff0e\u6b8b\u308a\u306f\u5927\u534a\u304c1\u301c2\u56de\u306a\u306e\u3067\uff0c\u305d\u306eBOT\u306e\u898f\u6a21\u306f\u8a08\u308a\u77e5\u308c\u307e\u305b\u3093\uff0e \u3053\u306e100\u56de\u4ee5\u4e0a\u653b\u3081\u3066\u304d\u305f55\u500b\u306f\uff0c\u5f93\u6765\u306e\/24\u306e\u30b5\u30d6\u30cd\u30c3\u30c8\u3067\u30d6\u30ed\u30c3\u30af\u3059\u308b\u3088\u3046\u306b\u8a2d\u5b9a\u3057\u307e\u3057\u305f\uff08\u6b8b\u308a\u306e6,733\u500b\u306f\u958b\u653e\u3057\u307e\u3057\u305f\ud83d\ude13\uff09\uff0e \u4eca\u5f8c\u306e\u65b9\u91dd\u3068\u3057\u3066\u306f\u3068\u304d\u3069\u304d\u898b\u76f4\u3057\u3066\uff0c\u4e00\u5b9a\u306e\u671f\u9593\u306b\u5927\u91cf\u306e\u4e0d\u6b63\u30a2\u30af\u30bb\u30b9\u3092\u3057\u3066\u304d\u305f\u30b5\u30a4\u30c8\u306eIP\u30a2\u30c9\u30ec\u30b9\u3092iptables\u3067 “DROP” \u3059\u308b\u3088\u3046\u8ffd\u52a0\u3057\u3066\u3044\u304d\u307e\u3059\uff0e\u307e\u305f\u9006\u306b\uff0c\u4e0d\u6b63\u30a2\u30af\u30bb\u30b9\u304c\u6210\u529f\u3057\u305f\u4e8b\u4f8b\u306f\u306a\u3044\u304b\u89e3\u6790\u3057\uff0c\u4eca\u5f8c\u3082\u76e3\u8996\u3057\u3066\u3044\u304d\u307e\u3059\uff0e<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_daextam_enable_autolinks":"","footnotes":""},"categories":[3,8,10],"tags":[],"class_list":["post-21189","post","type-post","status-publish","format-standard","hentry","category-computer","category-linux","category-network"],"publishpress_future_action":{"enabled":false,"date":"2026-04-24 08:58:04","action":"change-status","newStatus":"draft","terms":[],"taxonomy":"category","extraData":[]},"publishpress_future_workflow_manual_trigger":{"enabledWorkflows":[]},"_links":{"self":[{"href":"https:\/\/je1sgh.mydns.jp\/je1sghblog\/index.php?rest_route=\/wp\/v2\/posts\/21189","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/je1sgh.mydns.jp\/je1sghblog\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/je1sgh.mydns.jp\/je1sghblog\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/je1sgh.mydns.jp\/je1sghblog\/index.php?rest_route=\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/je1sgh.mydns.jp\/je1sghblog\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=21189"}],"version-history":[{"count":0,"href":"https:\/\/je1sgh.mydns.jp\/je1sghblog\/index.php?rest_route=\/wp\/v2\/posts\/21189\/revisions"}],"wp:attachment":[{"href":"https:\/\/je1sgh.mydns.jp\/je1sghblog\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=21189"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/je1sgh.mydns.jp\/je1sghblog\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=21189"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/je1sgh.mydns.jp\/je1sghblog\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=21189"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}