３ヶ月ほど前にサクラVPSで契約してうっかり放置したままのサーバを発見しました。
ちなみにこのサーバ、契約時のままの状態でWebサーバやDBサーバ等は一切起動していません。
IPアドレスのDNS登録もされていないので、インターネット上にポツンと放置された空き家のような存在です。
そんなサーバでも/etc/log/secureファイルをみるとありとあらゆる攻撃にさらされているんですね。
※幸い悪用されていませんでした、レンタルサーバ契約時は迅速にセキュリティ対策しましょう。

せっかくなのでこの１ヶ月の攻撃ログをまとめてみました。

１ヶ月の間に受けた攻撃回数は？

15239回!!

恐ろしい数字ですね、３秒に１回家がドロボーに狙われてるわけです。

どこのサーバから攻撃されてる？

一体どこから攻撃されてるのでしょう？
IPアドレスをもとに攻撃元の国ランキングを作成しました。以下がTop20の結果です。
※攻撃者はProxyサーバを経由したりするので厳密には攻撃元の国を判別するのは難しいですが、参考まで。

中国恐るべし、、、３秒に１回のサーバ攻撃の80%中国からのアクセスです。
２位がブータン、マイナーな国なので意外でした。
日本もなかなか健闘(?)してますね、第５位です。

どのアカウントが狙われてる？

ではサーバーはどのユーザで攻撃を仕掛けているのでしょうか？
こちらもTop20を出してみました。

やはり圧倒的にrootユーザでのアクセスを狙われてますね、あとはDBインストール時に作成されるoracleやpostgres、一般的にありがちなtest、guest、user、infoあたりが狙われていますね。gitが6位に来てるのも興味深いです。独自でgitサーバを立てる人が多いということでしょう。

日本にあるサーバを攻撃するということで日本人の苗字や名前もよく使われていました。
攻撃に不正使用されたお名前Top20は以下の通りです。

トップはkenjiさんでした！！苗字のトップはsatoです、日本の苗字を良くわかってますね、あとsuzuki、takahashiあたりが来ると完璧ですが。。
他に女性の名前も随分使われてますね、アカウントにこれらの名前のユーザを使っているサーバはお気をつけください。

どうやって攻撃をかわす？

では、これだけ頻繁に行われる攻撃にどう対処したら良いでしょう？CentOS6の設定例を少し紹介します。

まず圧倒的に狙われるrootユーザ、これはガッチリ守りましょう。

rootでのパスワードログインを禁止します。
/etc/ssh/sshd_configファイルに以下の設定をしてください。

PermitRootLogin no

設定後

# service sshd restart

で変更を反映させてください。
※rootユーザになるには一旦一般ユーザでログインしてからsuコマンドでrootになります。

可能ならばパスワードでのログインは全面的にブロックすることをお勧めします。
パスワード防御のみのサーバ運用は家の扉にナンバー鍵だけをぶら下げて防犯しているのと同じことです。
できればちゃんとした鍵をつけたいですよね。

公開鍵認証方式を使用して、パスワードによるログインを全面禁止します。
/etc/ssh/sshd_configファイルに以下の設定をしてください。

PasswordAuthentication no

設定後

# service sshd restart

で変更を反映させてください。

※公開鍵認証でログインできる事を確認してから行ってください。