Security Center:ブルートフォース攻撃対策

仕組み

保護ポリシーを作成することで、ブルートフォース攻撃対策を有効にできます。ポリシーを作成後、設定された時間枠内に IP アドレスからのログイン失敗回数が指定の制限を超えると、ポリシーがトリガーされます。ポリシーによって IP ブロックルールが自動的に生成され、System Rules タブに表示されます。このルールは、指定された期間、サーバーへの IP アドレスからのログインをブロックします。このルールは作成時に自動的に有効になり、ポリシーで指定された期間、有効な状態が維持されます。

保護ポリシーの作成

保護ポリシーを作成して、防御アクションをトリガーする特定の条件を定義できます。複数のポリシーを設定し、ユースケースに基づいて異なるサーバーに異なるポリシーを適用できます。

1. Security Center コンソールにログインします。

2. 左側のナビゲーションペインで、保護設定 > ホスト保護 > ホストルール管理 を選択します。コンソールの左上隅で、アセットが配置されているリージョンとして Chinese Mainland または Outside Chinese Mainland を選択します。

3. ホストルール管理 ページで、Defense Against Brute-force Attacks タブをクリックします。

4. セキュリティセンターによるクラウドリソースへのアクセスを承認していない場合は、今すぐ権限付与 をクリックします。

   権限付与の詳細については、「Security Center のサービスリンクロール」をご参照ください。

5. ポリシーの新規作成 をクリックします。ポリシーの新規作成 パネルで、保護ポリシーを設定します。

   Security Center は、デフォルトの保護ポリシーを提供しています。1 台のサーバーで 10 分以内に 80 回を超えるログイン失敗が検出された場合、送信元 IP アドレスが 6 時間ブロックされます。対象サーバーを選択することで、このデフォルトポリシーを直接適用できます。また、次の表に記載されているパラメータを設定して、カスタムポリシーを作成することもできます。

   パラメータ	説明
   [ポリシー名]	保護ポリシーの名前を入力します。
   [防御ルール：]	ポリシーをトリガーする条件を指定します。指定された時間枠内にログイン失敗回数がしきい値を超えた場合、送信元 IP アドレスが指定された期間ブロックされます。例：1 分以内に 3 回を超えるログイン失敗があった場合、IP アドレスを 30 分間ブロックします。
   [保護シナリオ]	必須の保護: RDP Brute-force Attack および SSH Brute-force Attack。これらのオプションは選択を解除できません。 オプションの保護： SQL Server Brute-force Attack。このオプションは、データベースのセキュリティを確保し、機密データを保護するのに役立ちます。 重要 この保護シナリオを有効にするには、SQL Server でログインの監査オプションを有効にする必要があります。詳細については、「SQL Server のログインの監査を有効化」をご参照ください。
   [デフォルトのポリシーとして設定]	このポリシーをデフォルトとして設定すると、他の保護ポリシーが適用されていないすべてのサーバーに自動的に適用されます。 説明 デフォルトのポリシーとして設定 を選択すると、対応するサーバーを選択してください： セクションでサーバーを選択したかどうかにかかわらず、このポリシーは、特定のポリシーが設定されていないすべてのサーバーに適用されます。
   [対応するサーバーを選択してください：]	このポリシーを適用するサーバーを選択します。Security Center で保護されているサーバーを選択するか、サーバー名または IP アドレスでサーバーをフィルタリングできます。

6. OK をクリックします。

   重要

   各サーバーには、ブルートフォース攻撃対策の保護ポリシーを 1 つのみ設定できます。

   • このポリシーの適用対象として選択したサーバーに既存のポリシーが適用されていない場合、新しいポリシーが正常に適用されます。

   • 選択したサーバーにすでにポリシーがあり、それを新しいポリシーに置き換えたい場合は、Confirm Changes ダイアログボックスで OK をクリックします。

   • 以前のポリシーが適用されていたサーバーに新しいポリシーを適用すると、以前のポリシーで保護されているサーバーの数が減少します。

システムルールの管理

システムルールは、保護ポリシーがトリガーされたときに自動的に生成される IP ブロックルールです。以下の手順では、システムルールの表示、有効化、無効化の方法について説明します。

1. Security Center コンソールにログインします。 左側のナビゲーションペインで、保護設定 > ホスト保護 > ホストルール管理 を選択します。コンソールの左上隅で、アセットが配置されているリージョンとして Chinese Mainland または Outside Chinese Mainland を選択します。

2. ホストルール管理 ページで、Defense Against Brute-force Attacks タブをクリックします。

3. System Rules サブタブで、必要に応じて操作を行います。

   • システムルールの表示

     各ルールのブロックされた IP アドレス、ポート、適用対象サーバー、ポリシー名、ブロックメカニズム、有効期限、およびステータスを表示できます。Security Center は、クライアントのインストール状況に基づいて、適切なブロックメカニズムを自動的に選択します。

     • [Security Center]：Security Center エージェントを使用して、ログイン試行のブロックを優先します。このメカニズムは、お客様が Security Center の Advanced、Enterprise、または Ultimate エディションをご利用で、かつ 悪意のあるネットワーク行動からの保護 スイッチが有効になっている場合に自動的に使用されます。悪意のあるネットワーク行動からの保護 スイッチを有効にする方法については、「プロアクティブ防衛」をご参照ください。

     • [ECS セキュリティグループ]：このブロックルールが有効になると、セキュリティグループに対応するルールが自動的に作成されます。ルールは、有効期限が切れるか無効化されると自動的に削除されます。

   • システムルールの有効化

     IP アドレスのブロックを続行するには、ステータス 列のスイッチをオンにしてルールを有効にできます。ルールを再度有効にすると、有効期間はその時点から 2 時間に延長されます。

   • システムルールの無効化

     ブロックされたログインが誤検知であると確認された場合、IP ブロックルールを無効にしてアクセスを許可できます。ルールを無効にするには、ステータス 列のスイッチをオフにします。ルールが無効になってから約 1 分後に、その IP アドレスは再びサーバーにアクセスできるようになります。

カスタムルールの管理

ビジネスニーズに基づいて、悪意のある IP アドレスがクラウドアセットにアクセスするのをブロックするカスタム IP ブロックルールを作成できます。

1. Security Center コンソールにログインします。

2. 左側のナビゲーションペインで、保護設定 > ホスト保護 > ホストルール管理 を選択します。コンソールの左上隅で、アセットが配置されているリージョンとして Chinese Mainland または Outside Chinese Mainland を選択します。

3. ホストルール管理 ページで、Defense Against Brute-force Attacks タブをクリックします。

4. Custom Rules サブタブで、必要に応じて操作を実行します。

   • カスタム IP ブロックルールの作成

     1. セキュリティセンターによるお使いのクラウドリソースへのアクセスを承認していない場合は、今すぐ権限付与 をクリックします。

        権限付与の詳細については、「Security Center のサービスリンクロール」をご参照ください。

     2. ホワイトリストルール作成 をクリックします。IP ブロックポリシーの作成 パネルで、パラメーターを設定し、OK をクリックします。

        パラメータ	説明
        [Intercepted Object]	ブロックする IP アドレスを入力します。
        [すべてのアセット]	IP ブロックルールを適用するサーバーを選択します。複数のサーバーを選択できます。また、サーバー名または IP アドレスで特定のサーバーを検索することもできます。
        [Rule Direction]	ブロックするトラフィックの方向を設定します。Inbound または Outbound を選択できます。
        [所属セキュリティグループ]	IP ブロックルールのセキュリティグループを指定します。デフォルトはSecurity Center Blocking Policy Groupです。ルールが有効になると、対応するルールがこのセキュリティグループに自動的に作成されます。ルールは、有効期限が切れたとき、または無効になったときに自動的に削除されます。
        [有効期限]	ルールの有効期間を設定します。ルールが期限切れになると、そのステータスはDisabledに変更されます。

        カスタム IP ブロックルールが作成されると、デフォルトでは Disabled 状態になっています。ルールを有効にするには、手動で有効化する必要があります。

   • カスタム IP ブロックルールのリストと詳細の表示

     Custom Rules サブタブでは、各ルールのブロックされた IP、有効なサーバー数、有効期限、ルール方向、およびステータスを表示できます。ルールの [操作] 列にある [詳細] をクリックすると、有効なサーバーのリストを表示できます。また、[無効]、[有効]、[有効化中]、[有効化失敗] などのステータスでサーバーリストを絞り込むこともできます。

   • カスタム IP ブロックルールの編集

     編集するルールを探し、操作する 列の 編集 をクリックします。IP ブロックポリシーの編集 パネルで、適用資産と有効期限を変更できます。その後、セキュリティセンターによって、IP ブロックルールに変更が適用されます。

     [無効] ステータスの IP ブロックルールのみを編集できます。有効なルールを編集するには、まずルールを無効にする必要があります。

   • IP ブロックルールの有効化または無効化

     ブルートフォース攻撃のリスクがある IP アドレスに対して IP ブロックルールを有効化できます。ルールが正当なトラフィックをブロックしていることを確認した場合は、ルールを無効化できます。ルールが無効化されると、Security Center は指定された IP アドレスからのサーバーへのアクセスをブロックしなくなります。

     • 有効化: ステータス スイッチをオンにし、Enable IP Address Blocking Policy ダイアログボックスで OK をクリックします。ルールが有効になり、ステータスが Enabling に変わります。ルールが適用されるサーバーが多いほど、Enabling のステータスが長く続きます。ルールが有効化されると、Security Center はルールで定義されている不正なトラフィックをブロックします。ルールを有効化した後、考えられるステータスには次のようなものがあります:

       • [起動の異常]：ブロックルールは、すべての適用対象サーバーで有効化に失敗しました。

       • [一部成功しました]：ブロックルールは、一部の適用対象サーバーでは正常に有効化されましたが、すべてのサーバーでは有効化されませんでした。

       ルールの操作列にある 詳細 をクリックすると表示される 有効サーバー パネルで、「有効化失敗」ステータスのサーバーの 操作する 列にある Retry をクリックして、ルールの有効化を再試行できます。

       説明

       期限切れのカスタム IP ブロックルールを有効化すると、有効期間が再度有効化した時点から 2 時間延長されます。有効期間を変更する必要がある場合は、ルールを有効化する前に編集してください。

     • [無効]：ステータス スイッチをオフにし、Disable IP Address Blocking Policy ダイアログボックスで OK をクリックします。 IP ブロックルールが無効になり、そのステータスが Disabled に変更され、セキュリティセンターはルールで指定された IP アドレスからのアクセスをブロックしなくなります。

   • カスタム IP ブロックルールの削除

     Disabledステータスのルールを削除できます。 対象のルールの操作列で削除をクリックし、確認ダイアログボックスでOK をクリックします。

SQL Server のログインの監査を有効化

SQL Server ブルートフォース攻撃対策を有効にするには、まず SQL Server でログインの監査を有効にして、成功した認証と失敗した認証の両方を記録する必要があります。この情報をログに記録することは、パスワード推測攻撃の検出と確認に不可欠です。以下の手順に従ってください。

1. SQL Server Management Studio を開き、SQL Server インスタンスに接続します。

2. 左側の [オブジェクト エクスプローラー] ウィンドウで、お使いの SQL Server インスタンスを見つけ、右クリックして [プロパティ] を選択します。

3. [サーバーのプロパティ] ダイアログボックスの左側のナビゲーションペインで、[セキュリティ] ページをクリックします。

4. [セキュリティ] ページの [ログインの監査] セクションで、[失敗したログインと成功したログインの両方] オプションを選択します。

5. OK をクリックして SQL Server インスタンスを再起動すると、変更が有効になります。