Security Center:ブルートフォース攻撃に対する防御

仕組み

保護ポリシーを作成することで、ブルートフォース攻撃対策を有効にできます。ポリシーを作成後、設定された時間枠内で IP アドレスからのログイン失敗回数が指定された制限を超えると、ポリシーがトリガーされます。ポリシーによって IP ブロックルールが自動的に生成され、システムルール タブに表示されます。このルールは、指定された期間、サーバーへの IP アドレスからのログインをブロックします。このルールは作成時に自動的に有効になり、ポリシーで指定された期間、有効な状態が維持されます。

保護ポリシーの作成

保護ポリシーを作成して、防御アクションをトリガーする具体的な条件を定義できます。複数のポリシーを構成し、ユースケースに基づいて異なるサーバーに異なるポリシーを適用できます。

1. Security Center コンソールにログインします。

2. 左側のナビゲーションペインで、保護設定 > ホスト保護 > ルール管理を選択します。コンソールの左上隅で、資産が配置されているリージョンとして 中国本土 または 中国本土以外 を選択します。

3. ルール管理 ページで、[防御ポリシー] タブをクリックします。

4. Security Center によるクラウドリソースへのアクセスを承認していない場合は、今すぐ権限付与 をクリックします。

   承認の詳細については、「Security Center のサービスリンクロール」をご参照ください。

5. ポリシーの新規作成 をクリックします。ポリシーの新規作成 パネルで、保護ポリシーを設定します。

   Security Center は、デフォルトの保護ポリシーを提供しています。単一サーバーで 10 分以内に 80 回を超えるログイン失敗が検出された場合、送信元 IP アドレスを 6 時間ブロックします。対象サーバーを選択することで、このデフォルトポリシーを直接適用できます。また、次の表に記載されているパラメーターを構成して、カスタムポリシーを作成することもできます。

   パラメーター	説明
   [ポリシー名]	保護ポリシーの名前を入力します。
   [防御ルール：]	ポリシーをトリガーする条件を指定します。指定された時間内にログイン失敗回数がしきい値を超えた場合、送信元 IP アドレスが指定された期間ブロックされます。例：1 分以内に 3 回を超えるログイン失敗があった場合、IP アドレスを 30 分間ブロックします。
   [保護シナリオ]	必須の防御: RDP ブルートフォース攻撃 および SSH ブルートフォース攻撃。これらのオプションは選択解除できません。 オプションの保護：公開 SQL Server へのブルートフォース。このオプションは、データベースのセキュリティを確保し、機密データを保護するのに役立ちます。 重要 この保護シナリオを有効にするには、SQL Server でログインの監査オプションを有効にする必要があります。詳細については、「SQL Server のログインの監査を有効にする」をご参照ください。
   [デフォルトのポリシーとして設定]	このポリシーをデフォルトとして設定します。これにより、他の保護ポリシーが設定されていないすべてのサーバーに自動的に適用されます。 説明 デフォルトのポリシーとして設定 を選択すると、対応するサーバーを選択してください： セクションでサーバーを選択したかどうかにかかわらず、ポリシーは特定のポリシーが設定されていないすべてのサーバーに適用されます。
   [対応するサーバーを選択してください：]	このポリシーを適用するサーバーを選択します。Security Center によって保護されているサーバーを選択するか、サーバー名または IP アドレスでサーバーをフィルターできます。

6. OK をクリックします。

   重要

   各サーバーには、ブルートフォース攻撃に対する保護ポリシーを 1 つのみ設定できます。

   • このポリシーで選択したサーバーに既存のポリシーがない場合、新しいポリシーが正常に適用されます。

   • 選択したサーバーにすでにポリシーが設定されており、新しいポリシーに置き換える場合は、防御ルール変更の確認 ダイアログボックスで OK をクリックします。

   • 以前のポリシーの対象だったサーバーに新しいポリシーを適用すると、以前のポリシーで保護されているサーバーの数が減少します。

システムルールの管理

システムルールは、保護ポリシーがトリガーされたときに自動的に生成される IP ブロックルールです。次の手順では、システムルールの表示、有効化、無効化の方法について説明します。

1. セキュリティセンターコンソールにログインします。 左側のナビゲーションペインで、保護設定 > ホスト保護 > ルール管理 を選択します。 コンソールの左上隅で、アセットが配置されているリージョンとして 中国本土 または 中国本土以外 を選択します。

2. ルール管理 ページで、[防御ポリシー] タブをクリックします。

3. システムルール サブタブで、必要に応じて操作を行います。

   • システムルールの表示

     各ルールのブロックされた IP、ポート、適用サーバー、ポリシー名、ブロックメカニズム、有効期限、およびステータスを確認できます。セキュリティセンターは、クライアントのインストール状況に基づいて適切なブロックメカニズムを自動的に選択します：

     • [Security Center]：ログイン試行をブロックするために、セキュリティセンターエージェントを優先的に使用します。このメカニズムは、Security Center の Advanced、Enterprise、または Ultimate エディションをご利用で、かつ 悪意のあるネットワーク行動からの保護 スイッチが有効になっている場合に自動的に使用されます。悪意のあるネットワーク行動からの保護 スイッチを有効にする方法については、「プロアクティブ防御」をご参照ください。

     • [ECS セキュリティグループ]: このブロックルールを有効にすると、セキュリティグループに対応するルールが自動的に作成されます。ルールは、有効期限切れまたは無効化されると自動的に削除されます。

   • システムルールの有効化

     IP アドレスを引き続きブロックするには、ステータス 列のスイッチをオンにしてルールを有効にできます。ルールを再度有効にすると、その時点から有効期間が 2 時間に延長されます。

   • システムルールの無効化

     ブロックされたログイン試行が誤検知であることを確認した場合、IP ブロックルールを無効にしてアクセスを許可できます。ルールを無効にするには、ステータス 列のスイッチをオフにします。ルールが無効になってから約 1 分後に、その IP アドレスはサーバーに再度アクセスできるようになります。

カスタムルールの管理

ビジネスニーズに基づいて、悪意のある IP アドレスがクラウド資産にアクセスするのをブロックするカスタム IP ブロックルールを作成できます。

1. Security Center コンソールにログインします。

2. 左側のナビゲーションペインで、保護設定 > ホスト保護 > ルール管理を選択します。 コンソールの左上隅で、アセットが配置されているリージョンとして中国本土 または 中国本土以外 を選択します。

3. ルール管理 ページで、[防御ポリシー] タブをクリックします。

4. カスタムルール サブタブで、必要に応じて操作を実行します。

   • カスタム IP ブロックルールの作成

     1. セキュリティセンターにクラウドリソースへのアクセスを承認していない場合は、今すぐ権限付与 をクリックします。

        承認の詳細については、「Security Center のサービスリンクロール」をご参照ください。

     2. ホワイトリストルール作成をクリックします。 IP ブロックポリシーの作成 パネルで、パラメーターを設定し、OK をクリックします。

        パラメーター	説明
        [ブロックオブジェクト]	ブロックする IP アドレスを入力します。
        [すべてのアセット]	IP ブロックルールを適用するサーバーを選択します。複数のサーバーを選択できます。また、サーバー名または IP アドレスで特定のサーバーを検索することもできます。
        [ルール方向]	ブロックするトラフィックの方向を設定します。インバウンド または アウトバウンド を選択できます。
        [所属セキュリティグループ]	IP ブロックルールのセキュリティグループを指定します。デフォルトは Security Center ブロックグループ です。ルールが有効になると、対応するルールがこのセキュリティグループに自動的に作成されます。ルールは、有効期限が切れたとき、または無効になったときに自動的に削除されます。
        [有効期限]	ルールの有効期間を設定します。ルールの期限が切れると、ステータスは無効に変わります。

        カスタム IP ブロックルールを作成すると、そのステータスはデフォルトで無効になります。ルールを有効にするには、手動で有効化する必要があります。

   • カスタム IP ブロックルールのリストと詳細の表示

     カスタムルール サブタブでは、各ルールのブロックされた IP、有効なサーバー数、有効期限、ルールの方向、およびステータスを表示できます。ルールの [操作] 列にある [詳細] をクリックすると、有効なサーバーのリストを表示できます。また、[無効]、[有効]、[有効化中]、[有効化に失敗] などのステータスでサーバーリストをフィルターすることもできます。

   • カスタム IP ブロックルールの編集

     編集するルールを見つけ、操作する 列の 編集 をクリックします。IP ブロックポリシーの編集 パネルで、有効なアセットと有効期限を変更できます。Security Center は、IP ブロックルールに変更を適用します。

     [Disabled] ステータスの IP ブロックルールのみ編集できます。有効なルールを編集するには、まず無効化する必要があります。

   • IP ブロックルールの有効化または無効化

     ブルートフォース攻撃のリスクがある IP アドレスに対して IP ブロックルールを有効にできます。ルールが正当なトラフィックをブロックしていることを確認した場合は、無効化できます。ルールが無効になると、Security Center は指定された IP アドレスからサーバーへのアクセスをブロックしなくなります。

     • 有効化: ステータス スイッチをオンにし、IPブロックポリシーの有効化 ダイアログボックスで OK をクリックします。ルールが有効になり、そのステータスは [有効化中] に変わります。ルールが適用されるサーバーが多いほど、「有効化中」のステータスが長く続きます。ルールが有効になると、Security Center はルールで定義されている不正なトラフィックをブロックします。以下は、ルールを有効にした後に表示される可能性のあるステータスの一部です。

       • [起動の異常]: ブロックルールは、適用対象のすべてのサーバーで有効化に失敗しました。

       • [一部成功しました]：ブロックルールは、一部の適用対象サーバーでは正常に有効化されましたが、すべてのサーバーで有効化されたわけではありません。

       ルールの操作列にある詳細をクリックすると、その有効なサーバーの詳細を表示できます。有効サーバー パネルでは、「有効化に失敗」ステータスのサーバーの操作する列にある再試行をクリックして、ルールの有効化を再試行できます。

       説明

       有効期限が切れたカスタム IP ブロックルールを有効にすると、有効期限は再有効化時点から 2 時間延長されます。有効期限を変更する必要がある場合は、有効にする前にルールを編集してください。

     • [無効]: ステータス スイッチをオフにし、IP ブロックポリシーの無効化 ダイアログボックスで OK をクリックします。IP ブロックルールが無効になり、そのステータスが 無効 に変更されます。Security Center は、ルールで指定された IP アドレスからのアクセスをブロックしなくなります。

   • カスタム IP ブロックルールの削除

     ステータスが 無効 のルールは削除できます。対象ルールの「操作」列で 削除 をクリックし、確認ダイアログボックスで OK をクリックします。

SQL Server のログインの監査を有効にする

SQL Server ブルートフォース攻撃に対する保護を有効にするには、まず SQL Server でログインの監査を有効にして、成功した認証試行と失敗した認証試行の両方を記録する必要があります。この情報をログに記録することは、パスワード推測攻撃を検出して確認するために不可欠です。次の手順に従います。

1. SQL Server Management Studio を開き、SQL Server インスタンスに接続します。

2. 左側の[オブジェクト エクスプローラー] ウィンドウで、お使いの SQL Server インスタンスを見つけて右クリックし、[プロパティ] を選択します。

3. [サーバーのプロパティ] ダイアログボックスの左側のナビゲーションペインで、[セキュリティ] ページをクリックします。

4. [セキュリティ] ページの [ログインの監査] セクションで、[失敗したログインと成功したログインの両方] オプションを選択します。

5. OK をクリックし、SQL Server インスタンスを再起動すると変更が有効になります。

ポート公開後のブルートフォース攻撃の確認

Windows サーバーの RDP ポート 3389 がインターネットに公開されている場合、[イベント ビューアー] を使用して、サーバーがブルートフォースログイン攻撃を受けたかどうか、または不正なユーザーアカウントが作成されたかどうかを調査できます。

[前提条件]：リモートデスクトップまたは別のリモートアクセス方法を使用して、Windows インスタンスにログオンします。

[手順]：

1. Windows 検索バー、または [ファイル名を指定して実行] ダイアログボックス ([Win+R] を押す) で、eventvwr と入力し、[Enter] を押して [イベント ビューアー] を開きます。

2. [イベント ビューアー] で、左側のナビゲーションペインの [Windows ログ] を展開し、[セキュリティ] をクリックします。

3. ブルートフォース攻撃を確認するには：[セキュリティ] ログで、イベント ID [4625] (アカウントのログオン失敗) をフィルターまたは検索します。短時間に大量のイベント ID 4625 エントリが存在することは、ブルートフォース攻撃が発生したことを強く示しています。

4. 不正なアカウント作成を確認するには：[セキュリティ] ログで、イベント ID [4720] (ユーザーアカウントの作成) をフィルターまたは検索します。このイベントは、サーバーに新しい Windows ユーザーアカウントが作成されたことを示しており、不正なアクセスを示している可能性があります。

5. (オプション) より包括的な調査を実行するには、[Windows ログ] の [システム] および [アプリケーション] ログも確認して、その他の異常なアクティビティを特定します。