SSHへの不正アクセス対策をしよう！

サーバをインターネット上に公開すると、不正アクセスを試みようとするアクセスの多さにビックリします。

ブルートフォース(ユーザ名、パスワードなどを総当りで試し、解読しようとする暗号解読方法の１つ)対策として有効な手段のひとつは、サーバにアクセスさせないことです。

ここでは、SSHへの不正アクセスを拒否する手順を掲載しています。

接続元が固定の場合

接続元のIPアドレスが固定の場合は簡単で、サーバへのアクセスを許可する場合はhosts.allowに、拒否する場合はhosts.denyを編集します。

hosts.allow、hosts.denyの設定

SSHへの接続を許可するホストのIPアドレスが分かっている場合、そのIPアドレスやホスト名をhosts.allowに追加しておきます。

また、それ以外のホストを全て拒否するようhosts.denyに記述しておきます。

この例では、サーバ自身とLAN内からのみ接続を許可しています。

[root@co ~]# echo "sshd:127.0.0.1" >> /etc/hosts.allow

[root@co ~]# echo "sshd:192.168.11." >> /etc/hosts.allow

[root@co ~]# echo "sshd:ALL" >> /etc/hosts.deny

もし外部から接続をしたい場合も同様に、hosts.allowにIPアドレスやホスト名を追加すれば可能です。

接続元が非固定の場合

もし接続元のIPアドレスやホスト名がコロコロ変わってしまい、１つに定まらない場合(外出先からやスマートフォンなどからのアクセスの場合)は別の方法で行います。

今回はDenyHostsを使った対策をご紹介します。

DenyHosts

接続元IPアドレスが変動する場合、hosts.denyの設定が出来ないので、このままだと攻撃され放題になってしまいます。

そこで、DenyHostsというソフトウェアを使って疑わしいアクセスを拒否してもらうことにします。

DenyHostsのインストール

それでは早速インストールしていきましょう。DenyHostsは公式のリポジトリにないので、EPELリポジトリを使ってインストールします。

EPELリポジトリの設定をしていない方は初期設定ページをご覧ください。

[root@co ~]# yum -y --enablerepo=epel install denyhosts

Loaded plugins: downloadonly, fastestmirror, security
Loading mirror speeds from cached hostfile
* base: ftp.iij.ad.jp
* epel: ftp.iij.ad.jp
* extras: ftp.iij.ad.jp
* updates: ftp.iij.ad.jp
base                                                     | 1.1 kB     00:00
epel                                                     | 3.6 kB     00:00
epel/primary_db                                          | 3.8 MB     00:01
extras                                                   | 2.1 kB     00:00
updates                                                  | 1.9 kB     00:00
Setting up Install Process
Resolving Dependencies
--> Running transaction check
---> Package denyhosts.noarch 0:2.6-5.el5 set to be updated
--> Finished Dependency Resolution

Dependencies Resolved

================================================================================
Package Arch Version Repository Size
================================================================================
Installing:
denyhosts noarch 2.6-5.el5 epel 98 k

Transaction Summary
================================================================================
Install       1 Package(s)
Upgrade       0 Package(s)
Total download size: 98 k
Downloading Packages:
denyhosts-2.6-5.el5.noarch.rpm                           |  98 kB     00:00
警告: rpmts_HdrFromFdno: ヘッダ V3 DSA signature: NOKEY, key ID 217521f6
epel/gpgkey                                              | 1.7 kB     00:00
Importing GPG key 0x217521F6 "Fedora EPEL <epel@fedoraproject.org>" from /etc/pki/rpm-gpg/RPM-GPG-KEY-EPEL
Running rpm_check_debug
Running Transaction Test
Finished Transaction Test
Transaction Test Succeeded
Running Transaction
  Installing     : denyhosts                                                1/1

Installed:
denyhosts.noarch 0:2.6-5.el5

Complete!