サーバーに大量の不正アクセス。SSHのポート変更とfail2banで対策しました

きっかけ

自分のサーバーはブログしか置いていないし、誰も不正アクセスなんてしてこないだろうと、甘く考えていました。

ところが、何気なくサーバーのログ（/var/log/auth.log）を見てみると、SSHやFTPに大量のアクセスが来ていました。不正アクセスをする人は、どこにでも来るんですね。当たり前ですが……。

私のように甘く考えている人のサーバーが踏み台にされて、ほかのサーバーへの攻撃に使われ、大きな問題になるんだと思います。反省しました。ほかの人に迷惑をかける前に、対策します。

どう対策するか

考えた方法は3つです。

• SSHに接続できるIPアドレスを制限する
• SSHのポートを変える
• fail2banを入れる（決まった回数ログインに失敗したIPアドレスを、一定の時間アクセスできないようにするソフト）

接続する側のIPアドレスが毎回変わる環境なので、IPアドレスの制限はかけられません。そこで、ポートの変更とfail2banの導入で対策することにしました。

1. SSHのポートを変える

/etc/ssh/sshd_config を開きます。

sudo vi /etc/ssh/sshd_config

次のところを変えます。番号は、ほかで使われていない好きな番号にします。

Port 22
↓
Port 9292

SSHを再起動します。

sudo /etc/init.d/ssh restart

これだけです。簡単でした。

2. fail2banを入れる

sudo apt-get update
sudo apt-get install fail2ban

基本はこれだけでよいと思います。あとは、OSの起動時に自動で起動するようにしておきます。

その後

ログを見ても、SSHへのアクセスはなくなりました。fail2banのログを見ると、SMTPなどへのアクセスもきちんとブロック（ban）できているようです。

不正アクセスは他人事ではないと分かったので、できる限りの対策はしておいたほうがいいと思います。