目次

概要 †

2017/8/12に実施した不正アクセス元調査と対処について。

↑

経緯 †

サイトへのアクセス解析には長らくAWStatsを仕様しており、日次で前日分のログの解析を行っており、今回はアクセス元アドレスのリストに以下の様な解析結果が出たことを契機に対策を実施することとした。

アドレスページヒットバイト最後の訪問
5.62.158.14725625610.49 Mｂ2017年 8月 08日 - 01:30
181.214.37.16325525510.51 Mｂ2017年 8月 10日 - 07:29
146.185.204.4025525510.51 Mｂ2017年 8月 10日 - 21:12
95.181.218.3425525510.51 Mｂ2017年 8月 10日 - 03:33
79.110.28.13625525510.51 Mｂ2017年 8月 11日 - 17:04
185.14.193.18525525510.51 Mｂ2017年 8月 10日 - 02:14
91.200.83.7025525510.51 Mｂ2017年 8月 09日 - 02:30

綺麗に254〜256回のアクセスの後、異なるアドレスからアクセスしてきている形跡が200アドレス程あり、繰り返し脆弱性を突く試みをしているとみられます。

↑

調査 †

アクセス元のアドレスから、24bit単位でセグメントを切り出し、どの国に割り当てられたアドレスかを調査した。

http://cc.wariate.jp/

上記のサイトで国情報を取り出すことができるため、こちらにリストを放り込んで調査した結果が以下の表となる。

  • 国コード
    RU　→　ロシア
    UA　→　ウクライナ
    CL　→　チリ

  • 攻撃元アドレスの分析結果
    アドレス帯国コード
    146.185.204.0RU
    178.57.66.0RU
    181.214.37.0CL
    185.101.70.0RU
    185.14.193.0UA
    185.46.85.0RU
    185.71.0.0UA
    185.71.1.0UA
    185.71.2.0UA
    185.71.3.0UA
    191.96.164.0CL
    193.105.171.0UA
    5.189.205.0RU
    5.189.206.0RU
    5.189.207.0RU
    5.62.153.0RU
    5.62.156.0RU
    5.62.158.0RU
    79.110.28.0UA
    91.200.83.0UA
    95.181.218.0RU
    95.85.81.0RU

↑

対策 †

無駄な攻撃ログはアクセス解析の邪魔になる上、万が一攻撃が成功した場合の危険性に備えてUTM装置にアクセス拒否の設定を入れて対処する。

↑

FortiGate 60Dでの設定手順 †

  • 1. 拒否するアドレスの登録
    [ポリシー&オブジェクト]の[アドレス]に拒否するアドレスを全て登録する(24bit単位)
  • 2. ポリシー
    [ポリシー&オブジェクト]で以下の設定を行う
    入力インターフェイスinternet接続のIF
    出力インターフェイスWebサーバが接続しているIF
    送信元拒否登録したアドレス全て
    送信先Webサーバに割り当てたVIP
    スケジュールalways
    サービスall
    アクションDENY
トップ   編集 凍結 差分 ﾊﾞｯｸｱｯﾌﾟ 添付 複製 名前変更 リロード   新規 一覧 検索 最終更新   ヘルプ   最終更新のRSS
Last-modified: 2017-08-12 (土) 23:13:22 (2449d)