Web サイトへの脆弱性スキャンを抑制

Windows 上で Microsoft IIS や Apache HTTP Server を運用していると、サイトに関係のないページやファイルへの反復リクエストを目にすることがあります。

ASP.NET サイトへの PHP スクリプト要求、WordPress を使わないサイトへのログインページ探索、Windows 上の Linux システムファイル探索などが典型例です。多くはアクセスログに 404 (Not Found) を残します。

自動スキャナーは、脆弱なアプリケーション、公開された認証情報、放置されたバックアップを探して大量の URL を試します。対象ソフトウェアを使っているかどうかに関係なく、多数のサーバーへ同じ探索を行います。

以下は Web ログの一部のフィールドです。最初の例は、AWS 認証情報を含む可能性のあるファイルへの反復リクエストです:

Time      Method  URI                      Client IP
22:37:04  GET     /.aws/credentials        195.201.239.198
22:37:25  GET     /.aws/credentials        206.189.134.134
22:37:25  GET     /.aws/credentials        206.189.134.134
01:29:13  GET     /.aws/credentials        20.242.91.172
19:42:29  GET     /.aws/credentials        35.175.99.115
23:19:28  GET     /.aws/s3cfg              45.32.147.219
23:19:28  GET     /.aws/.secrets.json      45.32.147.219

次は、クエリ文字列によるディレクトリトラバーサルの試行です。Unix 系システムで一般的な /etc/passwd への複数の経路を試しています:

Time      Method URI Query                     Client IP
12:04:20  GET    /   data1=../etc/passwd       50.53.64.180
12:04:20  GET    /   data1=../etc/passwd%00    50.53.64.180
12:04:21  GET    /   data1=../../etc/passwd    50.53.64.180
12:04:21  GET    /   data1=../../etc/passwd%00 50.53.64.180

探索が失敗しても、CPU 時間、メモリ、帯域幅、ログ領域を消費します。最新のサーバーでも、同じ送信元の要求を拒否する処理にリソースを使い続けます。

RdpGuard は、この反復的な通信を抑えます。IIS / Apache ログでルールに一致する要求を識別し、しきい値に達すると送信元 IP を一時的にブロックします。ブロック中、その送信元は探索を続けられません。

標準ルールは、認証情報やリポジトリでよく使うパスを検出し、繰り返す 404 をまとめて検出します。独自のパスやクエリ用ルールも作成できます。たとえば上記の探索が他のルールに一致しなければ、適切な Query ルールが必要です。不審なログが、どのルールセットでも自動的に対象になるわけではありません。

Web サーバー、CMS、プラグインを最新に保ち、認証情報や非公開バックアップを公開フォルダーの外に置いてください。スキャナーのブロックは補完策であり、公開されたファイルやアプリケーションの脆弱性を修正するものではありません。

IIS / Apache の HTTP 保護の有効化と設定 - ログフォルダー、検出ルール、ブロックしきい値を設定。

リバースプロキシの背後では、クライアントの特定とブロックに追加設定が必要です。プロキシと X-Forwarded-For の設定を参照してください。