Microsoft VPN (RRAS) 保護の設定

Microsoft VPN (RRAS) 保護は、Windows ログの VPN 認証失敗と IPsec ネゴシエーション失敗を監視します。設定したしきい値に達すると送信元 IP をブロックします。次の 2 つのイベントを監視します。

• System ログ, RemoteAccess, イベント ID 20271 - RRAS の認証失敗。
• Security ログ, イベント ID 4652 - IPsec メインモードのネゴシエーション失敗。Negotiation timed out と判定されたイベントは自動的に無視されます。

VPN サーバーの Event Viewer, Windows Logs で System と Security を確認します。対応する各イベントに有効なリモート IP が必要です。4652 を記録するには、サーバーに適用するポリシーの Advanced Audit Policy Configuration, Logon/Logoff で Audit IPsec Main Mode の Failure 監査を有効にします。Microsoft の IPsec 監査ドキュメントをご覧ください。

1. RdpGuard ダッシュボードを管理者として実行します。監視対象のプロトコルで MS-VPN をクリックします。この保護は既定では無効です。

   

2. MS VPN 保護を有効にするをオンにし、保存をクリックします。RdpGuard は設定を保存し、サービスを自動的に再起動します。

   

しきい値やブロック期間を変更するには、ツール, オプション, 全般を開きます。許可リストも適用されます。既定では対象 IP のすべてのポートをブロックします。ポート別のブロックを使用する場合は、遮断したい VPN トラフィックのポートを含めてください。

IP が検出されない場合は、新しいイベント 20271 または 4652 を探し、リモート IP と失敗理由を確認します。検出されてもブロックされない場合は、しきい値、許可リスト、除外を確認してください。エラーと除外したイベントは表示, イベントログを表示に表示されます。

除外は、一致する VPN イベントをカウント前に無視します。原因を把握しており、ブロック対象にすべきでない特定の失敗にだけ使用してください。MS VPN 設定でMS VPN 保護を有効にするをオンにし、除外...をクリックします。ルールを入力し、OK、保存の順にクリックして適用します。

ルールの構文

• 1 行に 1 つのルールを入力します。いずれかの行に一致するとイベントを除外します (OR)。
• 条件はカンマで区切ります。同じ行のすべての条件に一致する必要があります (AND)。
• 値が一致する条件には =、異なる条件には != を使用します。どちらの場合もフィールドが存在する必要があります。
• ワイルドカード * は任意の文字列に一致します。

次の例は、RemoteAccess のユーザーと IP の組み合わせ、または同じアドレスからの IPsec ポリシー不一致を除外します。

IpAddress=203.0.113.25,TargetUserName=vpn-user
RemoteAddress=203.0.113.25,FailureReasonShort=PolicyMatchError

1 行目はイベント 20271、2 行目はイベント 4652に対応します。確認済みのイベントの値に置き換えてください。その IP からの他の失敗は、別の除外や許可リストに一致しない限り引き続き検出されます。

除外条件は具体的に指定してください。攻撃者も既知のユーザー名を使用できるため、名前だけのルールは攻撃も無視します。FailureReason=*password combination* のような広い条件は、すべての送信元の一般的なパスワード失敗を無視します。必要な条件を同じ行に組み合わせてください。

イベント ID 20271, RemoteAccess

Windows はこのイベントのデータを位置で管理します。RdpGuard はルール用に次の名前を追加します。元の XML にこれらの別名はありません。元の値が存在し、空でない場合にだけフィールドを使用できます。

• ConnectionId または SessionId - 接続またはセッションの識別子。
• User - Windows が記録したユーザー。例: domain\vpn-user。
• TargetDomainName - domain\user 形式の値のドメイン。
• TargetUserName - バックスラッシュの後の名前。ドメイン接頭辞がない場合は値全体。user@example.net 形式の値はそのまま保持します。
• IpAddress または IPString - リモート IP アドレス。
• FailureReason または Reason - 認証失敗の理由。
• ErrorCode - Windows が記録したエラーコード。
• Binary - バイナリデータ (存在する場合)。

イベント ID 4652, IPsec

このイベントでは、RdpGuard は Windows の XML 内の名前付きフィールドを使用します。主なフィールドは次のとおりです。

• RemoteAddress - リモート IP。IPsec の除外で使用します。
• LocalAddress - ローカルエンドポイントの IP。
• RemoteMMPrincipalName - メインモードのネゴシエーションのリモートプリンシパル (取得できる場合)。
• FailureReason - Windows が記録した失敗理由。
• FailureReasonShort - RdpGuard が追加する正規化済みの理由。例: PolicyMatchError、IKEAuthCredentialsUnacceptable。不明な理由には Unknown を使用します。

元の名前と値を確認するには、イベントビューアーでイベントを開き、Details, XML View の EventData を確認します。FailureReasonShort は RdpGuard 内だけに存在します。対象イベントのフィールドを使用してください。20271 の別名 IpAddress は 4652 には追加されません。