MS SQL Server のブルートフォース攻撃対策

• 保護について
• SQL Server のログイン監査を有効にする
• MS SQL Server 保護を設定する

RdpGuard は Windows の Application ログを監視し、SQL Server をパスワード推測から保護します。ログイン失敗または検出したスキャンの回数がしきい値に達すると、IP をブロックします。

SQL Server をホストする Windows マシンで RdpGuard を実行します。ログイン監査を有効にし、監視するイベント 18456、17832、17836 を選択してください。

1. SQL Server Management Studio を開き、インスタンスに接続します。

2. Object Explorer でサーバーを右クリックし、Properties を選択します。

   

3. Security を選択します。Login auditing で Failed logins only または Both failed and successful logins を選びます。

   

4. OK をクリックし、SQL Server インスタンスを再起動して監査を適用します。

   再起動するとデータベースの接続中のセッションが切断されるため、適切なタイミングで実施してください。

Microsoft のログイン監査の手順もご覧ください。

1. RdpGuard ダッシュボードを開き、監視対象のプロトコルで MS-SQL をクリックします。

   

2. MS-SQL 保護を有効にするをオンにし、監視するイベントを選んで保存をクリックします。

   

監視するイベント

既定では、次の 3 つのイベントがすべて有効です。

• 18456 - ログイン失敗。繰り返しの失敗を検出するため、有効のままにしてください。入力ミスやアプリの設定不備でも発生します。
• 17832 - 無効なログインパケット。SQL Server がクライアントのパケットを処理できませんでした。スキャンや設定の問題を示す場合があります。
• 17836 - パケット長の不一致。宣言された長さと受信データが一致しません。RdpGuard はこのイベントをスキャンとしてカウントします。

イベント ID 18456 の除外

18456 として記録される、原因を把握した正当な失敗を無視するには除外を使用します。Reason フィールドから特徴的な文字列をコピーしてください。

1. MS-SQL 設定で、イベント ID 18456 の横にある除外...をクリックします。

   

2. 1 行に 1 つのパターンを入力し、OK をクリックします。

   

3. MS-SQL 設定で保存をクリックして除外を適用します。

比較では大文字と小文字を区別します。パターンは文字どおりに解釈され、* と ? はワイルドカードではありません。イベントのいずれかのデータ値にパターンが含まれると、そのイベントを無視します。

Reason 以外のフィールドにも一致する可能性があるため、短い文字列や一般的な表現は避けてください。この除外は 18456 にだけ適用され、17832 と 17836 には適用されません。