MS SQL Server のブルートフォース対策

MS SQL Server へのブルートフォース攻撃を阻止

Microsoft SQL Server を使用している方なら、SA アカウントへのブルートフォース攻撃をご存じでしょう。インターネットに公開されたサーバーには、自動化された試行が絶えず届くことがあります。

SQL アカウントが侵害されると、データの漏えいや破壊につながります。SA アカウントは SQL Server の完全な制御権を持ちます。さらに、サービスの Windows 権限によっては、ローカルやネットワーク上のファイルにもアクセスされる可能性があります。

SQL Server がリモート接続を受け付ける場合、ログに数千件の失敗が記録されることがあります。次の抜粋では、1 秒未満に 5 回の試行が発生しています。

Date and time             Error      Login       Client IP
2020-02-03 09:45:29.31    18456      sa          61.12.74.190
2020-02-03 09:45:29.42    18456      mssqla      112.53.236.114
2020-02-03 09:45:29.48    18456      sa          61.12.74.190
2020-02-03 09:45:29.73    18456      sa          61.12.74.190
2020-02-03 09:45:30.08    18456      sa          61.12.74.190

SQL Server エラーログの抜粋: 繰り返されるログイン失敗。

Windows の Application ログにも、これらの失敗が ID 18456 で記録されることがあります。SA の失敗例:

Log Name:  Application
Source:    MSSQL$SQLEXPRESS
Event ID:  18456

Description:
Login failed for user 'sa'.
Reason: Password did not match that for the login provided.
[CLIENT: 58.221.64.70]

SQL Server イベント 18456: クライアント IP を含む SA のログイン失敗。

不明な IP からの失敗が繰り返される場合、誰かがサーバーへの侵入を試みている可能性があります。こうした攻撃は CPU、メモリ、帯域幅も消費します。

RdpGuard は MS SQL サーバーをブルートフォース攻撃から保護します。

Windows の Application ログで失敗を監視します。同じ IP からの失敗が設定したしきい値 (既定では 3 回) に達すると、攻撃元のアドレスをブロックします。

64 ビット版 Windows / Windows Server 対応。対応 Windows バージョン。

MS SQL Server へのブルートフォース攻撃を阻止

関連情報