Windows の OpenSSH 保護の設定

Windows 向け OpenSSH 保護の設定

OpenSSH 保護は Windows の SSH 認証失敗を監視し、設定したしきい値に達すると送信元 IP を一時的にブロックします。OpenSSH Server をホストするマシンで RdpGuard を実行し、以下の手順で保護を有効にしてください。

RdpGuard ダッシュボードを管理者として実行します。監視対象のプロトコルで、状態が無効の OpenSSH をクリックします。
無効になっている OpenSSH をクリックして保護を有効にします。
設定の保存とサービスの自動再起動を待ちます。状態が有効になります。このボタンは保護を直接切り替えるため、もう一度クリックすると無効になります。

しきい値やブロック期間は、ツール, オプション, 全般で変更します。信頼できる IP の許可やブロック通知の設定もできます。

OpenSSH イベントの検出を確認する

OpenSSH は認証を Event Viewer, Applications and Services Logs, OpenSSH, Operational に記録します。RdpGuard の OpenSSH 保護はこのログを使用します。

代表的なメッセージは Failed password と Invalid user です。

sshd: Failed password for invalid user test2 from 120.224.50.233 port 57821 ssh2
Invalid user admin from 203.0.113.25 port 51957

OpenSSH Server がインストールされ実行中であること、OpenSSH, Operational が存在し有効であることを確認します。保護を有効にした後に OpenSSH をインストールした場合は、RdpGuard サービスを再起動して新しいログを監視します。
上記のメッセージを含む新しいイベント ID 4を確認します。RdpGuard は OpenSSH/Operational の新しいイベントを読み取ります。イベント 4625 が存在するだけでは、このモジュールの検出を確認できません。
OpenSSH がファイルだけに出力している場合は、%ProgramData%\ssh\sshd_config の SyslogFacility を確認します。LOCAL0 は、このモジュールが読み取らないファイルに出力します。既定値 AUTH は Windows イベントを使用します。変更後は OpenSSH を再起動してください。Microsoft の OpenSSH ログに関するドキュメントをご覧ください。
IP が検出されてもブロックされない場合は、しきい値と許可リストを確認します。エラーは表示, イベントログを表示で確認できます。

現在のパーサーは、これらのメッセージの IPv4 アドレスを認識します。既定では、ブロックした IP からすべてのポートへのアクセスを遮断します。ポート別のブロックを使う場合は、SSH ポート (通常は 22) または独自のポートを含めてください。