Windows の OpenSSH ブルートフォース対策

OpenSSH は SSH、SFTP、SCP による暗号化されたリモートアクセスとファイル転送を提供します。Windows では、Windows、Linux などとの管理接続やファイル交換に利用できます。Windows 10 ビルド 1809 と Windows Server 2019以降は Windows のコンポーネントとして提供されています。

SSH をインターネットに公開すると、数秒で自動化された試行が届くこともあります。ポート 22 のサーバーはよく狙われます。ボットは認証情報を絶えず試し、ログを埋め尽くします。暗号化は通信を保護しますが、パスワード推測の試行を防ぐものではありません。

Windows の Security ログから、その規模が分かることがあります。この例では ID 4625 のフィルターで 9021 件が表示され、選択したイベントの呼び出し元プロセスは sshd.exe です。

Date and time        Source                               Event ID  Task Category  Keywords
2021-08-15 07:08:19  Microsoft Windows security auditing  4625      Logon          Audit Failure
2021-08-15 07:08:04  Microsoft Windows security auditing  4625      Logon          Audit Failure
2021-08-15 07:07:55  Microsoft Windows security auditing  4625      Logon          Audit Failure
2021-08-15 07:07:54  Microsoft Windows security auditing  4625      Logon          Audit Failure
2021-08-15 07:07:54  Microsoft Windows security auditing  4625      Logon          Audit Failure
2021-08-15 07:07:54  Microsoft Windows security auditing  4625      Logon          Audit Failure

Windows の Security ログの抜粋: 繰り返されるログイン失敗。

Log Name:      Security
Source:        Microsoft Windows security auditing
Event ID:      4625
Logged:        8/15/2021 7:07:55 AM
Task Category: Logon
Keywords:      Audit Failure

Account Name:  NOUSER

Failure Information:
  Failure Reason: Unknown user name or bad password.
  Status:         0xC000006D
  Sub Status:     0xC0000064

Process Information:
  Caller Process ID:   0xec0
  Caller Process Name: C:\Windows\System32\OpenSSH\sshd.exe

イベント 4625 のフィールド: sshd.exe が開始したログインの失敗。

多数の認証情報で失敗が繰り返されるのは、自動試行の典型的な兆候です。単発の失敗は入力ミスでも発生します。RdpGuard は OpenSSH Operational ログを監視し、設定したしきい値に達すると送信元 IP を一時的にブロックします。ブロック中の試行を阻止し、繰り返しの認証トラフィックを減らします。

64 ビット版 Windows / Windows Server 対応。対応 Windows バージョン。

Windows の OpenSSH ブルートフォース対策

関連情報