SMTP のブルートフォース攻撃対策

SMTP (Simple Mail Transfer Protocol) ポートをインターネットに公開すると、ブルートフォース攻撃のリスクが生じます。自動化ツールが認証情報を推測し、SMTP サーバーへの不正アクセスを狙います。

正当なメールアカウントの認証情報が盗まれると、攻撃者にスパムやフィッシングメールを送信されたり、機密情報を盗まれたりするおそれがあります。

組織の SMTP サーバーがスパムやフィッシングに悪用されると、組織の評判を損ない、メールプロバイダーのブロックリストに IP が登録される可能性があります。

Windows Server で SMTP サーバーを運用している場合、ログに次のような行が数千件記録されることがあります。

"91.200.12.125" "SENT: 535 Authentication failed. Restarting authentication process."
"91.200.12.125" "RECEIVED: ***"
"91.200.12.125" "SENT: 535 Authentication failed. Restarting authentication process."
"91.200.12.125" "SENT: 220 mailserver.com ESMTP"
"91.200.12.125" "RECEIVED: EHLO User"
"91.200.12.125" "SENT: 250-mailserver.com[nl]250-SIZE 20480000[nl]250-AUTH LOGIN PLAIN[nl]250 HELP"
"91.200.12.125" "RECEIVED: AUTH LOGIN"
"91.200.12.125" "SENT: 334 VXNlcm5hbWU6"
"91.200.12.125" "RECEIVED: aW52ZW50b3J5"
"91.200.12.125" "SENT: 334 UGFzc3dvcmQ6"
"91.200.12.125" "RECEIVED: ***"
"91.200.12.125" "SENT: 535 Authentication failed."
"91.200.12.118" "SENT: 220 mailserver.com ESMTP"
"91.200.12.118" "SENT: 220 mailserver.com ESMTP"
"91.200.12.118" "RECEIVED: EHLO User"
"91.200.12.118" "SENT: 250-mailserver.com[nl]250-SIZE 20480000[nl]250-AUTH LOGIN PLAIN[nl]250 HELP"
"91.200.12.118" "RECEIVED: EHLO User"
"91.200.12.118" "SENT: 250-mailserver.com[nl]250-SIZE 20480000[nl]250-AUTH LOGIN PLAIN[nl]250 HELP"
"91.200.12.118" "RECEIVED: AUTH LOGIN"
"91.200.12.118" "SENT: 334 VXNlcm5hbWU6"
"91.200.12.118" "RECEIVED: AUTH LOGIN"
"91.200.12.118" "SENT: 334 VXNlcm5hbWU6"
"91.200.12.118" "RECEIVED: bGVnZW5k"
"91.200.12.118" "SENT: 334 UGFzc3dvcmQ6"
"91.200.12.118" "RECEIVED: bGVnZW5k"
"91.200.12.118" "SENT: 334 UGFzc3dvcmQ6"
"91.200.12.118" "RECEIVED: ***"
"91.200.12.118" "SENT: 535 Authentication failed. Restarting authentication process."
"91.200.12.118" "RECEIVED: ***"
"91.200.12.118" "SENT: 535 Authentication failed. Restarting authentication process."

これらの認証失敗は、SMTP サーバーへのブルートフォース攻撃に対応します。弱いパスワードを使っていると、スパム送信者に侵入され、迷惑メールの送信に悪用されてブロックリストに登録されるおそれがあります。

攻撃は帯域幅、CPU、メモリ、ディスク容量といったサーバーのリソースも消費します。SMTP ログが非常に大きくなることもあります。

RdpGuard は SMTP サーバーのブルートフォース対策を支援します。

さまざまな SMTP サーバーソフトウェアで使用でき、SMTP ポートまたはサーバーログを監視してログイン失敗を検出します。

同じ IP からの失敗が設定したしきい値 (既定では 3 回) に達すると、攻撃元の IP アドレスをブロックします。

SMTP のブルートフォース対策を有効にして設定する