不正アクセスに関するニュースを見て、自分が運用しているVPSにもどのようなログイン試行が届いているのか気になりました。 そこで、Fail2banの状態やメールサーバーのログを調べ、実際の状況に合わせて設定を見直しました。 ■ログから見えた不正ログイン試行 確認した時点のFail2banのカウンターは、SSHで失敗3,444件・BAN 110件、Postfixで失敗239件・BAN 29件、Dovecotで失敗277件・BAN 29件でした。 また、別途集計した過去7日間のSMTP AUTH失敗は246回でした。 これらは確認時点の記録です。 Fail2banのカウンターとSMTP AUTHの集計では期間や数え方が異なるため、数値を単純に比較することはできません。 それでも、SSHだけでなくメールサービスにも、継続的に不正ログインが試みられていることが分かりました。 ■同じ接続元からの再試行に備える 従来の設定では、PostfixとDovecotで10分間に5回認証に失敗すると、その接続元を1時間BANしていました。 ログを確認したところ、同じ接続元から試行が繰り返されるケースへの対策を強化できる余地がありました。 そこで、PostfixとDovecotにBAN時間を段階的に延長する設定を加えました。 再試行があった場合にBAN時間を延ばし、最大1日までとする設定です。 設定変更後、サービスを再起動し、新しい設定値が読み込まれていることを確認しました。 ■設定の効果はこれから確認 設定値が読み込まれたことは確認できましたが、再試行によってBAN時間が意図どおりに延長されるかは、まだ実地検証できていません。 今回の変更が今後の攻撃にどの程度効果を発揮するか、ログを見ながら確認していく予定です。 また、攻撃元が試行ごとに異なるIPアドレスを使う場合は、同じIPアドレスへのBAN時間を延ばすだけでは対応しきれません。 Fail2banだけに頼らず、SSHの認証設定やファイアウォール、メールサーバーの設定も含めて、サーバー全体を継続して確認していきます。