KL system

サイバー攻撃される

by 唐草 [2015/06/19]

　風呂に入る前にサーバ室のネットワークアクセスランプが目に入った。夜中なのに400mを走りきったランナーの鼓動のような勢いで点滅をしている。この時間はWebへのアクセスが落ち着いているので、通常のアクセスとは思えない。イヤな予感でぼくの鼓動も早くなる。
　風呂に入るのはやめて、タブレットからサーバにログインをする。topコマンドを打って実行中のプロセスを確認する。なにか得体の知れないプログラムが動いている様子はない。そのままプロセスの監視をしていると気になる挙動が見て取れた。
　sshd(リモートログイン)が、いくつか動いている。1つは、ぼく自身がログインしているプロセスだ。では他のプロセスはいったい何なんだ？
　あれっ？これってひょっとして不正侵入されていないか？なんかディスクアクセスのランプも激しく点滅している。これもイヤな兆候だ。
　どうするべきか？
　最強の物理防御策であるLANケーブル抜きを行うか？いや、まだsshで侵入されただけかもしれない。ケーブルを引き抜くのは早い。素直にsshdを停止しよう。これをリモートで行うと面倒なのでサーバ実機に直接ログインしてプロセスを停止させた。その瞬間、ネットワークアクセスランプもディスクアクセスランプも輝きを失った。いつもの穏やかなサーバ室の夜が戻った。
　やはり本当に侵入されていたのかもしれない。だとしたら誰がどこから侵入したのだろう？
　sshdのログファイルを確認する。
　grepコマンドを打ってこの一週間のsshログインの成功件数を表示させる。
　画面には、"1"とだけ表示されている。これは、さっきぼくが確認のためにログインしたものだろう。確認のために再ログインをしたら、成功数は2に変わった。
　よかった。少なくともログ上では不正アクセス成功の証拠はない。どうやら無事だったようだ。
　では、アクセス失敗の件数はどれぐらいなのだろう。再びgrepコマンドを打つ。
　目を疑うような件数が返ってきた。画面には、確かに235492件と表示されている。画面を指で触りながら桁を確認する。間違いなく23万件だ。
　激烈に不正ログインを受けている証拠が残されていた。
　ポート22が外向きに開いているので、四六時中攻撃を受けているのだろう。今晩は特に攻撃がひどかったのでアクセスランプが瞬き続けていたということか。

• <<前の記事を読む　
• 　次の記事を読む>>