brutesshが蔓延？

仕事とプライベート合わせて結構な数のLinuxサーバの管理をしていたりするんですが、しばらく前（７月ごろ？）からほぼ全てのサーバに対してSSHの変なログが残るようになりました。

たとえば、こんな感じです

SSH Failed logins from these^*1
admin/password from xxx.xxx.xxx.xxx: 4 Time(s)
guest/password from xxx.xxx.xxx.xxx: 2 Time(s)
root/password from xxx.xxx.xxx.xxx: 6 Time(s)
test/password from xxx.xxx.xxx.xxx: 4 Time(s)
user/password from xxx.xxx.xxx.xxx: 2 Time(s)

IPが常に変化しているので、変なツールが出回っているということは容易に予測がついたのですが、SSHは欠かさずにアップデートしているし、もともとPassword Authenticationを有効にしていないので、そのままになっていました。

† 正体はbrutessh

KANWAKYUDAI::Blog: SSHによる不正アクセス

LogWatchという解析ツールでほぼ毎日のようにサーバーのログを眺めているんですが、sshによる不正ログインを試みているのが、ここのところほぼ毎日記録されています。IPは毎回変わりますが、ユーザー名として使われるのはadmin、guest、root、test、userの５種類といつも決まっており、9回トライしているのも同じです。

偶然に閑話休題::blogさんでこの話題を見つけました。
結論はこれだそうです。

† これでもやられちゃうサーバがある

単純にパスワードのつけ方を工夫すれば^*2これくらいのAttackは造作もないことではないでしょうか。

でも、現実にこういうものが蔓延するということは、この程度のツールにやられちゃうようなサーバが世間にはごろごろしているということの裏返しということになるわけですよね。

う?む。

• ^*1: IPは伏せてあります。
• ^*2: 工夫というかmkpasswdで作ったパスワードしか使わないってだけですけど。