攻撃者が試すパスワードの上位が明らかに–デフォルトの認証情報は変更を

今回は「攻撃者が試すパスワードの上位が明らかに–デフォルトの認証情報は変更を」についてご紹介します。

関連ワード (セキュリティ等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 Rapid7の研究者らが、企業ネットワークのリモートアクセスに使用される、2つの主要なプロトコルの管理者パスワードについて調査したところ、セキュリティが懸念される結果が明らかになった。

 Remote Desktop Protocol(RDP)とSecure Shell(SSH)は、クラウド上の仮想マシンを管理するために広く使用されているプロトコルだ。クラウド導入とリモートワークが以前に増して普及する中、こうしたシステムを狙う攻撃者の手口を知ることは重要だ。

 Rapid7によると、RDPで最も一般的なユーザー名のトップ3は、「administrator」「user」「admin」だった。

 SSHで最も普及しているユーザー名は、「root」「admin」「nproc」だった。そして、SSHとRDPで頻繁に使用されているパスワードは、「admin」「password」「123456」であることが分かった。

 Rapid7は2022年9月9日までの1年間に、同社が仕掛けたハニーポット(おとり)のRDPとSSHのネットワークを侵害するのに攻撃者が使った認証情報を調査した。

 これらのハニーポットは、同社の「Project Heisenberg」の一環として設置されているもので、ボットや人間の攻撃者が同社のネットワークに接続できるようになっている。この間、ハニーポットに数千万回の接続の試みがあり、50万件のユニークパスワードが観測された。

 そして、ハニーポットで収集したデータセットを、ソーシャルゲームサイト「RockYou」の80億件のユーザー名およびパスワードのリストと比較した。このリストは、ペンテスター(侵入テスト担当者)のほか、攻撃者によって使用されている。ユーザー名がすでに分かっている多数のアカウントに対して攻撃を展開するパスワードスプレー攻撃や、ブルートフォース攻撃などで、悪用されることが多い。Rapid7は、ハニーポットへのアクセスに使用されたパスワードと、rockyouのデータセットはほぼ一致することを発見した。

 「ハニーポットで観測された約50万件のユニークパスワードは、rockyouのデータセットに実質すべて(99.997%)含まれていた。こうした観測内容から、オンライン認証情報の攻撃者は、真にランダムなパスワードを生成しているのではなく、類推可能なパスワードのリストを使い、すべての作業を行っているという結論に至った」(同社)

 ハニーポットのデータから、攻撃者が使用しているパスワードは、「admin」「password」「123456」など、概して最も一般的なものであることが分かった。

 Rapid7は、攻撃者が日和見的に少数のユーザー名とパスワードを試し、それがうまくいかない場合は次の標的に移動していると考えている。また1つのIPアドレスが、「root:root」や「admin:admin」など、単一のユーザー名とパスワードを頻繁に試しているため、これは自動化されたプロセスであり、ボットネットの可能性が高いという。

 RDPの攻撃で最も使用されているユーザー名が「Administrator」と「administrator」であるのは、RDPが通常は「Windows」で動作しており、デフォルトの管理者アカウントが「administrator」のためだろう。

 SSHに対する攻撃では、「root」と「admin」の2つのユーザー名が目立った。これは、Linuxディストリビューションの多くが「root」というユーザー名で出荷されていること、そしてルーターとIoTデバイスでは、「admin」が一般的なデフォルトのユーザー名であるためだと推測される。IoTマルウェアの「Mirai」などが、デバイスのデフォルト認証情報を使って認証を試みるのは、まさにそのためだ。そして米国家安全保障局(NSA)が、ネットワークデバイスのデフォルト認証情報を変更するよう、管理者に推奨している理由でもある。

 Rapid7のSSHハニーポットは、49万7848件のパスワードを検出した。侵入の試みで最も一般的に使用されたのは、「123456」と「password」の2つだった。

 Rapid7が、ハニーポットで観測したパスワードからrockyouのデータセットを取り除くと、後に残されたのはわずか14件だった。

 Rapid7の主なアドバイスは、デフォルトの認証情報を変更し、可能な限りローカルの管理者アカウントとゲストアカウントを無効にすることだ。これによって攻撃を止めることはできないが、少なくとも日和見的な攻撃には対処できる。また、パスワードマネージャーを使用するとよいだろう。

 RDPとSSHを保護するには、企業VPNを使用し、リモート接続をVPNで認証されたホスト経由のものに制限する必要がある。また、ブルートフォース攻撃を防ぐには、「目立たないようにしてセキュリティを確保」するために、ポートを変更するという手もあるという。

 SSHのセキュリティ対策で最も重要なのは、パスワードベースの認証を無効にし、証明書ベースの認証を用いることだ。Rapid7は、SSHを有効にしているユーザーを制限するために、sshd_configファイルの修正を強く勧めている。また、すべてのルートアカウントでSSHを無効にしたり、ログインの最大試行回数を変更したりすることも、「一般的に」よい考えだと述べている。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
インフルエンサーによる独自製品開発やブランド構築を支援するGenflowは英BGFから11.4億円調達
ネットサービス
2021-01-22 21:03
MySQLの運用をコードで定義し大幅に自動化する「MySQL Operator for Kubernetes」がオープンソースで公開[PR]
Kubernetes
2022-05-30 08:21
Coinbaseの第2四半期決算は予測超えも第3四半期の取引高は減少傾向と注記
ブロックチェーン
2021-08-12 15:42
ソラコムのサービスがWiFiなど任意の通信回線で利用可能に、「SORACOM Arc」を発表。Discovery 2021 Online
IoT
2021-06-24 05:18
愛媛銀行、トランザクションレンディング向けAI審査サービスを導入
IT関連
2021-08-05 06:16
Deno、早くもnpm対応と3倍高速化したHTTPサーバAPIなどを実装した「Deno 1.25」をリリース
Deno
2022-09-08 15:08
トリドールHD、データ連携クラウドサービスを導入–会計処理のリードタイムなどを短縮
IT関連
2022-09-17 01:47
JAXA、国産「空飛ぶクルマ」研究開発に協力 国内最大の「風洞実験装置」提供
企業・業界動向
2021-08-11 16:02
コンデジ並みのカメラを搭載するスマホ、シャープが発売 1型センサーに「ズミクロン」レンズ
くらテク
2021-05-18 01:32
KDDI、新色iPhone 12と「AirTag」は4月23日から予約受付 新型iPad Proは4月30日から
企業・業界動向
2021-04-22 14:19
NATOサイバー防衛協力センターに韓国が参加–アジアの国で初
IT関連
2022-05-10 16:25
関⻄学院と⽇本IBM、「AI“活用”人材」を育成するバーチャルラーニング提供
IT関連
2021-04-28 05:01
マイクロソフト、Arm版Windowsアプリ開発用の小型PCを発売
IT関連
2022-10-26 21:44
まだまだ続く日本の働き方改革。リモートの現実とこれから。
オンラインカジノ
2021-07-12 11:19