質問: ### 前提 初めてVPSを借りてWebアプリを公開しました。VPSはConoHaで借りています。個人の趣味でやっている程度のもので商用ではありません。(いずれは稼ぎたい) WebサーバにNginXを使っているのですが、NginXを起動した初っ端からひたすらに攻撃と思われるリクエストが続いています。PHPの辞書攻撃と言うんですかね、1.phpとか、admin.phpといったよくある(?)URLへのアクセスが1日数百件の単位で来てます。 ### 教えてほしいこと * VPSでWebサーバを動作させた時に速攻で攻撃を受けるのって普通のことですか? それとも運が悪い?IPアドレスの前使用者がセキュリティ甘い運用してたとか? * そのうち収まるものですか?もっとひどくなるものですか? ちゃんと設定してればそのうち来なくなるとか、セキュリティが甘いと悪化するとか、条件付きの回答や実体験、感覚でも結構ですので教えてください。 * 「攻撃来るなんて当たり前」ということでしたら、皆さんはどう対応してますか? 常識的にWAF使うでしょ?とか、やられている訳ではないので無視!とか、皆さんの対応を教えてください。(ConoHaのVPSはWAF有料なんすよね...)
回答: > > VPSでWebサーバを動作させた時に速攻で攻撃を受けるのって普通のことですか? > > それとも運が悪い?IPアドレスの前使用者がセキュリティ甘い運用してたとか? > > > 「攻撃」というより、攻撃の踏み台に使えそうなサーバがないか探し回っている人々のアクセスです (手動ではなくプログラムで自動化していると思いますが)。サーバを起動した途端にアクセスしてきたわけではないです。常にアドレスブロック全体を巡回してアクセスを試みています。 個人的には、1日100アクセスくらいならあってもおかしくないと感じます。 > > そのうち収まるものですか?もっとひどくなるものですか? > > ちゃんと設定してればそのうち来なくなるとか、セキュリティが甘いと悪化するとか、条件付きの回答や実体験、感覚でも結構ですので教えてください。 > > > 一度でも侵入を許せば、たちまちその手のアクセスが増え、最低でも1-数ヶ月はおさまりません。彼らも情報交換し合っているんでしょう。 > > 「攻撃来るなんて当たり前」ということでしたら、皆さんはどう対応してますか? > > 常識的にWAF使うでしょ?とか、やられている訳ではないので無視!とか、皆さんの対応を教えてください。(ConoHaのVPSはWAF有料なんすよね...) > > > 日頃から、安全でないサービスをインターネットにさらさないように注意することが大事です。高度なWAFなどに頼らなくても、そういう対策はできます。 * 接続許可ポートの設定はできるはずですから、実際に使用するサービスのポート以外は許可せず、必要になった時点で初めて許可するようにすべきです。 **例**: nginxってSMTPやIMAP4のプロキシの機能も持っているんですが、何かの間違いでついうっかりその機能を有効にする設定をしてしまったとしても、SMTPやIMAP4のポートへの接続を許可していなければ、不正利用されてしまうことはありませんよね。 * インストール直後のウェブアプリケーションは自分の手元のPCのIPアドレスからしかアクセスできないようあらかじめHTTPサーバでアクセス制限しておき、安全な設定をしたと確信が持ててからアクセスを開放する、といった配慮が必要です。 **例**: いくつかのウェブアプリケーションでは管理者パスワードの初期値が決まっていて、インストール直後ならログインページにアクセスしてそのパスワードを入力すれば全ての設定を変更できます。つまり、外部からのアクセスができればサービスを乗っ取れます (admin.phpへのアクセスは、いかにもそれを狙っていそうですね)。