POP3への辞書攻撃と我が対策
September 16, 2009 – 2:46 pm今朝、我がメールサーバー（POP3）が辞書攻撃を受けた。SSHについては対策をとっていたのだが（ここに記述）、メールサーバーについては特段の対応をとっていなかった。今回のアタックの具体的内容と今回とった対策についてメモしておいた。
我がサーバーが反応しなくなった： いつもの感じで、SSH経由で作業をしていると、突然、サーバーとの通信に遅延が生じ、やがて通信できなくなってしまった。サーバーの上流にある(ブロードバンド)ルーターのインディケーターが点滅していることから、どうも不正アタックを受けていることが疑われた。
とりあえず、ルーターをリセット（電源を一旦切っただけ）してみた。一旦、回線は復帰するものの、再び、同様な状態が発生。結局、サーバーがハングアップしてしまった。
サーバーをリブートした後、サーバーのログをいろいろしらべてみると、maillogが以下のようになっている（一部のみ、編集後）。
Sep 16 10:34:19 ServerName dovecot: pop3-login: Aborted login: user=<root>, method=PLAIN, rip=::ffff:200.57.91.104, lip=::ffff:192.168.1.101 Sep 16 10:34:21 ServerName dovecot: pop3-login: Aborted login: user==<user>, method=PLAIN, rip=::ffff:200.57.91.104, lip=::ffff:192.168.1.101 Sep 16 10:34:21 ServerName dovecot: pop3-login: Aborted login: user==<admin>, method=PLAIN, rip=::ffff:200.57.91.104, lip=::ffff:192.168.1.101 Sep 16 10:34:21 ServerName dovecot: pop3-login: Aborted login: user==<webmaster>, method=PLAIN, rip=::ffff:200.57.91.104, lip=::ffff:192.168.1.101 Sep 16 10:34:21 ServerName dovecot: pop3-login: Aborted login: user==<test>, method=PLAIN, rip=::ffff:200.57.91.104, lip=::ffff:192.168.1.101 Sep 16 10:34:21 ServerName dovecot: pop3-login: Aborted login: user==<web>, method=PLAIN, rip=::ffff:200.57.91.104, lip=::ffff:192.168.1.101 Sep 16 10:34:21 ServerName dovecot: pop3-login: Aborted login: user==<www>, method=PLAIN, rip=::ffff:200.57.91.104, lip=::ffff:192.168.1.101
明らかに、POP３が辞書攻撃を受けている。
一応の対策をとることにした： どのように措置すべきか考えてみた。不正なアクセスをしてきているIPアドレスを弾くことも考えてみたが、同種の攻撃を異なる発信源から受けることも考えられる。ということで、以下のように、ipatableを用いて、特定のアドレスからのPOP３（110番ポート）へのアクセス頻度を制限することにした。
対策以前：
# 外部からのTCP110番ポート(POP3)へのアクセスを許可 /sbin/iptables -A INPUT -p tcp --dport 110 -j ACCEPT
対策後：
# 外部からのTCP110番ポート(POP3)へのアクセスを制限つきで許可 /sbin/iptables -A INPUT -p tcp -m state --syn --state NEW --dport 110 -m limit --limit 1/second --limit-burst 1 -j ACCEPT /sbin/iptables -A INPUT -p tcp -m state --syn --state NEW --dport 110 -j DROP
この方式、以前、SSH(ポート22)へのアタック対策に用いたのと同じものである。具体的には、110番ポートへの外部からの接続があった場合、一定時間が経過するあいだは、このポートへの接続要求を受け付けないようにする。
この方式で、POP3へのアタックを撃退できるかどうか定かではないが、ひとまず、様子をみることにした。
それにしても、このような不正アタックの存在、困ったものだ。
4 Responses to “POP3への辞書攻撃と我が対策”
一昨年の記事に激遅コメントで恐縮ですが、この対策を施したのちの、成果のほどは如何でしたでしょうか？
弊プライベートサイトでも dovecot が同様の攻撃を受けたため、貴サイトのこの記事を参考にさせて頂こうと考えています。
By ysh on Jun 24, 2011
dovecotへの攻撃対策について、
残念ながら、期待した効果はでていません。同種の攻撃があります。
再度、検討しなくてはと思っているところです。
By yama on Jun 25, 2011