攻撃者が試すパスワードの上位が明らかに--デフォルトの認証情報は変更を

Liam Tung (Special to ZDNET.com) 翻訳校正: 編集部

2022-10-21 11:12

 Rapid7の研究者らが、企業ネットワークのリモートアクセスに使用される、2つの主要なプロトコルの管理者パスワードについて調査したところ、セキュリティが懸念される結果が明らかになった。

提供:Shutterstock / Antonio Guillem
提供:Shutterstock / Antonio Guillem

 Remote Desktop Protocol(RDP)とSecure Shell(SSH)は、クラウド上の仮想マシンを管理するために広く使用されているプロトコルだ。クラウド導入とリモートワークが以前に増して普及する中、こうしたシステムを狙う攻撃者の手口を知ることは重要だ。

 Rapid7によると、RDPで最も一般的なユーザー名のトップ3は、「administrator」「user」「admin」だった。

 SSHで最も普及しているユーザー名は、「root」「admin」「nproc」だった。そして、SSHとRDPで頻繁に使用されているパスワードは、「admin」「password」「123456」であることが分かった。

 Rapid7は2022年9月9日までの1年間に、同社が仕掛けたハニーポット(おとり)のRDPとSSHのネットワークを侵害するのに攻撃者が使った認証情報を調査した。

 これらのハニーポットは、同社の「Project Heisenberg」の一環として設置されているもので、ボットや人間の攻撃者が同社のネットワークに接続できるようになっている。この間、ハニーポットに数千万回の接続の試みがあり、50万件のユニークパスワードが観測された。

 そして、ハニーポットで収集したデータセットを、ソーシャルゲームサイト「RockYou」の80億件のユーザー名およびパスワードのリストと比較した。このリストは、ペンテスター(侵入テスト担当者)のほか、攻撃者によって使用されている。ユーザー名がすでに分かっている多数のアカウントに対して攻撃を展開するパスワードスプレー攻撃や、ブルートフォース攻撃などで、悪用されることが多い。Rapid7は、ハニーポットへのアクセスに使用されたパスワードと、rockyouのデータセットはほぼ一致することを発見した。

 「ハニーポットで観測された約50万件のユニークパスワードは、rockyouのデータセットに実質すべて(99.997%)含まれていた。こうした観測内容から、オンライン認証情報の攻撃者は、真にランダムなパスワードを生成しているのではなく、類推可能なパスワードのリストを使い、すべての作業を行っているという結論に至った」(同社)

 ハニーポットのデータから、攻撃者が使用しているパスワードは、「admin」「password」「123456」など、概して最も一般的なものであることが分かった。

 Rapid7は、攻撃者が日和見的に少数のユーザー名とパスワードを試し、それがうまくいかない場合は次の標的に移動していると考えている。また1つのIPアドレスが、「root:root」や「admin:admin」など、単一のユーザー名とパスワードを頻繁に試しているため、これは自動化されたプロセスであり、ボットネットの可能性が高いという。

 RDPの攻撃で最も使用されているユーザー名が「Administrator」と「administrator」であるのは、RDPが通常は「Windows」で動作しており、デフォルトの管理者アカウントが「administrator」のためだろう。

 SSHに対する攻撃では、「root」と「admin」の2つのユーザー名が目立った。これは、Linuxディストリビューションの多くが「root」というユーザー名で出荷されていること、そしてルーターとIoTデバイスでは、「admin」が一般的なデフォルトのユーザー名であるためだと推測される。IoTマルウェアの「Mirai」などが、デバイスのデフォルト認証情報を使って認証を試みるのは、まさにそのためだ。そして米国家安全保障局(NSA)が、ネットワークデバイスのデフォルト認証情報を変更するよう、管理者に推奨している理由でもある。

 Rapid7のSSHハニーポットは、49万7848件のパスワードを検出した。侵入の試みで最も一般的に使用されたのは、「123456」と「password」の2つだった。

 Rapid7が、ハニーポットで観測したパスワードからrockyouのデータセットを取り除くと、後に残されたのはわずか14件だった。

 Rapid7の主なアドバイスは、デフォルトの認証情報を変更し、可能な限りローカルの管理者アカウントとゲストアカウントを無効にすることだ。これによって攻撃を止めることはできないが、少なくとも日和見的な攻撃には対処できる。また、パスワードマネージャーを使用するとよいだろう。

 RDPとSSHを保護するには、企業VPNを使用し、リモート接続をVPNで認証されたホスト経由のものに制限する必要がある。また、ブルートフォース攻撃を防ぐには、「目立たないようにしてセキュリティを確保」するために、ポートを変更するという手もあるという。

 SSHのセキュリティ対策で最も重要なのは、パスワードベースの認証を無効にし、証明書ベースの認証を用いることだ。Rapid7は、SSHを有効にしているユーザーを制限するために、sshd_configファイルの修正を強く勧めている。また、すべてのルートアカウントでSSHを無効にしたり、ログインの最大試行回数を変更したりすることも、「一般的に」よい考えだと述べている。

この記事は海外Red Ventures発の記事を朝日インタラクティブが日本向けに編集したものです。

ZDNET Japan 記事を毎朝メールでまとめ読み(登録無料)

ホワイトペーパー

新着

ランキング

  1. セキュリティ

    ChatGPTに関連する詐欺が大幅に増加、パロアルトの調査結果に見るマルウェアの現状

  2. セキュリティ

    迫るISMS新規格への移行期限--ISO/IEC27001改訂の意味と求められる対応策とは

  3. セキュリティ

    警察把握分だけで年間4000件発生、IPA10大脅威の常連「標的型攻撃」を正しく知る用語集

  4. セキュリティ

    いま製造業がランサムウェアに狙われている!その被害の実態と実施すべき対策について知る

  5. セキュリティ

    VPNの欠点を理解し、ハイブリッドインフラを支えるゼロトラストの有効性を確認する

ZDNET Japan クイックポール

所属する組織のデータ活用状況はどの段階にありますか?

NEWSLETTERS

エンタープライズコンピューティングの最前線を配信

ZDNET Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]