Fail2ban知ってる？IPアドレス制限でのセキュリティ対策がPleskで出来ますよ

こんにちは。GMOクラウドの宇野です。
今回はPleskのファイアーウォール機能をより有効活用できるIP アドレス禁止（Fail2ban）について、ご紹介いたします。

1. 連載『Pleskで簡単セキュリティ設定』のほかの記事はこちら
   第1回：ファイアーウォール
2. 第2回：パスワード強度
3. 第3回：この記事
4. 第4回：セキュリティ診断
5. 第5回：ModSecurity

Ⅰ.セキュリティ設定はもう十分!?

このシリーズではPleskで設定できるセキュリティ機能としてファイアーウォールとセキュリティポリシーの設定についてご紹介してきました。これらを設定することで、よりセキュアな環境の構築が可能となります。しかし、それだけで十分でしょうか・・・?

パスワードはいくら強固なものを設定しても、絶対に破られないと言い切ることはできません。悪意ある第三者はFTPやSSHに総当たり攻撃するプログラムを 使い、何千回、何万回とログイン試行し、パスワードを破ろうとします。何度でもログインを試すことができれば、いずれは成功してしまいます。

「そんな攻撃されるのって超有名サイトだけでしょ？ウチは関係ない！」なんて思っている方もいらっしゃいますが他人事ではありません。第三者は他のサーバーを 攻撃するための踏み台にできる、脆弱なサーバーを手当たり次第、探しています。ネットワークに接続されている以上、攻撃の標的なのです。

Plesk12 では非常に便利なソフトウェア「Fail2ban」が標準搭載されました。「Fail2ban」は特定の拠点から複数回ログインしようとした場合、不正ログインとして通信を一定期間ブロックできる機能です。あらかじめアクセス元の拠点が限られている場合、ファイアーウォールでルールを設定できますが、緊急時に拠点外からアクセスする必要があるなど、運用面から厳しいルールを設定できない場合もあります。このような場合に「Fail2ban」は非常に有効で簡単にサーバーを守ることができるソフトウェアですので、早速設定してみましょう。

Ⅱ. IPアドレス禁止（Fail2ban）設定手順

接続元(拠点)のIPアドレスが分からない場合は、ご利用のネットワークの管理者にご確認ください。動的IPをご利用の場合は、IPアドレスが変更されるごとにこの設定を変更することや、次の設定で検知する失敗回数を変更することもご検討ください。もし、インターネットプロバイダが付与するIPアドレスの範囲を教えてもらえれば、それを設定することも一案です。

これでIP アドレス禁止(Fail2ban)の設定は完了しました。せっかくなので、翌朝など少し時間を置いて、その効果を確かめてみましょう。

Ⅲ.IP アドレス禁止（Fail2ban）稼働状況確認と例外許可の設定方法

テキストファイルがダウンロードされますので、メモ帳などで開きましょう。どのjailによって通信を制限したか確認できます。もしログが無ければ、別途設定しているファイアーウォールなどが有効に機能しているか、本機能が動作していない可能性があります。確認してみてください。また、「急に接続できなくなったんだけど・・・」と問い合わせをユーザーから受けたら、本機能で制限されている可能性があります。接続元のIPアドレスを聞き、上記のログにあるか確認しましょう。ログに拒否した履歴があれば、本機能の仕業ですので、該当IPアドレスを信頼できるIPアドレスに登録することを検討してください。

Ⅳ.おわりに

いかがでしたか？設定はできましたでしょうか。「Fail2ban」ではIPアドレスを禁止するルールや、ルールによって検知された際の挙動をjailごとに設定することが可能です。この記事では取り扱いませんが、Pleskのガイドに初期で提供されているjailの詳細や挙動のカスタマイズについて説明があります。運用方針に合わせてご活用ください。

※上記は一例であり、お客さまごとのニーズを踏まえた内容ではありません。また本設定を行うことによりご利用サーバーのセキュリティを担保するものではありません。設定は内容を十分に吟味して行ってください。
※ご利用のプランやPleskのライセンス等により、表記や手順が異なる場合があります。
※サポート窓口ではPlesk上での設定方法についてのみご案内を行っており、jailの内容やカスタマイズ方法など、Fail2banそのものの機能に関するご案内は行っておりません。ご不明な場合は関連の情報をご確認ください。
※ご紹介した設定を行ったことによる不都合について弊社では責任を負いかねます。