6

aws で web アプリケーションのサーバーを開発していたとします。特に、 production 環境などについての質問です。

昨日友人と話していたところ、 production 環境なので、なるべく secure にするべきであり、なので ssh ポートはデフォルト(22) から変更するべきである、といった話を聞きました。

個人的に、 Conventional ではない設定は設定の面倒臭さをなどを引き起こす、と考えています。

質問

  • sshd のポートを 22 から変更するのは、 セキュリティ対策として有効なのでしょうか?

5 件の回答 5

4

アタックを受ける頻度が下がるのは間違いないですが、そうあるべきということはないと思います。

例えば 踏み台サーバーを使ったSSHアクセスという方法も一般的です。
踏み台は 使うときだけ起動して、使い終わったら止めれば、常時SSHポートを公開する必要はありません。

ご参考) CDP:Ondemand Activation パターン

3

sshdのポート変更のメリットとして考えられるのは総当たり攻撃による
"パスフレーズ認証だった場合の侵入リスク軽減"
"攻撃からリソース負荷を軽減"
"攻撃などの余計な失敗ログを残さない"
……などかと思います。
これらのことから一定の効果は望めるかと思いますが、
管理できないと結局、「あれ?このサーバのsshポート何番だっけ?」となりかねません。
AWSであれば、そちらよりもセキュリティグループでIPフィルタリングかけます。
もしくは接続時だけ使用するセキュリティグループとスイッチするかですかね。

1

SSHに限らず、サービス既定のポート番号を使用していると、該当のサービスが動いていると見込んだ総当たりの攻撃を受ける可能性がありますから、任意のポート番号への変更は(万全ではないにしても)意味はあると思います。

1

こと AWS に限った話をします。 AWS では、そのリソースがとれる IP のレンジが決まっています。 https://docs.aws.amazon.com/ja_jp/general/latest/gr/aws-ip-ranges.html

これにより、どうやらこのレンジの IP すべてに対して、ひとまず 22 番ポートに対して ssh brute force をかけるような bot が動いている様子です。これは、 bastion をやろうが何しようが、ネットワーク的に外部に露出する部分があるのならば、もれなくこのような bot はあらわれる様子です。

ssh bruteforce に晒されるのを放置するのは良くないので、たとえば inbound の IP 制限をかける、などがあるかと思います。また、 IP 制限といっても万能ではありません。そのような場合のために、 22 からポートを変更する意味はあるようだ、と思うにいたりました。

0

Portを隠すのは、たしかにテクニックとしてはありますが、設計時にどこで何を担保するのかということを考慮しておくべきで、「なるべくセキュア」という設計をしていれば、ほかが駄々洩れということになりかねませんか?

例えば、EC2を利用していればそのまえのファイアーウォールで、OSのSELinuxで止めることは可能です。どこで何を遮断するのが適切かはシステムごとに異なります。

逆に、外から直接SSH接続を許すような設計にしているのであれば、SELinuxで止めて、一応ポートも変えておくという設計もあり得ます。
外に公開するサービスはこれとこれ、だから、これをこういう方法でまもる。
システム内部でしか使わないサービスはこれ。だから、ファイアウォールに任せるとか、まずは「何を公開するのか」を軸に整理されてはいかがでしょうか?

逆にこの「方針」が定まっていないと、誰かに何かを言われれうたびにぐらぐらと変更が繰り返され、余計な手間がかかるばかりか、その後、なにがどうなっているのか全く分からない状況になります。

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。