a long time ago in a galaxy far far away
遙か昔のことです…
会社のネットワークが、DHA（Directory Harvest Attack（ディレクトリ獲得攻撃））の被害を被りました。
教訓として、記録・公開します。
前提
- あくまで遙か昔のことで、直後に物理的・論理的にリプレースし、徹底的に対策済みです。
- メールサーバーがオンプレミスでした。
当時は「IT企業なのだから、メールサーバーを自社で構築・運用していないのはちょっと恥ずかしい」という時代でした。
事象の概要
- 大量（数万）の宛先不明メールを受信しました。
- 上記がメールサーバー内で滞留（数万）し、パフォーマンス低下⇒システム不調となりました。
- 滞留メール削除・対策等で工数を浪費しました（夜間・週末・月末に集中）。
DHAとは？
スパム業者などがメール・アドレスを収集するハーベスティングの手法の1つ。自動生成したメール・アドレスを特定のドメインに送信し、有効なメール・アドレスを収集する行為のこと。
ハーベスティングを実行するために、大量の電子メールを送りつける結果、対象のメール・サーバやネットワークに大きな負荷を掛ける「攻撃」にもなることから、DHA攻撃と呼ばれる。
Webサイトなどから有効なドメイン名を収集し、そのドメイン名のメール・アドレスを自動生成し、次々と送信することで、あて先不明のエラーが返信されなかったメール・アドレスを“有効なメール・アドレス“として収集する。
事象
キュー状況
14894件のキューが滞留しています。
SMTPログ（ファイルサイズ）
最大で15MBのログ（テキストデータ）が記録されています。
メール内容
件名や本文は全て同じで意味はありません。
！！このようなメールは開けてはいけません！！
どこから？
メールのソースを見ると、ナイジェリア発のようでした。
Received: from User ([41.203.64.134] RDNS failed) by ・・・
渦中の対応策
実行した事
| 対応策 | 結果 |
|---|---|
| タールピット | × |
| グローバルIPのフィルタリング | × |
| RBL（Realtime Blocking List）によるブロック | × |
| 送信元メールアドレスのフィルタリング | ○ ただし、直ぐに違うアドレスを騙って再開するので、あまり意味無し |
メールアドレスのフィルタリング
多数滞留させると、サーバーが障害を起こし、削除メールを検索・表示するのに長時間必要になり、実質操作不能になります。
脅迫観念に追われながら、出来る限りリアルタイムで手動で対応しました。
FROM／受信時／削除件数
aaaa＠aaaa.aaaa.aaaa／23:16-05:04／420824
フィルタ設定しても、直ぐに違うアドレスで再開
bbbb＠bbbb.bbbb.bbbb／05:19-05:30／4514
フィルタ設定しても、直ぐに違うアドレスで再開
cccc＠cccc.cccc.cccc／05:45-05:47／1106
フィルタ設定しても、直ぐに違うアドレスで再開
dddd＠dddd.dddd.dddd／05:57-05:58／666
原因
- ネットワーク構成の甘さが致命的でした（恥ずかしいので、詳細は記載しません）。
- とにかく危機感の欠如。
対策
情報セキュリティ対策上、詳細は記載出来ませんが、コストも投下し、徹底的に対策しました。
最後の雑記
- キューが溜まり過ぎると、メールサーバーがフリーズして操作できなくなります、追随して、手動でキューを削除するしかないので、攻撃中は、不眠不休で対応しました。
- 最も悲惨だったのは、夏休み家族旅行中、宿に着いた瞬間に攻撃が開始され、旅館で寝ずに対応しました（監視されているかのよう）、翌日、車で移動しながらも、SAなどで止まって対応しました、「心ここにあらず」家族にも悪い事をしました。
- 相手も、こういう希少な（穴の開いている）ICT資源が枯渇しないように＝対策されないように、毎月だいたい２０日～月末のみしか攻撃してきませんでした、その間もたまに「休日」があったり。
- 攻撃が途絶えると「対策が効いた」と勘違いする、という効能もある気がします、敵はプロです
- ネットワークやメールサーバーのスキルを、止むに止まれず会得しました、やれば出来ます。
- メールシステムというのはとても原始的なものですね、敵の手法を調べ、試しに外部から当社メールサーバーへ実行、簡単に出来ました・・・
責任はもちろん別として、
問題のポンコツネットワーク構成は、私の仕業ではありません。
最後に少しだけ名誉を主張します。