中級・異常系 Pro-lite対象・登録不要

公開SSHパスワードスプレーの検知・遮断

公開SSHへ同一接続元から複数Userの認証失敗が続く兆候をSIEMで相関し、認証成功やSession発行前に接続元を遮断して公開SSHを廃止する防御シナリオです。

結果: 認証成功0件 / 接続元遮断
主なプロトコル: TCP / SSH / VPC Flow Logs / SIEM
停止または分岐地点: 公開SSHへの複数アカウント認証失敗を相関して検知し、侵入成立前に遮断、証跡保全、公開SSH廃止まで進める防御側の流れを追います。

最初に確認する証跡

正常な管理アクセスは限定された管理経路から許可済みの鍵認証で成立します。このシナリオはpasswordや試行内容を記録せず、複数Userへの失敗メタデータを相関して侵入成立前に封じ込めます。

このページは学習用の模擬シナリオです。実環境への通信や入力内容の保存は行いません。