不正アクセスを排除する方法について

公開しているwebアプリに特定のipから不正なアクセスを受けていると思われるlogがありました。
これらのipアドレスからのアクセスを拒否するために、VPCのネットワークACLの設定で、IPアドレス「3.114.205.48」と「52.193.114.46」をアクセス拒否するように設定したのですが、設定後も変わらず下記のようなエラーが表示されております。
どのように対策すればよろしいでしょうか？
ご教示いただけましたら幸甚です。

error
1*134907 FastCGI sent in stderr: "Primary script unknown" while reading response header from upstream, client: xxxxxxx, server: example-example.com, request: "GET /vendor/phpunit/phpunit/src/Util/PHP/eval-stdin.php HTTP/1.1", upstream: "fastcgi://unix:/var/run/php-fpm/php-fpm.sock:", host: "3.114.205.48", referrer: "http://3.114.205.48:80/vendor/phpunit/phpunit/src/Util/PHP/eval-stdin.php"
2
3*135234 open() "/path/to/wp-content/plugins/wp-file-manager/readme.txt" failed (2: No such file or directory), client: xxxxxxx, server: example-example.com, request: "GET /wp-content/plugins/wp-file-manager/readme.txt HTTP/1.1", host: "52.193.114.46", referrer: "http://52.193.114.46:80/wp-content/plugins/wp-file-manager/readme.txt"

##実行した対策
VPCのネットワークACLでこの２つのIPアドレスのアクセスを禁止しました。

ルール #　　タイプ　　　　　　　　　プロトコル　　ポート範囲　　送信元　　　　　　　許可 / 拒否
97　　　　　すべての トラフィック　　　すべて　　　すべて　　　52.193.114.46/32　DENY
98　　　　　すべての トラフィック　　　すべて　　　すべて　　　3.114.205.48/32　 DENY

##環境

構成 : ALB + EC2運用
webサーバー : nginx

行動規範の内容に同意します

回答2件

ログに残ったhost:は、HTTP通信のときに指定されたHost:ヘッダの値だと思われます。アクセス元のIPアドレスと一致するものではありません。

nginxの設定で、正しいHost:が来た場合だけ応答するようにするのも一案です。

投稿2020/11/23 08:44

maisumakun

総合スコア145208

maisumakun

2020/11/23 08:53

ALBでもHost:によるルールを入れられるようです。 https://docs.aws.amazon.com/ja_jp/elasticloadbalancing/latest/application/listener-update-rules.html

k.t.est

2020/11/23 09:57

ご回答ありがとうございます！

k.t.est

2020/11/23 09:59

今回はとりあえずIP直打ち対策を施して様子見をしたいと思います、これでもダメな場合はALBによるHOSTルールを追加で設定することを試みたいと思います。直IP対策参考サイト https://4thsight.xyz/1093

k.t.est

2020/11/23 10:13

上記直IPアドレス対策参考サイトの通りに設定すると、unhealthyになってしまうことが分かりました。下記サイトのようにすれば対策できそうですが、設定が色々と面倒そうなので、別の方法がないか模索したいと思います。 https://hit.hateblo.jp/entry/elb/direct-ip/deny

maisumakun

2020/11/23 10:17

ALBに来る時点で対策してしまえば、それより内側のヘルスチェックには影響せずに済むかと思います。

k.t.est

2020/11/24 01:54

ご回答ありがとうございます！ロードバランサーのリスナーの設定で、デフォルトアクション(最後)の設定を固定レスポンスを返すにして、403を返すようにしました。また、デフォルトアクションの手前の設定で正しいホスト名の時のみにターゲットグループにトラフィックを振り分けるように設定しました。これで少し様子を見てみたい思います。

k.t.est

2020/11/24 03:48

nginxの設定で、不正なホスト名でアクセスされた場合にすべて受け入れる仮想ホストを別途作成するという方法もありなんですかね。。。参考 https://qiita.com/no1zy_sec/items/718cb9a51da7c6d5a9a5

k.t.est

2020/11/25 07:44

無事不正なホスト名でアクセスされた場合の対応はできましたが、今度は正しいホスト名で不正アクセスを受けるようになりました。。。また対応方法を考えたいと思います。

maisumakun

2020/11/25 08:36

> 今度は正しいホスト名で不正アクセスを受けるようになりましたインターネットに置いてあるサーバに対して、何かしらの不正アクセスがあるのは宿命と言えるものです。アクセス自体を弾けなくても、それで不適切な情報を返す、サービスを止めるほどのリクエストがあるなどの害が出る状況でなければ、とりあえずは問題ありません。

行動規範の内容に同意します