☰

私のPostfixメールサーバーが未知のユーザーからログイン試行（無差別試行）を受け取りました。どうすればいいですか？

tag-icon • tag-icon security email postfix ssl dovecot
私のPostfixメールサーバーが未知のユーザーからログイン試行（無差別試行）を受け取りました。どうすればいいですか？

私はpostfix + dovecotメールサーバーを持っており、今日のログを確認している間に未知のユーザー/ IPアドレスからログインしようとしましたが、これは無差別代入攻撃であることに違いありません。

このようなことが起こるのをどのように予防し、最終的に防ぐことができますか？

助けてくれてありがとう！

丸太：

Aug 24 15:36:34 mail dovecot: auth: passwd-file(zamudio,201.222.55.26): unknown user (SHA1 of given password: f72ac0)
Aug 24 15:36:36 mail postfix/smtpd[12568]: warning: unknown[201.222.55.26]: SASL LOGIN authentication failed: UGFzc3dvcmQ6
Aug 24 15:36:36 mail postfix/smtpd[12568]: disconnect from unknown[201.222.55.26] helo=1 auth=0/1 quit=1 commands=2/3
Aug 24 15:38:38 mail postfix/anvil[12413]: statistics: max connection rate 1/60s for (smtp:200.124.242.82) at Aug 24 15:30:49
Aug 24 15:38:38 mail postfix/anvil[12413]: statistics: max connection count 1 for (smtp:200.124.242.82) at Aug 24 15:30:49
Aug 24 15:38:38 mail postfix/anvil[12413]: statistics: max cache size 1 at Aug 24 15:30:49
Aug 24 15:39:34 mail postfix/smtpd[12571]: connect from unknown[190.117.185.251]
Aug 24 15:39:35 mail dovecot: auth: passwd-file(helene,190.117.185.251): unknown user (SHA1 of given password: cb4a0f)
Aug 24 15:39:37 mail postfix/smtpd[12571]: warning: unknown[190.117.185.251]: SASL LOGIN authentication failed: UGFzc3dvcmQ6
Aug 24 15:39:37 mail postfix/smtpd[12571]: disconnect from unknown[190.117.185.251] helo=1 auth=0/1 quit=1 commands=2/3
Aug 24 15:42:17 mail postfix/smtpd[12574]: connect from unknown[175.140.139.233]
Aug 24 15:42:18 mail dovecot: auth: passwd-file(payroll,175.140.139.233): unknown user (SHA1 of given password: 4de472)
Aug 24 15:42:20 mail postfix/smtpd[12574]: warning: unknown[175.140.139.233]: SASL LOGIN authentication failed: UGFzc3dvcmQ6
Aug 24 15:42:20 mail postfix/smtpd[12574]: disconnect from unknown[175.140.139.233] helo=1 auth=0/1 quit=1 commands=2/3

答え1

サーバーがオープンリレーとして機能しようとしています。あなたは定義する必要がありますsmtpd_relay_restrictionsオプション。デフォルトでは、次の規則を使用します。

smtpd_relay_restrictions = permit_mynetworks,
                           permit_sasl_authenticated, 
                           defer_unauth_destination

これは、開いていたリレーが閉じていることを意味します。

あなたのサーバーは公開されているので、サーバーを介して常にメールを送信しようとしているインターネットボットについて謙虚にする必要があります。

あるいは、サーバーをテスト環境としてのみ使用している場合は、他のIPはブロックして信頼できるIP /ネットワークのみを許可できます。

関連情報