Amazon EC2でサーバを起動したらアタックされた！ので、運用前にチェック・対策しましょうという話

クラウドを使っていたら、こんなことがありました。(実話)

1. Amazon EC2用の固定IPアドレス(Elastic IP Address)を取得する
2. Amazon EC2でサーバ(インスタンス)を起動する
3. 先ほど取得した固定IPアドレスを、EC2のサーバに割り当てる
4. EC2のサーバでApacheを起動する
5. Apacheのプロセス数がいきなり250個オーバーになる(MaxClientsの値にぶつかる)
6. Apacheのログを見ると、常識を超えた連続HTTPアクセス(DoSアタック)を受けていることが判明
7. EC2で、別の固定IPアドレスを取得する
8. 取得した別の固定IPアドレスを、(アタックを受けている)EC2のサーバに割り当てなおす
9. 静けさを取り戻す ← imkk

いやー、噂には聞いていましたが、何気に初めて遭遇しました。

クラウドサービス(IaaS等)では、別のユーザが以前に利用していたIPアドレスを受け継いで使うわけですから、以前の用途によっては、このようなことが起こりうるわけですね。

今回は、HTTP(80)のみ開放していたので、そこしかチェックしていませんが、クラウドのサービスを利用する上で、外部にオープンしているポートやサービスがあれば、利用前に各種ログ等を眺めてみて異常がないかを確認する必要性があります。

Amazon EC2では、サーバをオンラインにしたまま、グローバルIPアドレスを変更できたりするので、この点は安心。ただし、問題が無いかのチェック・確認は自分で行う必要があるので、そこは要注意です。

---

まとめ

• Amazon EC2/S3を使ってみた - まとめ (Amazon Web Services関連エントリ目次)

クラウドAMAZON EC2/S3のすべて (ITpro BOOKs)