MySQLの開放ポートをスキャンできるツールをご用意しました
自社のMySQLデータベースがパブリックインターネットからアクセス可能かどうかをテストする
Shadowserver財団は最近、ポート3306/TCPで稼働するMySQLサーバーインスタンスに関するスキャン結果を公開しました。世界中で360万台超のMySQLサーバーがアクセス可能な状態にありました。これらのデータベースのほぼすべてにおいて、一般の人々がそれらにアクセスしたり、その存在を知ったりする必要のあるユースケースは存在しません。Shadowserverは各国政府、ネットワークプロバイダー、企業、金融機関、学術機関、法執行機関などと連携し、セキュリティの脆弱性を明らかにし、悪意ある活動を暴き、被害者の復旧を支援しています。
MySQL開放ポートスキャナーを試す
2022年5月、Shadowserverはポート3306/TCPでアクセス可能なMySQLサーバーインスタンスをスキャンしました。ポート3306はMySQLのデフォルトポートです。このスキャンは、データベースへのアクセスレベルを調べるための侵入的なチェックを一切行わず、MySQLサーバーの応答（Server Greeting）を取得するだけのものでした。その結果、世界中で360万台のMySQLサーバーがアクセス可能であることが判明し、そのうち230万件がIPv4アドレス、130万件がIPv6デバイスからの応答でした。
ユニークIPv4別に見たアクセス可能なMySQLサーバー数, Copyright Shadowserver Foundation
なぜユーザーは開放ポートを持っているのか
開発者がプライベートIPアドレス空間内のリソースにアクセスする必要があるなど、開放ポートを持つことには多くの正当な理由があります。そうしたリソースは、社内オンプレミス環境にある場合もあれば、Amazon AWS、Google Cloud Platform、Microsoft Azureといったパブリッククラウド上にホストされている場合もあります。さらに、人事、マーケティング、分析などのSaaSアプリケーションが、プライベートリソースへの接続を必要とすることもあります。
開放ポートはどのようなリスクをもたらすのか
正規のサービスがセキュリティの脆弱性を突かれて悪用されたり、マルウェアやソーシャルエンジニアリングによってシステムに悪意あるサービスが持ち込まれたりすると、開放ポートは危険なものとなります。サイバー犯罪者はこうしたサービスと開放ポートを組み合わせて利用し、機密データへの不正アクセスを試みる可能性があります。MySQL開放ポートハニーポットの結果もあわせてご覧ください。
開放ポートに対する一般的な緩和策とは
企業が開放ポートから身を守るための最も一般的な2つの緩和策は、許可リスト（アローリスト）とVPNです。IP許可リストを適用することで、既知かつ許可されたIPアドレスのみが開放ポート経由で接続できるようになります。これにより、既知のセキュリティ脆弱性を悪用しようとする悪意あるスキャナーやボットのリスクを取り除くことができます。VPNも追加の認証レイヤーとして利用でき、開放ポート経由の不正アクセスをブロックします。許可リストとVPNは併用することも可能です。
許可リストやVPNといった開放ポート対策における課題は、リストを維持し、ユーザー増加に合わせてリソースをスケールさせ続ける手間です。ユーザーは接続前に、新しい接続元すべてのIPアドレスをIT／DevOps部門に提供する必要があります。VPNについても、追加のハードウェアによるスケーリングが必要になるか、ホスト型ソリューションの高額なライセンスを購入する必要があります。
無料のRemote.Itアカウントから始めましょう
以下の環境へのRemote.Itのデプロイ方法を学ぶ:
レガシーネットワークから脱却し、コードとしての接続がもたらす自由を
企業のクラウドインフラ内でわずか1行のコードをデプロイするだけで、アクセスのために発見可能なパブリックIPアドレスを使用する必要がなくなり、その結果、攻撃対象領域そのものをなくすことができます。
「クラウドリソースは異なるリージョンにあることも、異なるクラウドプロバイダー間にまたがっていることもありますが、Remote.Itはそれらすべてを同時に利用可能にします。従来型のVPNソリューションで必要とされるような、接続・切断・再接続の繰り返しは発生しません。また、当社のソリューションはレイヤー4で動作するため、私たちの接続はピアツーピアであり、CASB（Cloud Access Security Broker）型のソリューションとは異なり、企業の機密データやトラフィックが私たちを経由してルーティングされることはありません」と、Remote.ItのCEOであるRyo Koyama氏は述べています。
クラウドネイティブな開発者は、レガシーネットワークの制約から解放される必要があります。パブリックIPアドレスを持たないリソースへのクラウドアクセスを提供することに加え、開発環境はあまりに大規模かつ分散化が進み、ローカルマシン上で容易かつ予測可能な形で再現することが難しくなっています。Remote.Itをデプロイすることで、それらのリソースが本番環境にあろうと、ステージング環境にあろうと、開発環境にあろうと、あたかも開発者のローカルマシン上で直接動作しているかのように利用可能になります。この働き方は、より速いだけでなく、管理する上でもより簡単かつ安全です。