SSHへのアタックが三度来まくり・・・

以前 書いた SSHへのアタックが、一時期沈静化して、またたくさん来るようになったのも落ち着いてたのに、また来るようになった（長いな）。

今回のは、多数のホストから一斉に来て少数の試行だけで終了してるのがこれまでとちょっと違う感じ。
ボットネットとかで多数のクライアントから分散してブルートフォースするようになったのかなぁ？

あと、これまではrootアカウントを狙ってるのが多かったけど、今回はmysqlアカウントが多い。
mysqlが入ってないサーバにも来てるので、mysqlのポートが開いてるヤツだけを狙い撃ちにしてる訳じゃなさそうな予感。
（まぁ、mysqlが入ってるサーバも、外からのコネクションは入口でdenyしてるんだけど）

それと、以前はPasswordAuthenticationで引っかかってたのがChallengeResponseAuthenticationの方で引っかかるようになってるので、何か攻撃の手法が変わってるっぽい。
PasswordAuthenticationで引っかかる場合、ログにはIPアドレスで出るので、それを拾ってブロックしてたんだけど、ChallengeResponseAuthenticationだとPAMから逆引き名でログに出てくるから、gethostbynameしてIPアドレスに戻してブロックするようにマイナーチェンジ（謎）。

マイナーチェンジはいいんだけど、元々の「ログが肥大してウザいから減らしたい」という要望（？）から見ると、分散で来るからあんまり効果無いなぁ(^^;