11章 システムの運用管理

9. アカウントの自動閉鎖

この機能を使うと、アカウントに対して複数回の連続したログイン失敗を検知した場合に、そのアカウントを自動閉鎖することができます。不正なログイン試行を早期に検知して不正アクセスを防ぐことができます。なお、デフォルトでは、この自動閉鎖機能は OFF に設定されています。必要に応じて ON にして使用してください。

設定は「システム管理」画面の「設定」タブで行ないます。

① 閉鎖するログイン失敗回数を指定すると、自動閉鎖機能が有効になります。一般的には、連続して 10 回程度のログイン失敗で閉鎖するぐらいが良いのではないでしょうか。連続した失敗で閉鎖される点に注意してください。ログイン失敗の累積回数で閉鎖するわけではありません。自動閉鎖の条件を指定すると、さらにいくつかの入力欄が表示されます。

② 閉鎖の解除の条件を指定しておきましょう。デフォルトでは「システム管理者が手動で解除」となっていますが、一定時間後に自動解除する指定もできますので、ご要望に沿う解除方法を指定してください。

「システム管理者が手動で解除」という設定はシンプルで良いのですが、システム管理者がユーザの要望に応じていつもタイムリーに対応する必要があるなど、運用の負担が大きくなる場合があります。自動解除の指定を選んでおけば、運用の負荷を上げずに済むかもしれません。

自動解除は、閉鎖されたアカウントに対する最後のログイン失敗から一定時間が経過した時に行われます。ログイン失敗が繰り返されている限り、閉鎖が解除されることはありません。攻撃が続く限り閉鎖状態が維持されます。解除までの時間は 30 分程度に設定しても、攻撃に対してはかなりの防御となります。30 分に 10 回程度のログイン試行しかできないのであれば、事実上、攻撃者による総当たり攻撃は成立しないと考えて良いでしょう。

③ 自動閉鎖が発生した時の通知機能も指定することができます。設定は「自動閉鎖の告知」欄のチェックボックスで行います。

自動閉鎖されたことをログインパネルで告知する

このチェックボックスを ON にしておくと、規定回数のログイン失敗が検知された時点で、ログインパネルに「アカウントは閉鎖されました」というエラーメッセージが表示され、ユーザに自動閉鎖が起きた事をしらせることができます。一般的な運用では ON にしておくことで良いかもしれません。一方で、閉鎖を告知すると攻撃者に有利な情報を与えてしまう可能性があります。例えば、そのアカウントが実在することを知られてしまいます。また、それ以上の攻撃が無意味であることを知られてしまいます。

自動閉鎖されたことをアカウントのオーナーにメールで通知する

このチェックボックスを ON にしておくと、自動閉鎖が発生したときに、そのアカウントのオーナーに、アカウントの閉鎖が発生したことをメールで通知することができます。なお、アカウントのオーナーが、ユーザのプロファイルにメールアドレスを指定していない場合には、オーナー宛のメールによる通知は行われません。

自動閉鎖されたことを通知メールアドレス宛にメールで通知する

このチェックボックスを ON にしておくと、自動閉鎖が発生したときに、通知メールアドレスに指定されているアドレス宛に（多くの場合システム管理者宛となるでしょう）、アカウントの閉鎖が発生したことをメールで通知することができます。通知メールアドレスは「システム管理」画面の「設定」タブにある「通知メール配送先アドレス」欄で指定します。なお、通知メールアドレスが指定されていない場合には、このメールは発送されません。

④ 設定を変更した場合には画面右上の「保存」ボタンをクリックして変更を保存してください。

ロックされたアカウントについては、ユーザ一覧画面のセキュリティ欄に赤色の四角のインジケータが表示されます。ロックされていない場合の表示は緑の四角です。

閉鎖されたアカウントは、システム管理ユーザによって手動で閉鎖を解除することができます。

閉鎖されているユーザのユーザプロファイル編集画面には、下のスナップショットのように、閉鎖状況が表示されます。また、画面右上に「閉鎖を解除」ボタンが表示されます。「閉鎖を解除」ボタンをクリックすることでアカウントの閉鎖を解除することができます。