FTP 匿名ログイン（anonymous）チェッカー

匿名 FTP（anonymous FTP）とは

匿名 FTP は、個人のアカウントなしで FTP サーバーに接続できる仕組みで、ユーザー名に anonymous、パスワードに任意の文字列（ふつうはメールアドレス）を使います。かつては公開ソフトウェアの配布に使われていましたが、機密データを置くサーバーでは今ではセキュリティ上のリスクとみなされています。

今でも意図して許可しているサーバーはたくさんあります。Linux ディストリビューションのミラー、ファームウェアのダウンロードサーバー、公開アーカイブなどは、この方法でファイルを配っています。問題なのはうっかり許可しているサーバーです。有効のまま残った初期設定、本番に昇格したテスト環境、顧客データを置くはずではなかった匿名ディレクトリなどがそれにあたります。このチェックが見つけるのは、まさにその穴です。

チェックのしくみ

このツールは指定したポートでサーバーに接続し、ユーザー名 anonymous で実際にログインを試み、サーバーの実際の応答（アクセスが許可された場合はあいさつのバナーも）を表示します。ダウンロードもアップロードも行いません。攻撃者のスキャナーが試すのと同じやり取りを、ブラウザーから 1 回だけ実行するものです。

匿名アクセスを確認すべき理由

• 意図しない匿名アクセスがあると、非公開のファイルがインターネットに公開されてしまうおそれがあります。
• 攻撃者は匿名 FTP を使ってマルウェアをアップロードしたり、サーバーを中継地点として悪用したりします。
• 多くのコンプライアンス基準（PCI-DSS、HIPAA）では、匿名 FTP を無効にすることが求められています。

サーバーを点検するついでに、FTP 接続テスターで認証情報と到達性を、FTP サーバーバナー取得でサーバーが外部に名乗っているソフトウェアを確認しておきましょう。点検が実際のファイル作業に移ったら、FTPie は FTPS と SFTP を備えた最新のWindows 向け無料 FTP クライアントです。