vCenter のログに SSL Handshake failed のエラーや、ssh の authentication failure が多数記録される

Products

• VMware vCenter Server

Issue/Introduction

vCenter Serverのログに、rsyslogd または nsd_ossl に関連するSSLエラーが記録される場合がある。
また、同時刻帯にSSHの認証失敗（authentication failure）が記録されることがある。

vc1 rsyslogd netstream session 0x7f39#####10 from ##.##.##.## will be closed due to error [v8.2306.0 try https://www.rsyslog.com/e/2089 ]
vc1 rsyslogd SSL_ERROR_SSL Error in 'osslHandshakeCheck Server': 'error:00000001:lib(0)::reason(1)(1)'
vc1 rsyslogd nsd_ossl:TLS session terminated with remote client 'xx.xx.xx.xx': Handshake failed with error code: 1
vc1 rsyslogd nsd_ossl:OpenSSL Error Stack: error:0A000197:SSL routines::shutdown while in init
vc1 sshd[xxxx]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=xx.xx.xx.xx user=admin
vc1 sshd[xxxx]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=xx.xx.xx.xx user=user

これらのログは、特定のIPアドレスから記録されています。

Environment

• VMware vCenter Server 7.0
• VMware vCenter Server 8.0

Cause

この事象は、外部のセキュリティ監査ツールや脆弱性スキャナが vCenter Server に対してポートスキャンや接続テストを実行している場合に発生する場合があります。

スキャナがSSLハンドシェイクを正常に完了せずに切断した場合や、無効なプロトコルで接続を試みた場合に、rsyslogd や OpenSSL のエラーが記録されます。
また、スキャナがデフォルトのアカウント（admin, user, factoryなど）やランダムな名前を使用してログインを試行するため、SSHの認証失敗ログが多数記録されます。

Resolution

このエラーが運用上の問題（vCenterのサービス停止など）を引き起こしていない場合、以下の手順で確認します。

1. ログ内の「remote client」または「rhost」に記録されているIPアドレスを特定する
2. そのIPアドレスが、社内のセキュリティ監査サーバーや監視サーバーであるかを確認する
3. 監査スケジュール（毎月の定期実行など）と、エラー発生日時が一致するかを確認する

確認の結果、正規の監査ツールによるアクセスであることが判明した場合、これらのエラーは無視できます。

接続元IPアドレスが不明な場合や正規の監査サーバーではない場合はセキュリティリスクの可能性があるため、ファイアウォール等で該当IPからのアクセスを遮断することを検討します。