LINUXサーバーセキュリティ対策 ヒアリングから契約および運用までの流れ
UNIXという商用OSとは異なり、
LinuxというオープンソースOSという性格上、自力でセキュリティ対策とバージョンアップ、ソフト管理を行う必要があります。
サーバー管理者およびWEBサーバープログラムの開発者が管理するべき領域は多岐に渡ります。
サーバー管理者ならばメールサーバー、WEBサーバー、FTPサーバーの設定、SSHサーバー、
ＯＳ上の各種サービスのセキュリティ対策と運用ポリシーの実施、ＯＳの各ソフトウェアにセキュリティホールが
見つかった場合の迅速なパッチ当てまたはバージョンアップの実施、ネットワーク監視、各サービスのログ解析、
不正アクセスがあった場合の防御などがあります。
また開発者ならばWEBサーバー上のプログラムに対するセキュリティ対策と実施、各モジュールのバージョンアップ、
有料の保守サービスを受けていない場合のデータベースの管理、バージョンアップやそのバックアップ作業など
商用のＯＳと同程度または場合によりそれ以上の手間とコストがかかるのがLinuxというオープンソースOSです。
当社ではお客様のＩＴ管理者と共に安定稼働および高度なセキュリティ対策を施して参りたいと考えています。
もちろん当社にサーバーごとお任せいただくことも可能です。
サーバー上の不要プロセスを停止することのメリット
Linuxサーバー上のサービスと呼ばれるプロセス（プログラムのこと）には外部のネットワークに
対してオープンになっているものが多くあります。
Linux OSをインストールする初期の段階にて、 何も外部のネットワークに対してオープンされていないサーバーであれば、メールサーバーや WEBサーバーなど必要なサービスだけを起動させて、基本的にはそのサービスだけ絞って セキュリティ対策を行うことにより最低限の対策はある程度可能です。
実際のLinuxサーバーの現状としてはいろいろなサービスが起動しており、 セキュリティホールとなり得る不要なサービス はできるだけ停止することが必要です。お客さまのWEBシステムの現状、使用している運用サービスを お聞きして、不要なサービスがオープンになっていないかどうか調査し、 該当するサービスのポート番号の無効化やサービスの停止、 あるいはサービスを停止できない場合はポート番号の変更などの対策を行います。
Linux OSをインストールする初期の段階にて、 何も外部のネットワークに対してオープンされていないサーバーであれば、メールサーバーや WEBサーバーなど必要なサービスだけを起動させて、基本的にはそのサービスだけ絞って セキュリティ対策を行うことにより最低限の対策はある程度可能です。
実際のLinuxサーバーの現状としてはいろいろなサービスが起動しており、 セキュリティホールとなり得る不要なサービス はできるだけ停止することが必要です。お客さまのWEBシステムの現状、使用している運用サービスを お聞きして、不要なサービスがオープンになっていないかどうか調査し、 該当するサービスのポート番号の無効化やサービスの停止、 あるいはサービスを停止できない場合はポート番号の変更などの対策を行います。
Telnetのセキュリティ対策
Telnetは暗号化通信を使わない仕様なので、
平文でユーザーＩＤ、パスワードがネットワークに流れてしまいます。
盗聴されたとき、簡単にサーバーにログインされてしまいますので、まずはrootでログインできない
設定にするべきです。同時にsuコマンドでrootになれる管理ユーザーを限定する必要があります。その人数分
パスワード対策の必要性がでてきます。一人分でもパスワード設定の甘さを許すと、
サーバー全体のセキュリティレベルが低下してしまうことになります。
リモートログインとしてSSHの利用とその対策
SSH（Secure Shell）は暗号化された経路を使うので、Telnetを利用する場合と比較にならないほどセキュアなリモート管理ツールと
言えます。
ただ、パスワード管理するという手間はなくならないため、 SSHを使うユーザーも限定する設定にしておくほうがいいと思われます。当社では お客様に代わってSSHサーバーのインストールとその使用ユーザー設定、ログの管理も行います。 定期的にSSHのログをチェックし、不正なアクセスと思われるＩＰアドレスがあれば、 接続拒否リストに追加するなどの対応を行います。その場合、定期保守契約を交わす必要があります。
ただ、パスワード管理するという手間はなくならないため、 SSHを使うユーザーも限定する設定にしておくほうがいいと思われます。当社では お客様に代わってSSHサーバーのインストールとその使用ユーザー設定、ログの管理も行います。 定期的にSSHのログをチェックし、不正なアクセスと思われるＩＰアドレスがあれば、 接続拒否リストに追加するなどの対応を行います。その場合、定期保守契約を交わす必要があります。