はじめに
Linuxサーバを作成した後に行うセキュリティ関連の設定を毎回忘れがちであり、
後になってから脆弱な点に気づきヒヤリするときがあるので以下にメモしておく。
（随時更新）
環境
- Ubuntu 18.04 LTS
- CentOS 7
インストール済みパッケージのアップデート
Ubuntu18.04
$ sudo apt-get update
$ sudo apt-get upgrade
CentOS7
$ yum update
root、ユーザパスワードの変更
※英語の大文字・小文字、数字、記号を最低1文字以上、8文字以上がベスト
記号や環境文字はクラウドサービスの仮想コンソールで入力できる文字とした方が良い
Ubuntu18.04、CentOS7
$ sudo passwd root
$ sudo passwd user
root(デフォルトアカウント)のシェル無効化
注.) 下記実行前に1つ以上のアカウントにsudo権限があることを確認する事
Ubuntu18.04、CentOS7
$ cat /etc/group
(sudo権限を付与する場合)
$ usermod -G wheel user
- rootのシェル状態確認(有効状態)
Ubuntu18.04、CentOS7
$ cat /etc/passwd | grep root
root:x:0:0:root:/root:/bin/bash
- nologinのありかを探す
Ubuntu18.04、CentOS7
$ where nologin
/usr/sbin/nologin
- root(デフォルトアカウント)のシェル無効化
Ubuntu18.04、CentOS7
$ usermod -s /usr/sbin/nologin root
$ cat /etc/passwd | grep root
root:x:0:0:root:/root:/usr/sbin/nologin
$ su -
This account is currently not available.
SSH関連設定
公開鍵認証の設定
- 鍵作成
接続するPC
$ ssh-keygen -t rsa -b 4096
- 鍵の置き場作成
Ubuntu18.04、CentOS7
$ cd
$ mkdir .ssh
$ chmod 700 .ssh/
$ touch .ssh/authorized_keys
$ chmod 600 .ssh/authorized_keys
- 鍵送信
接続するPC
$ cat ~/.ssh/id_rsa.pub | ssh user@xxx.xxx.xxx.xxx 'cat >> .ssh/authorized_keys'
- 公開鍵認証のよるSSHアクセス確認
接続するPC
$ ssh user@xxx.xxx.xxx.xxx -i .ssh/id_rsa -v
※この後、パスワード認証を無効化するので必ず鍵認証でのログイン成功を確認する事
SSHサーバの設定見直し
Ubuntu18.04、CentOS7
$ vi /etc/ssh/sshd_config
- SSHをLISTENするポート番号の変更
- #Port 22
+ Port 22222
- SSHをLISTENするIPを限定(複数NICの場合)
- #ListenAddress 0.0.0.0
+ ListenAddress xxx.xxx.xxx.xxx
- rootのログイン禁止
- #PermitRootLogin yes
+ PermitRootLogin no
- パスワード認証の禁止
- #PasswordAuthentication yes
+ PasswordAuthentication no
- パスワードなしでの認証禁止
- #PermitEmptyPasswords no
+ PermitEmptyPasswords no
- (CentOSの場合)SELinuxの設定変更
CentOS7
$ getenforce
Enforcing
$ yum install policycoreutils-python
$ which semanage
/usr/sbin/semanage
$ /usr/sbin/semanage port --list | grep ssh
ssh_port_t tcp 22
$ /usr/sbin/semanage port --add --type ssh_port_t --proto tcp 22222
$ /usr/sbin/semanage port --list | grep ssh
ssh_port_t tcp 22222,22
- (CentOSの場合)firewalldの設定変更
CentOS7
$ firewall-cmd --permanent --remove-service=ssh
$ cp /usr/lib/firewalld/services/ssh.xml /etc/firewalld/services/ssh-22222.xml
$ vi /etc/firewalld/services/ssh-22222.xml
- <port protocol="tcp" port="22"/>
+ <port protocol="tcp" port="22222"/>
$ firewall-cmd --permanent --add-service=ssh-22222
$ firewall-cmd --reload
$ firewall-cmd --list-all
- 設定変更したらSSHプロセスを再起動
Ubuntu18.04、CentOS7
$ systemctl restart sshd
$ systemctl status sshd
不要なポートが空いてないか確認
内部から確認する
- 接続待ちをしているTCP、UDPポートを表示
※1 LISTENポートはどこで開放しているか(Local Address:Port)要確認
※2 ESTABポートはどこと接続しているか(Peer Address:Port)要確認
Ubuntu18.04、CentOS7
$ ss -antu
$ netstat -antu
外部から確認する(nmap)
- フルスキャン(時間かかるので注意)
サーバにアクセスできるPC
$ nmap -p 1-65535 xxx.xxx.xxx.xxx
- ウェルノウンポートスキャン
サーバにアクセスできるPC
$ nmap -p 0-1023 xxx.xxx.xxx.xxx
- UDPスキャン
サーバにアクセスできるPC
$ nmap -sU xxx.xxx.xxx.xxx