Linux　サーバセキュリティ

Transcription

1 Copyright(C) 2008 All Rights Reserved. Linux サーバ パーフェクトセキュリティ Linux サーバ パーフェクトセキュリティ から 抜 粋

2 == 目 次 == Ⅰ.ネットワークのセキュリティ Ⅰ-ⅰ.Ping の 要 求 を 受 け 取 らない Ⅰ-ⅱ.Ping に 応 答 しない Ⅰ-ⅲ.traceroute への 制 限 Ⅰ-ⅳ.SmurfDoS 攻 撃 の 中 継 地 点 をとらない Ⅰ-ⅴ.SYN Flood 攻 撃 への 対 応 Ⅱ.インターネットサーバ 共 通 のセキュリティ Ⅱ-ⅰ. 不 要 サービスを 停 止 する Ⅱ-ⅱ.kill コマンドによるサービス 停 止 Ⅱ-ⅲ./etc/services ファイルでサービスを 無 効 にする Ⅱ-ⅳ.service コマンドでサービス 停 止 Ⅱ-ⅴ.サービスの 自 動 起 動 の 設 定 Ⅱ-ⅵ.linuxconf でサービスの 起 動 や 停 止 を 設 定 Ⅱ-ⅶ.ntsysv コマンドでサービスの 自 動 起 動 を 設 定 Ⅲ.リモートコマンドを 制 限 する Ⅲ-ⅰ.r 系 コマンドを 制 限 する Ⅲ-ⅱ.telnet の 制 限 を 行 う Ⅲ-ⅲ.SSH を 使 えるようにする Ⅲ-ⅳ.rpm コマンドの 使 い 方 Ⅳ.サーバのログ 設 定 Ⅳ-ⅰ.サーバのログ 設 定 (SYSLOG とその 他 のログ) Ⅳ-ⅱ.SYSLOG の 設 定 Ⅴ.Web サーバのセキュリティ Ⅴ-ⅰ.Apache 設 定 ファイル httpd.conf Ⅴ-ⅱ.httpd.conf による 設 定 Ⅴ-ⅲ.Web サーバへのアクセスコントロール Ⅴ-ⅳ. 他 の Web サーバセキュリティ 設 定 Ⅵ.FTP サーバのセキュリティ Ⅵ-ⅰ.FTP サーバの ACL 設 定 を 行 う Ⅵ-ⅱ. 匿 名 FTP サービス - 2 -

3 Linux サーバセキュリティ Ⅰ. ネットワークのセキュリティ [47] Ⅰ-ⅰ. Ping の 要 求 を 受 け 取 らない [51] 設 定 値 - 内 部 ネットワーク: /24 - 管 理 マシン : ネットワークに 対 する Ping 要 求 をすべて 破 棄 する # iptables A INPUT p icmp -icmp-type 0 s d j DROP 2ネットワークに 対 する Ping 要 求 を 管 理 マシンにのみ 許 可 する # iptables A INPUT p icmp -icmp-type 0 s d j ACCEPT Ⅰ-ⅱ. Ping に 応 答 しない [52] 設 定 値 同 じ 1Ping 要 求 に 対 する 応 答 をすべて 破 棄 する # iptables A OUTPUT p icmp --icmp-type 8 s d j DROP 2 管 理 マシンからの Ping 要 求 に 対 し 応 答 する # iptables A OUTPUT p icmp --icmp-type 8 s d j ACCEPT Ⅰ-ⅲ. traceroute への 制 限 [54] 設 定 値 同 じ # iptables A OUTPUT p icmp --icmp-type 11 s d j DROP # iptables A OUTPUT p icmp --icmp-type 11 s d j ACCEPT Ⅰ-ⅳ. Smurf DoS 攻 撃 の 中 継 地 点 をとらない [68] 設 定 値 - 内 部 ネットワーク: /24 - 外 部 向 けインタフェース:eth0 1 送 信 先 指 定 # iptables A INPUT d /8 i eth0 j DROP # iptables A INPUT d /32 i eth0 j DROP /8, /32 Smurf DoS 攻 撃 によく 使 われる 2 送 信 元 指 定 # iptables A INPUT s /24 i eth0 j DROP 塞 いだ 方 が 好 ましいアドレス 一 覧 /8 : Historical Broadcast /16 : RFC 1918 Private Network /8 : RFC 1918 Private Network /4 : Class D Multicast /8 : Loopback /5 : Class E Reserved /16 : Link Local Networks /5 : Unallocated /12 : RFC 1918 Private Network /32 : Broadcast - 3 -

4 /24 : TEST-NET Ⅰ-ⅴ. SYN Flood 攻 撃 への 対 応 [69] 1TCP FIN スキャンの 防 止 1) SYN/FIN フラッグを 立 てたパケットを 破 棄 # iptables -A INPUT -p tcp --tcp-flags ALL SYN,FIN -s >> d /24 -j DROP 2) FIN フラッグを 立 てたパケットを 破 棄 # iptables -A INPUT -p tcp --tcp-flags ALL FIN s >> d /24 -j DROP 2TCP Xmas ツリースキャンの 防 止 FIN/URG/USH フラッグを 立 てたパケットを 破 棄 # iptables -A INPUT -p tcp --tcp-flags ALL FIN,URG,PUSH >> -s d /24 -j DROP Ⅱ. インターネットサーバ 共 通 のセキュリティ [71] Ⅱ-ⅰ. 不 要 サービスを 停 止 する [84] 1 停 止 する 候 補 となるサービス [85] サービス 名 機 能 apmd APM を 監 視 するデーモン 電 源 を ON/OFF した 時 に SYSLOG に 残 したり 管 理 者 へ 警 告 を 通 知 できる atd at によってキューに 入 られたジョブを 実 行 する canna かな 漢 字 変 換 サーバ 日 本 語 入 力 を 行 わないなら 必 要 ない lpd ラインプリンタデーモン netfs NFS マウントポイントのマウント アンマウントを 有 効 にする portmap NFS や NIS など RPC を 使 用 したプログラムに 必 要 2 停 止 することを 推 奨 するスーパーデーモン 経 由 で 起 動 するサービス [85] サービス 名 機 能 finger ホスト 内 にあるユーザの 情 報 を 提 示 daytime 日 付 と 時 刻 を 応 答 する chargen 文 字 列 に 対 し 応 答 する time 日 付 と 時 刻 を 応 答 する shell 起 動 しているだけでセキュリティホールとなり 得 るので 停 止 login 起 動 しているだけでセキュリティホールとなり 得 るので 停 止 talk talk コマンドのサーバ 3 不 要 サービスを 停 止 する 方 法 [86] 1) ポートを 閉 じる /etc/services を 編 集 する 2) 動 作 しているプロセスを 停 止 する - 4 -

5 kill, service コマンドを 使 う, linuxconf で 設 定 3) 起 動 時 にプロセスが 立 ち 上 がらないようにする 起 動 スクリプトの 変 更, chkconfig コマンドで 設 定, linuxconf で 設 定 Ⅱ-ⅱ. kill コマンドによるサービス 停 止 [86] 書 式 :kill コマンド kill [-s シグナル] [-p] [-a] プロセス kill -l シグナル 番 号 1オプションの 意 味 [87] オフ ション 意 味 -s シク ナル 指 定 したシグナルを 送 る シグナルは 番 号 もしくは 名 前 で 指 定 -p プロセスの PID(プロセス ID)を 表 示 する シグナルは 送 らない -a コマンド 名 から PID への 制 限 をはずす -l 指 定 されたシグナルの 名 前 を 表 示 する シグナル 番 号 を 表 示 しなければ 一 覧 を 表 示 する 2よく 使 われるシグナル [87] 番 号 シク ナル 名 省 略 名 意 味 1 SIGHUP HUP プロセスを 再 起 動 2 SIGINT INT プロセスを 中 断 9 SIGKILL KILL プロセスを 強 制 切 断 15 SIGTERM TERM このシグナルを 受 け 取 らないプロセスを 切 断 18 SIGCONT CONT 停 止 状 態 のプロセスを 再 開 19 SIGSTOP STOP プロセスを 停 止 状 態 にする 3プロセスの 指 定 方 法 [88] <PID> :その PID のプロセスにシグナルを 送 る 0 : 全 てのプロセスにシグナルを 送 る -1 :PID が1より 大 きい 全 てのプロセスにシグナルを 送 る -<PID> : 指 定 した PID に 属 する 全 てのプロセスグループにシグナルを 送 る この 場 合 省 略 指 定 されたシグナルと 誤 解 される 可 能 性 がある <コマンド 名 > :この 名 前 で 起 動 された 全 てのプロセスにシグナルを 送 る 4 確 認 [89] ps コマンドで 確 認 # ps-ax Ⅱ-ⅲ. /etc/services ファイルでサービスを 無 効 にする [89] /etc/services ファイル サービスとポートの 対 応 を 記 載 不 要 なサービスの 無 効 化 対 象 のサービスの 行 頭 に # をつけてコメントアウトする Ⅱ-ⅳ. service コマンドでサービス 停 止 (RedHat Linux) [90] 書 式 :service コマンド - 5 -

6 service サービススクリプト 動 作 1サービススクリプト [91] = 自 動 起 動 のスクリプト 名 /etc/init.d ディレクトリ(/etc/rc.d/init.d ディレクトリ)にある スクリプトファイル 一 覧 の 表 示 # ls /etc/init.d 2 動 作 [91] start stop restart : 開 始 : 停 止 : 再 起 動 例 ) # service syslog start Ⅱ-ⅴ. サービスの 自 動 起 動 の 設 定 [92] 1 rc スクリプト [92] 1) ランレベル ランレベル 0 : 電 源 を 切 ることのできる 状 態 ランレベル 1 : シングルユーザーモード ランレベル 2 : マルチユーザーモード(NGS などは 使 わない) ランレベル 3 : マルチユーザーモード( 規 定 ) ランレベル 4 : 未 使 用 ランレベル 5 : X11 ランレベル 6 : リブート 2) 実 行 されるスクリプト 各 ランレベルで 起 動 する 際 に 実 行 されるスクリプト /etc/rc.d の 下 のそれぞれのランレベルに 対 応 した rc0.d~rc6.d の 各 ディレクトリに 格 納 例 ) rc3.d ディレクトリ 内 リンクファイル 名 一 覧 # ls /etc/rc.d/rc3.d 3) リンクファイル 名 [1] 先 頭 にあるアルファベット K : 不 要 なデーモンを 停 止 する S :デーモンを 起 動 する K を 起 動 S を 起 動 [2]アルファベットの 後 ろの 数 字 それぞれの 中 での 起 動 順 序 起 動 順 序 を 間 違 うとエラーとなる 可 能 性 がある 2chkconfig コマンド (RedHat Linux7.3 以 降 ) [93] 書 式 :chkconfig コマンド chkconfig スクリプト 名 on/off 例 1) httpd を 自 動 起 動 させない # chkconfig httpd off - 6 -

7 例 2) ランレベルごと(2~5)の 設 定 # chkconfig --level=2345 httpd off 例 3) 現 在 のデーモンの 各 ランレベルの 起 動 設 定 の 状 態 を 確 認 # chkconfig --list Ⅱ-ⅵ. linuxconf でサービスの 起 動 や 停 止 を 設 定 [94] 1linuxconf の 起 動 # linuxconf 起 動 したら Control のツリーを 開 き Control service activity を 選 択 2 service control 画 面 起 動 時 に 実 行 されるサービス :Enable 項 目 Automatic 現 在 起 動 中 のサービス :Running 項 目 Running 3サービスの 変 更 1) 変 更 するサービスを 選 択 し Enter 2) 設 定 画 面 Startup : 自 動 起 動 を 行 うかどうかの 設 定 カーソルを 合 わせてスペースキーで 変 更 する Status : 現 在 実 行 中 かどうかを 表 示 する Package name :パッケージマネージャがインストールされていれば 名 前 が 表 示 される Description :このサービスの 説 明 Ⅱ-ⅶ. ntsysv コマンドでサービスの 自 動 起 動 を 設 定 (Red Hat Linux) [97] 1 ntsysv の 起 動 # ntsysv [ ] 内 にチェック Linux 起 動 時 に 自 動 起 動 Ⅲ.リモートコマンドを 制 限 する [98] Ⅲ-ⅰ. r 系 コマンドを 制 限 する [100] r リモート rlogin, rsh, rexec サーバを 直 接 制 御 できる 1xinetd の 場 合 /etc/xinetd.conf もしくは /etc/xinetd.d ディレクトリのファイルで 設 定 1) ls コマンドで 確 認 2) 停 止 したいサービスのファイルを 編 集 disable 項 目 :[no] [yes] もしくは ファイル 名 自 体 を 変 更 3) xinetd を 再 起 動 2PAM の 認 証 を 行 わない [101] /etc/pam.d ディレクトリ r 系 コマンドのための 認 証 設 定 がある - 7 -

8 ディレクトリ 内 に 認 証 設 定 がないサービスであれば PAM は other を 適 用 すべて 拒 否 r 系 コマンドの 認 証 は other にまかせる < 他 の 方 法 > rlogin, rsh, rexec のファイル 名 を 変 更 # mv /etc/pam.d/rlogin /etc/oam.d/_rlogin Ⅲ-ⅱ. Telnet の 制 御 を 行 う [102] 1ログインメッセージの 制 御 ウェルカムメッセージの 内 容 /etc/issue.net OS 名 やバージョン 名 の 記 述 をコメントアウト コンソールからのログインに 対 するメッセージ /etc/issue 2Telnet ポートを 変 更 する [103] Telnet ポート 23 ( 規 定 ) < 変 更 手 順 > 1) /etc/services を 修 正 telnet 23/tcp telnet 1023/tcp 2) /etc/services を 保 存 3) xinetd を 再 起 動 Telnet 接 続 の 変 更 ポートを 変 更 した 場 合 接 続 時 にポート 番 号 を 指 定 # telnet root でログインさせない [103] 1) root でログインできる 端 末 /etc/securetty に 記 述 された 端 末 ttyp0~ttyp2 が Telnet 端 末 削 除 2) /etc/pam.d/login 内 の 行 auth reguired /lib/security/pam_securetty.so この 記 述 がなければ 追 加 4 root になれるユーザを 制 限 する 1) root になれるユーザを 所 属 させるグループを 編 集 [1] /etc/group ファイルを 開 く [2] wheel の 行 に root になれるユーザを 追 加 する 例 :wheel:x:10:root, taro, hanako 2) /etc/pam.d/su ファイル (su コマンド 認 証 ファイル) 次 の 行 を 追 加 auth reguired /lib/security/pam_wheel.so use_uid group=wheel 3) 設 定 ファイルを 保 存 - 8 -

9 保 存 した 直 後 から 有 効 Ⅲ-ⅲ. SSH を 使 えるようにする [105] 1 認 証 鍵 の 作 成 [105] 作 成 はログインユーザごとに 行 う 1) # su taro $ ssh-keygen t rsa1 Generating public/private rsa1 key pair. Enter file in which to save the key (/home/taro/.ssh/identity): 鍵 を 作 成 するディレクトリ 変 更 の 必 要 がなければ Enter Created directory /home/taro/.ssh. Enter passphrase (empty for no passphrase) : パスフレーズを 入 力 Enter same passphrase again: 確 認 のためもう 一 度 入 力 Your identification has been saved in /home/taro/.ssh/identity. Your public key has been saved in /home/taro/.ssh/identity.pub. The key fingerprint is : d5:54:f5:b4:ab:9e:d7:46:2b:f2:53:36:cf:3b:f7:5d raro@rhs 2) 確 認 $ cd /home/taro.ssh $ ls identity identity.pub 3) ダウンロード 作 成 された 秘 密 鍵 (identity)と 公 開 鍵 (identity.pub)のうち 秘 密 鍵 をリモートアクセスする 端 末 にダウンロード 2 接 続 制 限 を 行 う [106] 1) OpenSSH が 標 準 インストールされている 場 合 TCPWrapper による 接 続 制 限 ができる 2) SSH に 対 するすべての 接 続 を 拒 否 /etc/hosts.deny ファイル ssh : All 3) 許 可 するホストまたはネットワークを 記 述 /etc/hosts.allow ファイル ssh : / ユーザの 制 限 [107] /etc/ssh/sshd_config ユーザ 制 限 1) ルートでログインさせない PermitRootLogin no 2) ユーザごとの 接 続 制 限 ( 拒 否 優 先 ) AllowUsers 許 可 DenyUsers 拒 否 拒 否 優 先 の 場 合 AllowUsers に 許 可 するユーザ 名 を 記 述 する 例 : taro と hanako を 許 可 する 場 合 - 9 -

10 AllowUsers taro hanako ( 複 数 の 場 合 スペースで 区 切 る) 4ログの 設 定 [107] SSH のログは SYSLOG で 記 録 /etc/ssh/sshd_config ファイル 内 の 項 目 で Facility と Priority を 設 定 syslogfacility AUTHPRIV LogLevel INFO 記 録 ファイル /etc/syslog.conf で 設 定 [120] Ⅳ-ⅳ rpm コマンドの 使 い 方 1パッケージの 検 索 書 式 : 指 定 したパッケージがインストールされているか 検 索 rpm q パッケージ 名 パッケージ 名 正 式 な 名 前 不 明 なことが 多 くあまり 使 われない 書 式 :grep コマンドと 組 合 せて 検 索 rpm qa grep 探 したい 名 前 書 式 :パッケージの 中 身 を 確 認 rpm ql パッケージ 名 2パッケージのアップデート 書 式 :インストール chkconfig スクリプト 名 on/off 書 式 :アンインストール chkconfig スクリプト 名 on/off 書 式 :アップグレード chkconfig スクリプト 名 on/off -F オプション : 以 前 のバージョンがなければアップグレードしない -U オプション : 既 存 ファイルを 上 書 きし 不 要 ファイルを 削 除 以 前 のバージョンがなければ 新 規 インストールする Ⅳ-ⅴ. サーバのログ 設 定 (SYSLOG とその 他 のログ) 1SYSLOG UNIX 系 OS に 標 準 装 備 されているログ 記 録 システム 1) SYSLOG にログ 記 録 を 要 求 するアプリケーションが 送 信 する 項 目 プログラム 名 Facility Priority ログメッセージ 2) 設 定 ファイル /etc/syslog.conf

11 2その 他 のログ /var/log ディレクトリ 内 1) 一 覧 を 見 る # ls /var/log 2) 代 表 的 なログ lastlog wtmp dmesg xferlog :ユーザが 最 後 にログインした 記 録 lastlog コマンドで 閲 覧 :ログイン 履 歴 last コマンドで 閲 覧 :ブート 時 のメッセージ 記 録 :FTP サーバのファイル 移 動 ログ Ⅳ-ⅵ. SYSLOG の 設 定 [120] 書 式 :/etc/syslog.conf の 記 述 Facility.Priority 出 力 先 1Facility の 項 目 [120] 名 前 kern user mail ftp lqr カーネル 通 常 のユーザプロセス メール サブシステム FTP デーモン ラインプリンタ サブシステム 意 味 auth 認 証 システム( 非 推 奨 authpriv を 推 奨 ) authpriv cron deamon news uucp syslog local 1~7 mark 認 証 システム クロックデーモン (cron と at) システムデーモン NEWS サブシステム UUCP サブシステム syslogd の 内 部 メッセージ サイト 固 有 の 使 用 のため 予 約 タイムスタンプ * mark を 除 くすべての Facility 2Priority の 項 目 [121] ( 上 から 優 先 順 位 の 高 い 順 ) 名 前 意 味 emerg alert crit err warning 緊 急 事 態 メッセージを 通 常 すべてのユーザに 通 知 緊 急 に 修 正 する 状 態 のメッセージ 致 命 的 な 状 態 のメッセージ 通 常 のエラーメッセージ 警 告 メッセージ

12 notice info debug 特 別 な 処 理 が 必 要 なメッセージ 情 報 メッセージ デバッグメッセージ * すべての Priority none ( 特 殊 ) Facility を 除 外 する 3 出 力 先 ファイルまたはデバイス ( 絶 対 パス 指 定 ) 他 のマシンの syslogd (@hostname で 指 定 ) ユーザ (ただしログイン 中 のユーザ * でログイン 中 の 全 ユーザ) Ⅴ.Web サーバのセキュリティ [123] Ⅴ-ⅰ. Apache 設 定 ファイル httpd.conf [126] 1httpd.conf Apache の 設 定 ファイル /etc/httpd/conf もしくは/usr/local/apache/conf に 存 在 1) ディレクティブ httpd.conf で 記 述 する 設 定 項 目 のこと [1] Apache サーバプロセスの 全 般 的 な 制 御 ( 環 境 設 定 )を 行 うディレクティブ [2] メインサーバのパラメータ 指 定 を 行 うディレクティブ [3] バーチャルホスト 別 のパラメータ 指 定 を 行 うディレクティブ Ⅴ-ⅱ. httpd.conf による 設 定 [128] 1 実 行 ユーザの 権 限 を 制 限 する [128] User, Group ディレクティブ Apache を 実 行 できるユーザやグループの 設 定 一 般 的 には[nobody]が 設 定 値 1) /etc/passwd ファイル nobody の 行 を 修 正 して nobody でログインできない 設 定 にする nobody:x:99:99:nobody:/:/sbin/nologin 2) su コマンドで nobody が root になれない 設 定 にする P104 の 方 法 による 3) /etc/group ファイル グループ wheel を 作 成 root になれるユーザを 追 加 wheel:x:10:root nobody は 記 述 しない 4) /etc/pam.d/su ファイル su コマンドの 認 証 ファイル コメントアウトをはずし 最 後 の 行 に group=wheel を 追 加

13 aauth required /lib/security/pam_wheel.so use_uid group=wheel 2ドキュメントルートのパーミッション 設 定 [129] DocumentRoot ディレクティブ ドキュメントルートの 設 定 DocumentRoot /usr/local/apache/htdocs 3INDEX OF ~ の 制 限 (1) [130] Web ブラウザにインデックス 表 示 させない ドキュメントルートディレクトリのパーミッション 変 更 # chmod 311 /usr/local/apache/htdocs ファイル 名 を 指 定 しないアクセス Foribidden と 表 示 4INDEX OF ~ の 制 限 (2) [130] httpd.conf を 設 定 1) インデックスファイルを 明 示 する 方 法 DirectoryIndex ディレクティブ 指 定 したファイルをインデックスファイルとする 2) インデックスを 表 示 したくないディレクトリの Option ディレクティブから Index の 設 定 を 削 除 する 方 法 httpd.conf の<Directory /usr/local/apache/htdocs >セクションを 変 更 Option Indexes FollowSymLinks MultiViews # Option Indexes FollowSymLinks MultiViews Option FollowSymLinks MultiViews 3) IndexIgnore ディレクティブでインデックス 表 示 したくないファイルを 指 定 する 方 法 全 てのファイルを 表 示 したくない 場 合 IndexIgnore * httpd.conf の 設 定 変 更 後 は Apache の 再 起 動 を 行 う 5HTTP ヘッダ 情 報 を 制 限 する [132] サーバアプリケーションのバージョン 情 報 などを 隠 す ServerSignature ディレクティブを 変 更 ServerTokens ディレクティブを 追 加 ServerSignature On ServerSignature Off ServerTokens ProductOnly この 設 定 は Apache 以 降 に 限 る 6エラーメッセージを 制 御 する [133] Apache がエラーを 返 す 時 に 表 示 されるページを 変 更 ErrorDocument ディレクティブを 変 更 書 式 :ErrorDocument ディレクティブの 指 定 ErrorDocument ステータスコード アクション

14 1) 代 表 的 なステータスコードのエラー ステータスコード 401 Unauthorized 403 Forbidden 404 Not Found 500 Internal Server Error 501 Not Implemented 200 番 台 成 功 応 答 300 番 台 リダイレクション 400 番 台 クライアントによるエラー 500 番 台 サーバによるエラー 意 味 2) アクション [133] [1] 直 接 メッセージを 記 述 する 例 ) ErrorDocument 404 Your request is fault. メッセージの 最 初 に " を 記 述 すること [2] 表 示 するファイルを 記 述 する 例 ) Error Document 401 /error.html [3] 外 部 の URL へリダイレクトする 古 い Apache のセキュリティホールに 対 してアタックしてきた 人 がいた 場 合 に Apache のサイトへリダ イレクトして 情 報 を 保 存 する 例 ) <Location /cgi-bin/phf*> Deny from all ErrorDocument </Location> Ⅴ-ⅲ. Web サーバへのアクセスコントロール [136] 1Web サーバの 接 続 制 限 を 行 う [137] 1) httpd.conf において 接 続 制 限 を 行 うディレクティブ Order :Allow と Deny の 優 先 順 と 接 続 の 基 本 ルールを 決 める Allow : 接 続 を 許 可 する Deny : 接 続 を 拒 否 する 2) 優 先 順 位 (Order) [138] Order allow,deny Allow を 先 に 読 み 込 むが 規 定 値 は 拒 否 優 先 で Deny が 明 示 的 に 表 示 されない 場 合 Deny from all を 適 用 する Order deny,allow Deny を 先 に 読 み 込 むが 規 定 値 は 接 続 優 先 で Allow が 明 示 的 に 表 示 されない 場 合 Allow from all を 適 用 する 例 ) 拒 否 優 先 <その 1> <その 2> Order deny,allow Deny from all Allow from ( 接 続 許 可 先 ) Order allow,deny Allow from ( 接 続 許 可 先 )

15 3) 接 続 許 可 先 の 指 定 方 法 指 定 方 法 の 例 内 容 all すべて クライアントの IP アドレス / ~ のネットワーク / ~ のネットワーク ~ のネットワーク domein.co.jp このドメインを 含 むホスト 名 ドメインで 指 定 した 場 合 は. 単 位 でドメインごとの 指 定 が 可 能 たとえば com や co.jp でもよいし subdomein.domein.co.jp のようのなさ 部 ドメインでもよい 2パスワード 認 証 ( 基 本 認 証 )を 行 う [141] httpd.conf の 基 本 認 証 を 行 いたい<Directory>セクション 内 に 次 のディレクティブを 記 述 する 1) 基 本 認 証 に 使 用 するディレクティブ ディレクティブ 名 機 能 AuthName AuthType 認 証 の 種 類 AuthUserFile 認 証 を 行 うユーザ 名 = パスワードのファイル AuthGroupFile 認 証 を 行 うグループのファイル Require リソースにアクセスできる 認 証 ユーザ 認 証 する 際 のパスワード 入 力 ダイアログボックスに 表 示 する 文 字 列 2) AuthName ディレクティブ 例 ) AuthName Authentication AuthName Please Enter Your Password. AuthName パスワードを 入 力 してください 3) AuthType ディレクティブ 基 本 認 証 の 場 合 AuthType Basic 4) AuthUserFile ディレクティブ ユーザ 認 証 を 行 うユーザとパスワードが 記 載 されたファイルを 指 定 [1] / ではじまると 絶 対 パスになり そうでなければ ServerRoot ディレクティブからの 相 対 パスになる 例 ) < 設 定 > ServerRoot /usr/local/apache/ DocumentRoot /usr/local/apache/htdocs AuthUserFile Passwd/.htpasswd [2].htpasswd の 記 述 例 例 ) Taro:mJa12k6A2 hanako:klop568 5) AuthGroupFile ディレクティブ ユーザ 認 証 を 行 うユーザの 所 属 するグループを 記 述 する [1] / ではじまると 絶 対 パスになり そうでなければ ServerRoot ディレクティブからの 相 対 パスになる

16 例 ) AuthGroupFile passwd/.htgroup [2].htgroup の 記 述 例 例 ) groupa:taro groupb:taro hanako 6) Require ディレクティブ [1] Require user ユーザ 名 認 証 を 求 めるユーザが AuthUserFile に 指 定 されたファイルにあればアクセスでき る ユーザ 名 はスペースで 区 切 って 複 数 記 述 可 能 [2] Require group グループ 名 認 証 を 求 めるユーザが AuthGroupFile に 指 定 されたグループに 所 属 し かつ AuthUserFile に 指 定 され たファイルにあればアクセスできる グループ 名 はスペースで 区 切 って 服 す 記 述 可 能 [3] Require valid-user AuthUserFile に 指 定 されたファイルにあるユーザであればアクセス 可 能 [4] Require file-owner AuthUserFile に 指 定 されたファイルにあるユーザで ファイルの 所 有 者 であればアクセス 可 能 (Apache 以 降 ) [5] Require file-group AuthUserFile に 指 定 されたファイルにあるユーザで ファイルの 所 有 グループに 属 していることが AuthGroupFile に 記 述 されていればアクセス 可 能 [6] 記 述 例 AuthUserFile passwd/.htpasswd AuthGroupFile passwd/.htgroup.htpasswd の 内 容.htgroup の 内 容 taro:mja4vld32ksa groupa:taro hanako:klop235hyff groupb:taro hanako hoge:hjuigt3s4hk この 場 合 の 記 述 例 Require valid-user taro, hanako, hoge 全 てアクセス 可 能 Require user taro taro のみアクセス 可 能 Require groupa taro, hanako がアクセス 可 能 hoge はアクセス 不 可 3パスワードファイルの 編 集 [145] パスワードファイルの 作 成 編 集 htpasswd ユーティリティを 使 用 書 式 :パスワードファイルを 作 成 # htpasswd c パスワードファイル 名 書 式 :パスワードファイルにユーザを 作 成

17 # htpasswd オプリョン パスワードファイル 名 ユーザ 名 パスワードの 入 力 を 求 められる オプション -m MD5 -s SHA 暗 号 化 方 式 -d crypt() ( 規 定 ) -p 非 暗 号 化 ( 非 推 奨 ) 書 式 :パスワードの 変 更 # htpasswd パスワードファイル 名 ユーザ 名 Ⅴ-ⅳ. 他 の Web サーバセキュリティ 設 定 [161] 1Apache のログファイルの 設 定 [161] access_log :Apache へのアクセスを 記 録 する error_log :エラーを 記 録 する referer_log :リンク 元 を 記 録 する agent_log :ユーザの Web ブラウザ 情 報 を 記 録 する 1) ログ 全 般 にかかわる 設 定 [163] HostnameLooksup ディレクティブ 接 続 元 に 記 載 するクライアントをホスト 名 にするか IP アドレスにするかを 指 定 HostnameLooksup Off :IP アドレス HostnameLooksup On :ホスト 名 On にした 場 合 ネームサーバへのホスト 名 解 決 要 求 をそのつど 送 信 することになり 多 少 なりともネットワークや CPU の 負 担 になる 2)エラーログの 設 定 [163] [1] ErrorLog ディレクティブ ログファイルのパスを 指 定 / で 始 まると 絶 対 パスになり そうでなければ ServerRoot ディレクティブからの 相 対 パスになる [2] LogLevel ディレクティブ 名 前 意 味 emerg 緊 急 事 態 alert 緊 急 に 修 正 する 状 態 のメッセージ crit 致 命 的 な 状 態 のメッセージ error 通 常 のエラーメッセージ warn 警 告 メッセージ notice 特 別 な 処 理 が 必 要 なメッセージ info 情 報 メッセージ debug デバッグメッセージ 上 から 優 先 順 位 が 高 い 3) アクセスログなどの 設 定 [164]

18 access_log, refere_log, agent_log の 設 定 方 法 はほぼ 同 じ 次 の 2 つのディレクティブで 1 セット 例 ) LogFormat %h %l %u %t %r %>s CustomLog 書 式 :LogFormat ディレクティブ LogFormat 書 式 エイリアス 名 logs/access_log common [1] 書 式 (フォーマット 文 字 ) %h : 接 続 元 %l : 接 続 もとの identd %u :ユーザ ID ( 認 証 された 場 合 のみ) %t :リクエストの 処 理 を 終 えた 時 刻 %r : 接 続 元 からのリクエスト %>s :サーバからのステータスコード %b :オブジェクトのサイズ ( 応 答 ベダを 除 く) %{Referer}: 参 照 されたサイト(リンク 元 など) %{User-agent}:クライアントのブラウザ 情 報 [2] エイリアス 名 common referer agent combined : 通 常 のアクセスログ :Referer 情 報 のログ :User-agent 情 報 のログ :common + referer + agent Ⅵ.FTP サーバのセキュリティ [177] Ⅵ-ⅰ. FTP サーバの ACL 設 定 を 行 う [178] 1 /etc/ftpaccess でユーザの 制 御 を 行 う [180] 1) 設 定 項 目 [1] ユーザ 単 位 deny-uid : 拒 否 allow-uid : 許 可 [2] グループ 単 位 deny-gid : 拒 否 allow-gid : 許 可 2) 書 式 書 式 :ユーザ 制 御 の 書 式 deny-uid ユーザ 名 deny-gid ユーザ 名 allow-uid ユーザ 名 allow-gid ユーザ 名 deny は allow より 先 に 処 理 される ユーザ 名 またはグループ 名 は UID, GID でも 記 述 可 この 場 合 数 値 の 前 に[%] 複 数 入 力 はスペースで 区 切 る - で 区 切 ると 範 囲 の 指 定 例 ) %-99 :99 以 下

19 % :65535 以 上 %10-%100 :10~100 3) 記 述 例 [1] Linux の 全 ての 特 権 ユーザや 特 殊 ユーザを FTP で 拒 否 する 場 合 deny-gid %-99 % deny-uid %-99 % [2] FTP 接 続 を 許 可 するユーザの uid を 500 番 台 そのうち 500~549 まではゲストユーザとしたい 場 合 deny-uid * allow-uid %500-%599 gestuser * realuser %550-2 /etc/ftpusers でアクセスできないアカウントを 指 定 する [182] /etc/ftpusers アクセスできないアカウントを 設 定 する 3ファイルごとに 接 続 制 限 する [183] 1) ファイルのダウロード 制 限 /etc/ftpaccess noretrieve :ダウンロード 拒 否 allow-retrieve :ダウンロード 許 可 書 式 :ファイルごとの 制 限 noretrieve allow-retrieve ファイル 名 [class=クラス] ファイル 名 [class=クラス] 2) ファイル 名 指 定 の 例 /etc/passwd :/etc/passwd が 指 定 される ほかのテ ィレクトリにある passwd は 指 定 されない passwd : 全 てのディレクトリにある passwd が 対 象 になる /etc :/etc 以 下 のファイルが 全 て 対 象 になる /home/*/passwd:/home ディレクトリ 以 下 の passwd が 対 象 となる 3) 制 限 されたファイル 制 限 されたファイルをダウンロードしようとすると 次 が 表 示 される 550 /etc/passwd is marked unretrievable 4 接 続 元 での 接 続 制 限 を 行 う [184] 1) /etc/ftphosts の 設 定 書 式 : 接 続 元 で 接 続 制 限 を 行 う allow ユーザ 名 接 続 元 アドレス deny ユーザ 名 接 続 元 アドレス 例 ) deny * * allow taro /24 localhost allow hanako localhost 基 本 的 にはどこからもアクセスしてはいけないが ユーザ taro の 場 合 は ~ のネットワークとローカルホストからの 接 続 は 許 可 し hanako の 場 合 はローカルホストからの 接 続 のみが 許 可 される

20 2) /etc/ftpaccess の deny 設 定 接 続 制 限 を 行 う 設 定 項 目 のひとつ 書 式 :deny による 接 続 拒 否 設 定 deny 接 続 元 アドレス メッセージファイル 名 接 続 を 拒 否 するとともに 指 定 したメッセージファイルを 表 示 することができる Ⅵ-ⅱ. 匿 名 FTP サービス [186] 1 匿 名 FTP サービスの 注 意 事 項 [186] 1) 匿 名 アクセス 者 の 移 動 できるディレクトリを 制 限 する 2) アップロードはできないようにする 3) 利 用 できるコマンドを 制 限 する 2 匿 名 FTP でディレクトリを 制 限 する [187] /etc/ftpaccess 内 の 項 目 書 式 :anonymous-root anonymous-rootdeny ディレクトリ[クラス] ディレクトリは 匿 名 FTP ユーザがアクセスできるディレクトリを 記 述 この 項 目 の 設 定 がない 場 合 /etc/passwd に 記 述 されたユーザ ftp のホームディレクトリが 有 効 3ファイルのアップロードができないようにする [187] /etc/ftpaccess 内 の 項 目 upload 例 ) upload /var/ftp no /var/ftp ディレクトリを 制 限 する 匿 名 FTP のルートディレクトリのパーミッションを 書 き 込 み 不 許 可 にしておく 4コマンドを 利 用 できないようにする [188] P173 で 行 ったコマンドを 制 限 する 方 法 を 使 う chmod no anonymous delete no anonymous overwrite no anonymous rename no anonymous 5 匿 名 FTP ユーザのパスワードをチェックする [188] 1) /etc/ftpaccess 内 の 項 目 書 式 :passwd-check passwd-check チェック 方 法 動 作 2) チェック 方 法 none :パスワードをチェックしない trivial が 含 まれているかをチェックする rgc822 :RFC822 に 適 合 したメールアドレスであることをチェックする 3) 動 作 warn : 警 告 はするがログインを 許 可 する

21 enforce : 警 告 し ログアウトさせる 4) 基 本 設 定 passwd-check rfc822 enforce