Linuxサーバーのセキュリティのベストプラクティス

ユーザーを作成する前に、最小の文字長を必要とする（場合によっては有効期限を含む）強力なパスワードを使用していることを確認してください。ソフトウェアシステムセキュリティの支持者が提唱する一般的なガイドラインは次のとおりです。

• 許可されている場合は、パスワードの長さを12〜14文字以上にしてください。
• 許可されている場合は、小文字と大文字、数字、記号を含めます。
• 可能な場合は、ランダムにパスワードを生成します。
• 複数のユーザー、アカウント、またはソフトウェアシステムに同じパスワードを使用することは避けてください。
• 文字の繰り返し、キーボードパターン、辞書の単語、文字または数字のシーケンス、ユーザー名、親戚またはペットの名前、ロマンチックなリンク（現在または過去）、または個人情報（ID番号、祖先の名前、日付など）は避けてください。
• ユーザーまたはアカウントに公に関連付けられている、または関連付けられる可能性のある情報の使用は避けてください。
• ユーザーの同僚や知人がユーザーに関連付けられていると知っている可能性のある情報の使用は避けてください。
• 脆弱なコンポーネントで構成されるパスワードは使用しないでください。

ユーザーを追加します（DebianおよびUbuntuオペレーティングシステム）

DebianおよびUbuntu®オペレーティングシステムの場合、次の手順に従ってユーザーを追加します。

1. 新しいユーザーを作成し、パスワードを設定します：

   useradd {username} passwd {username}

2. 新しいユーザーにsudoを与える システムでの特権操作の権限。このユーザーは、リモートでログインしてサーバーに変更を加えるためのプライマリユーザーです。

   次のいずれかの方法を使用して、sudoを実装します。 ユーザーの権限。

   a。次のコマンドを実行して、ユーザーをadminに追加します ユーザーグループ。

   usermod -aG admin {username}
   

   または、 sudoersを変更することもできます ユーザーにsudoを提供するファイル 権限。

   a。 rootとして次のコマンドを実行して、ユーザー権限のリストを編集します。

   visudo
   

   注： 一部のディストリビューションでは、システムはviを使用します visudoのテキストエディタ 。 vi はユーザーフレンドリーなエディターではないため、viチュートリアルを参照してください。

   b。 root ALL=(ALL:ALL) ALLを含む行の直後に次の行を追加します ：

   {username}     ALL=(ALL:ALL) ALL
   

   c。保存して終了します。

3. 新しいユーザーに切り替え、sudoを使用して権限をテストします 次のコマンドなど、rootアクセスを必要とするコマンドを実行するには：

   su {username}
   sudo systemctl status sshd
   

   コマンドを実行する前に、確認のために新しいユーザーのパスワードを入力するように求めるプロンプトが表示されます。

4. ユーザーがrootに昇格できることを確認することもできます 次のコマンドを実行してアカウントを作成します：

    sudo -i
   

これらの手順を正しく実行すると、ユーザーはsudoを使用できるようになります。 アクセスし、権限を昇格させることができます。適切に実行されない場合、ユーザーが sudoersにいないことを示すメッセージが表示されます。 認証しようとしたときにファイルします。

ユーザーを追加します（Red HatおよびCentOS）

Red HatおよびCentOS®オペレーティングシステムの場合、次の手順に従ってユーザーを追加します。

1. adduserを使用して新しいユーザーを作成します passwdを使用してユーザーのパスワードを設定します ：

   useradd {username}
   passwd {username}
   

2. 新しいユーザーにsudoを与える システムでの特権操作の権限。このユーザーは、リモートでログインしてサーバーに変更を加えるためのプライマリユーザーです。

   次のいずれかの方法を使用して、sudoを実装します。 ユーザーの権限。

   a。次のコマンドを実行して、ユーザーをwheelに追加します グループ

   usermod -aG wheel {username}
   

   または、 sudoersを変更することもできます ユーザーにsudoを提供するファイル 権限。

   a。次のコマンドを実行します：

   visudo
   

   注： 一部のディストリビューションでは、システムがvisudoに使用するテキストエディタ viです 。 vi はユーザーフレンドリーなエディターではないため、viチュートリアルを参照してください。

   b。 root ALL=(ALL:ALL) ALLを含む行の直後に次の行を追加します ：

   {username}     ALL=(ALL)       ALL
   

   c。保存して終了します。

3. 新しいユーザーに切り替え、sudoを使用して権限をテストします rootアクセスを必要とするコマンドを実行するには：

   su {username}
   sudo systemctl status sshd
   

   コマンドを実行する前に、確認のために新しいユーザーのパスワードを入力するように求めるプロンプトが表示されます。

4. ユーザーがrootに昇格できることを確認することもできます 次のコマンドを実行してアカウントを作成します：

    sudo -i
   

これらの手順を正しく実行すると、ユーザーはsudoを使用できるようになります。 アクセスし、権限を昇格させることができます。適切に実行されない場合、ユーザーが sudoersにいないことを示すメッセージが表示されます。 認証しようとしたときにファイルします。

SSHキーペアを生成します

パスワードを使用するよりも安全なログイン方法の場合は、以前に作成したユーザーで使用するSSHキーペアを作成します。これらの手順は、どのLinuxディストリビューションでも機能します。

注： これらの手順は、LinuxおよびmacOS®デスクトップを対象としています。 Windows®デスクトップから接続している場合は、「SSH PUTTYでRSAキーを生成する」の手順に従い、WindowsでSSH秘密キーを使用してログインし、SSHキーペアを生成して追加します。

1. 次のコマンドを実行して、ローカルでキーペアを生成します LinuxまたはMac®コンピューター：

   ssh-keygen -b 4096 -t rsa
   

   キーを保存する場所を尋ねられたら、デフォルトの場所を使用します。パスワードの追加はオプションであり、より安全ですが、不便な場合があります。

   この操作により、2つのファイルが作成されます。デフォルトの名前はid_rsaです。 秘密鍵とid_rsa.pub 公開鍵用。

2. ローカルコンピューターでキーペアを作成したら、前に作成したユーザーの公開キーをリモートサーバーにアップロードします。

   警告： 必ずpublicをアップロードしてください キー、および 秘密鍵。

   ssh-copy-id -i ~/.ssh/id_rsa.pub {username}@{remotePublicIPAddress}
   

3. ssh {username}@{remotePublicIPAddress}を使用してリモートサーバーに接続します 次のコマンドを実行して、予期しないキーが追加されていないことを確認します。

   cat .ssh/authorized_keys
   

この時点で、ssh-keyを追加しました ユーザーのパスワード認証。次のセクションでは、パスワード認証を無効にする方法に関するオプションの手順について説明します。

LinuxSSHデーモンの構成

これで、sudoの新しいユーザーができました アクセス許可とSSHキーペアを使用すると、SSHデーモン（サーバー）構成を使用してセキュリティを向上させることができます。

注： マネージドオペレーションおよびRackConnectのお客様のみ： 自動化されたシステムが必要なときにサーバーにアクセスできるようにするために、SSH構成を変更せず、次のセクションにスキップすることをお勧めします。サーバーに接続するとき、Rackspaceサポートチームはユーザーrackとしてログインします また、ポート22でパスワード認証を使用します。さらに、スナップショットから既存のサーバーを再構築するか、新しいサーバーを構築するには、PermitRootLoginを設定してrootログインを有効にする必要があります。 yesのオプション 。これらの値を変更する必要がある場合は、Rackspaceサポートチームのメンバーに相談して、FanaticalExperience™を提供する能力に影響を与えない方法で変更が行われるようにしてください。

記事の残りの部分のコマンド例は、sudoを使用して新しいユーザーとしてログインしていることを前提としています。 特権操作を実行します。

SSH構成オプション

このセクションでは、セキュリティの向上に役立つSSH構成ファイルの一般的なオプションについて説明します。この情報は、後でファイアウォールを構成するために使用されます。

このセクションでは、変更するいくつかのオプションの概要を説明し、それらの機能について説明します。その他の構成オプションの詳細については、OpenSSHのドキュメントを参照してください。

このセクションでは、次のオプションに焦点を当てます。

• Port XX ：このオプションは、SSHデーモンがリッスンするポートです（デフォルトではポート22）。
• PermitRootLogin ：このフラグは、SSH経由のルートログインを有効（yes）または無効（no）にします。デフォルトでは、この行はコメント化されており、rootログインが可能です。
• PubkeyAuthentication ：このフラグは、認証用のSSHキーを有効（yes）または無効（no）にします。デフォルトでは、この行はコメント化されており、ssh-keyを許可します アクセス。
• PasswordAuthentication ：このフラグは、パスワード認証を有効（yes）または無効（no）にします。デフォルトでは、このオプションは有効になっています。

SSHは、通信にデフォルトでポート22を使用します。悪意のある攻撃者は、ユーザー名rootでポート22を試します 彼らが攻撃するすべてのサーバーで。このため、SSH経由でrootユーザーを無効にし、非標準のポートでリッスンするようにSSHを変更すると、侵害を防ぐのに役立ちます。

ポートを変更しても、特定の侵入者を阻止することはできませんが、SSH接続の機会のほとんどの表面的なスキャンでサーバーを見落とす可能性があります。同様に、rootユーザーのSSHアクセスを削除すると、SSHを介したカジュアルブルートフォース攻撃が妨害されます。

ログイン時に使用する認証方法も検討する必要があります。デフォルトでは、すべてのLinuxシステムがパスワード認証を使用します。サーバーで認証を実行する方法は複数ありますが、主な2つは、パスワードとSSHキーを使用する方法です。

SSHキーは、パブリックキーとプライベートキーのペアで生成され、相互に組み合わせてのみ使用できます。秘密鍵は、接続元のコンピューターの安全な場所に保管する必要があります。絶対に配布しないでください。公開鍵を配布することができます。公開鍵は、接続先のサーバーに配置する鍵です。ローカルコンピューターの秘密鍵は、接続時にアルゴリズムを実行し、鍵ペアのハッシュが公開鍵と一致する場合にアクセスを許可します。

sshd_configを変更する

この時点で、sudoを使用して新しいユーザーを追加しました。 権限、SSHkeyペアを作成し、公開SSHキーをアップロードしました。これで、SSH構成ファイルを変更してセキュリティを向上させることができます。これを行うには、次の手順を使用して、SSHを変更してカスタムポートでリッスンし、SSH経由でrootログインを制限し、公開鍵認証を有効にし、パスワード認証を無効にします。

1. SSHデーモン構成ファイルを開いて編集します：

   sudo vim /etc/ssh/sshd_config
   

2. 次の行を変更します：

   注 ：デフォルトでは、Port およびPermitRootLogin #で示されるように、行はコメント化されます シンボル。コメントアウトすると、行に変更が加えられた場合でも、これらの行はデフォルトオプションとして読み取られます。これらの変更を実装するには、#を削除して関連する行のコメントを解除する必要があります 関連する行の先頭にある記号。さらに、PasswordAuthenticationを無効にする前に SSHキーを設定しているか、サーバーに接続できないことを確認してください。

   変更：

   #Port 22
   #PermitRootLogin yes
   PasswordAuthentication yes     
   

   宛先：

   Port 2222
   PermitRootLogin no
   PasswordAuthentication no
   

   2222を置き換えます 使用したいポートで。 netstatを使用して、新しいポートが別のプログラムでまだ使用されていないことを確認します。

   重要： 前述のように、sshd_configにこの変更を加えないでください。 サーバーにManagedOperationsサービスレベルがある場合はファイル。これらの変更により、サーバーへのRackspaceアクセスが拒否される可能性があります。

3. 次のコマンドを実行して、変更されたSSH構成のエラーをテストします。

   sshd -t
   

エラーが発生しない場合、SSHはカスタムポートで実行され、有効なSSHキーを渡すroot以外のユーザーのみを受け入れるように構成されています。これらの設定を適用して保持するには、SSHサービスを再起動する必要があります。ただし、まだサービスを再起動しないでください。 SSHを再起動すると、サーバーからロックアウトされる可能性があり、レスキューモードまたはWebコンソールを使用して構成を復元する必要があります。サーバーを再起動する前に、ファイアウォールを構成する必要があります。次のセクションでファイアウォールについて説明します。

    tcp        0      0 0.0.0.0:2222            0.0.0.0:*               LISTEN      1341/sshd           
    tcp6       0      0 :::2222                 :::*                    LISTEN      1341/sshd 

    tcp        0      0 0.0.0.0:2222            0.0.0.0:*               LISTEN      1341/sshd           
    tcp6       0      0 :::2222                 :::*                    LISTEN      1341/sshd 

    tcp        0      0 0.0.0.0:2222            0.0.0.0:*               LISTEN      1341/sshd           
    tcp6       0      0 :::2222                 :::*                    LISTEN      1341/sshd 

    ssh -p 2222 -i ~/.ssh/id_rsa {username}@{remotePublicIPAddress}

sudo apt-get update
sudo apt-get upgrade

sudo yum update