WEB業界で働く人や興味がある人に役立つ情報サイト“qam（カム）”

投稿者： gucchi
カテゴリー： プログラム >セキュリティ

最近は手ごろな価格で利用できるパブリッククラウドがたくさんあって、弊社でもよく利用しています。
数年前まではＯＳを丸ごと占有するような使い方をしたい場合は、専用サーバを借りるか自分でマシンを用意してハウジングするのが定番だったのですが、クラウドやＶＰＳの登場で利用料金が安価になり、個人レベルでも利用しやすくなりました。
良い時代になりましたね！

そんなクラウドなのですが、利用する際にはちょっと気をつけなければならない事があります。

ＷＥＢサイトの開発では定番のLAMP(Linux+Apache+MySQL+PHP)で環境構築するケースが多いと思いますが、その場合TeraTermSSHなどのツールを使ってユーザＩＤとパスワードを入力してサーバにログイン後、コマンドで操作します。
その為、SSHプロトコルのポートを開放することになるのですが、これをそのまま放置しておくと海外からの不正にログインしようとするアクセスで凄いことになってしまいます。（汗
過去にはこれが原因で有名な某ＷＥＢサービスも不正ログインされてしまったことがあるようです。

不正アクセスの手段としてはユーザＩＤとパスワードの色々な組み合わせをログインできるまで何度も試すというもので【ブルートフォースアタック】と呼ばれています。
パスワードをしっかりとしたものにしておけば確率的にそう簡単に破られるものではありませんが、可能性が全く無いわけでもなく、システム管理者としてはいかにその確立を減らすかを考えていかなければなりません。

ではどんな手段があるでしょうか？

1)固定ＩＰを取得し、そこからしかアクセス出来ないようにする
2)ポートを22番から違う番号に変更する
3)ログイン認証に複数回連続で失敗するとしばらく認証できなくする

まずは1番。
これは一番確実なような気がしますが、固定IPをとるには結構な費用も掛かるので、手軽に導入するのは難しいと思います。

2番目は統計的にはかなりの効果があるみたいですが、ポートスキャンされてしまうとすぐにバレてしまうので、これだけで対処するというよりは他の方法と組み合わせて効果を上げるという使い方が正しいと思います。

3番目。これは今私が一番現実的かつ有効な手段だと思っている方法で、fail2banというツールがとても便利です。
http://www.fail2ban.org/

他にも色々手段は考えられますし、新しいツールも色々出てくると思いますが、どれも完璧ということはありません。
色々と試してみて自分にとってベストなソリューションを見付けることが大事だと思います。

また、こういったセキュリティに関する対策は特にスタートアップだと軽視される傾向がありますが、サービスが流行ったとしてもサーバを乗っ取られてしまっては、元も子もありません。

今後も安全に運用していくための対策には力を入れていきたいと思います。

ではまた。