Linux Security– category –

「NFSの設定、とりあえず動けばいいでしょ」——そう思って運用しているサーバーが、社内で最もセキュリティ上の弱点になっている場合があります。 NFS（Network File System）は、Linuxサーバー間でディレクトリをネットワーク越しに共有するプロトコルです...

サーバーに今、知らないプロセスが動いていないか——確認しようとしても、psコマンドやnetstatの出力を目で追うだけでは限界があります。osqueryは、Linuxのシステム状態を「テーブル」として抽象化し、SQLで照会できるオープンソースのエンドポイント監視...

サーバーが侵害されたとき、攻撃者が自由に動き回れる範囲をどれだけ狭められるか——これがセキュリティの勝負どころです。「chroot（チェンジルート）」は、その封じ込めを実現するためにLinuxが古くから備えてきた仕組みです。 最新のコンテナ技術に押さ...

サーバーへの侵入に成功した攻撃者が最終的に狙うのが、カーネルモジュールとして悪意あるコードを仕込む「カーネルレベルルートキット」の設置です。カーネルと同じ権限で動作するため、通常のマルウェア検知やプロセス監視では発見できないまま長期間潜...

SSH接続の管理に追われていませんか。サーバーが10台を超えたあたりから、どの鍵をどのサーバーに登録したか把握しきれなくなり、退職者の公開鍵が authorized_keys に残ったまま…という状況は、決して珍しくありません。 この記事では、そうした鍵管理の...

「/var/log/app/ のログを監査担当者にだけ読ませたい。でも root グループの設定は変えたくない」「同じグループなのに、Aさんには書き込みを許可して、Bさんには読み取りだけにしたい」 chmod や chown だけでは、こういった細かい運用要件に応えられな...

USBメモリを社内Linuxサーバーに接続させたくない、でも全ポートを物理的に塞ぐのは現実的ではない――こう悩んでいる情シス担当者は多いはずです。Linuxサーバーや管理端末でも、「USBデバイスの接続を制御する仕組み」がなければ、悪意のあるデバイスや不...

Linuxサーバーを複数のユーザーや複数のアプリケーションで共有しているなら、「procfs（/proc）」のアクセス制御が盲点になっているかもしれません。 デフォルト設定のLinuxでは、一般ユーザーが他のユーザーのプロセス情報――コマンドライン引数・環境変...

Linuxサーバーを運用していると、必ずこういう状況に直面します。深夜、カーネルの深刻な脆弱性が公開される。ローカル権限昇格（LPE）系で、CVSS8.8以上。しかし本番環境は24時間365日稼働中であり、次のメンテナンス窓は3週間後。「パッチを当てたいが再...

VPSやクラウドサーバーを立ち上げてSSHポートをインターネットに公開した瞬間から、ボットによるスキャンとブルートフォース攻撃が始まります。多くの侵害事例を分析すると、根本原因として「sshd_configのデフォルト設定のまま運用していた」という共通点...