Linuxサーバー初期セキュリティ設定チェックリスト｜VPS・クラウドを立ち上げたら最初にやるべき25の手順

# 管理ユーザーを作成（例: adminuser）
useradd -m -s /bin/bash adminuser

# パスワードを設定
passwd adminuser

# RHEL系（AlmaLinux / Rocky Linux）
usermod -aG wheel adminuser

# Ubuntu / Debian系
usermod -aG sudo adminuser

# 変更: yes → no
PermitRootLogin no

# 鍵ペアを生成（ed25519 が現在の推奨アルゴリズム）
ssh-keygen -t ed25519 -C "your_email@example.com"

# 公開鍵をサーバーにコピー
ssh-copy-id -i ~/.ssh/id_ed25519.pub adminuser@サーバーIP

# /etc/ssh/sshd_config
PasswordAuthentication no
ChallengeResponseAuthentication no  # RHEL系
KbdInteractiveAuthentication no     # Ubuntu系

# 設定を反映
systemctl reload sshd

# /etc/ssh/sshd_config
# デフォルト: #Port 22 → 任意のポート番号に変更
Port 2222

# RHEL系（SELinux環境）
semanage port -a -t ssh_port_t -p tcp 2222

# /etc/ssh/sshd_config
# デフォルト: 6 → 3 に減らす
MaxAuthTries 3

# 同時セッション数も絞る
MaxSessions 3

# /etc/ssh/sshd_config
# SSH接続を許可するユーザーを明示的に指定
AllowUsers adminuser

# /etc/ssh/sshd_config
X11Forwarding no

# /etc/ssh/sshd_config
# 120秒（2分）応答がなければ接続を切断
ClientAliveInterval 120
ClientAliveCountMax 2

# インストール（Ubuntu）
apt install fail2ban -y

# インストール（RHEL系）
dnf install fail2ban -y

# 設定ファイルを作成
cat > /etc/fail2ban/jail.local << 'EOF'
[sshd]
enabled = true
port    = 2222
maxretry = 3
bantime  = 3600
findtime = 600
EOF

systemctl enable --now fail2ban

# RHEL系
systemctl enable --now firewalld

# Ubuntu系（ufw）
ufw enable

# 現在の設定を確認
firewall-cmd --list-all

# デフォルトゾーンを public に設定
firewall-cmd --set-default-zone=public

# 不要なサービスを削除（例: dhcpv6-client）
firewall-cmd --permanent --remove-service=dhcpv6-client
firewall-cmd --reload

# 変更後のSSHポートを許可
firewall-cmd --permanent --add-port=2222/tcp

# Webサーバーとして使う場合はHTTP/HTTPSも許可
firewall-cmd --permanent --add-service=http
firewall-cmd --permanent --add-service=https

# 設定を反映
firewall-cmd --reload

# 現在 LISTEN 中のポートを確認
ss -tlnp

# 想定外のプロセスがないか目視確認
ss -tlnp | awk '{print $1, $4, $6}'

# RHEL系
dnf update -y

# Ubuntu系
apt update && apt upgrade -y

# RHEL系: 依存関係で不要になったパッケージを削除
dnf autoremove -y

# Ubuntu系
apt autoremove -y

# RHEL系: dnf-automatic をインストール
dnf install dnf-automatic -y

# apply_updates = yes に変更
sed -i 's/^apply_updates = no/apply_updates = yes/' /etc/dnf/automatic.conf

systemctl enable --now dnf-automatic.timer

# Ubuntu系
apt install unattended-upgrades -y
dpkg-reconfigure -plow unattended-upgrades

systemctl status rsyslog

# ログが正常に記録されているか確認
tail -f /var/log/auth.log     # Ubuntu系
tail -f /var/log/secure       # RHEL系

# インストールと有効化
dnf install audit -y           # RHEL系
apt install auditd -y          # Ubuntu系

systemctl enable --now auditd

# 基本ルール: sudo コマンドの実行を記録
auditctl -a always,exit -F path=/usr/bin/sudo -F perm=x

# ローテーション設定を確認
cat /etc/logrotate.conf

# ディスク使用量も確認
df -h /var/log

# 起動中のサービス一覧を確認
systemctl list-units --type=service --state=running

# 不要なサービスを停止・無効化（例）
systemctl stop avahi-daemon
systemctl disable avahi-daemon

# サーバー用途で不要になりやすいサービス
# avahi-daemon  … ネットワーク自動検出（mDNS）
# cups          … 印刷サービス
# bluetooth     … Bluetooth デーモン

# /etc/sysctl.d/99-security.conf を作成
cat >> /etc/sysctl.d/99-security.conf << 'EOF'
# IPスプーフィング対策（パケットの送信元検証を有効化）
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1

# ICMPリダイレクトを無効化（経路情報の改ざん防止）
net.ipv4.conf.all.accept_redirects = 0
net.ipv6.conf.all.accept_redirects = 0

# SYN flood 対策（SYNクッキーを有効化）
net.ipv4.tcp_syncookies = 1

# コアダンプ（クラッシュ時のメモリダンプ）を制限
fs.suid_dumpable = 0
EOF

sysctl -p /etc/sysctl.d/99-security.conf

# SUID/SGIDビット付きファイルを一覧表示
find / -perm /6000 -type f -ls 2>/dev/null

# 結果をファイルに保存（後からの比較用）
find / -perm /6000 -type f -ls 2>/dev/null > /root/suid_sgid_baseline.txt