Linuxサーバーのセキュリティについて説明

最近、Linuxサーバーにおけるセキュリティに関する書籍を読みました。

私は仕事でGoogle Cloudを使っており、Compute EngineのVMをデプロイする際はLinuxを使っています。Google Cloud側でも一定のセキュリティは確保されていますが、より高い要件に対応できるエンジニアを目指し、Linuxサーバーのセキュリティについて学びました。

この記事では、私が学んだ内容をアウトプットとしてまとめています。

是非、最後までご覧いただけると嬉しいです。

インストールとセットアップに関するセキュリティ設定
標準的なセキュリティ対策
お薦めなセキュリティツール
まとめ

インストールとセットアップに関するセキュリティ設定

Linuxサーバのセキュリティを強化するためには、インストール時から適切な設定を施すことが重要です。本章では、インストールと基本的なセットアップ手順について説明します。

1. インストール

最小限のシステムをインストール（Minimal）

Linuxサーバーのセキュリティを考慮する場合、余計なソフトウェアを含まない最小構成（Minimal）でインストールするのが理想的です。これにより、攻撃対象領域を減らし、不要なサービスが動作することを防げます。

Minimalインストールでは、基本的なコマンド類のみが含まれ、例えば man や logwatch などの補助的なツールはインストールされません。
必要なパッケージは後から手動で追加することで、不要なソフトウェアを極力排除できます。

2. セットアップ

セットアップでは、いくつかのセキュリティ設定があるので一つずつ説明します。

2.1 作業用の一般ユーザーを作成する

セキュリティ上の理由から、rootユーザーで直接作業するのは避け、一般ユーザーを作成して作業を行います。

sudo adduser newuser
sudo passwd newuser
sudo usermod -aG wheel newuser  # sudo権限を付与（必要に応じて）

2.2 インストール済みのパッケージを最新のものに更新する

インストール直後の状態では、パッケージが最新でないことが多いため、まずはシステムをアップデートします。

# Red Hat系 (RHEL, CentOS, Rocky Linux, AlmaLinux)
sudo dnf upgrade -y

# Debian系 (Ubuntu, Debian)
sudo apt update && sudo apt upgrade -y

2.3 不要なサービスを停止する

デフォルトで起動している不要なサービスを特定し、無効化します。

systemctl list-unit-files --type=service --state=enabled  # 有効なサービスを確認
sudo systemctl disable <service_name>  # 不要なサービスを無効化
sudo systemctl stop <service_name>  # 実行中のサービスを停止

2.4 rootユーザーを無効にする

rootアカウントのSSHログインを許可すると、不正アクセス時にシステム全体が危険にさらされるため、これを禁止してセキュリティを強化します。

sudo sed -ri 's/^#?PermitRootLogin\s.*$/PermitRootLogin no/' /etc/ssh/sshd_config
sudo systemctl restart sshd

2.5 SSHのポート番号を変更する

デフォルトの22番ポートは攻撃を受けやすいため、別のポート（例：20022）に変更します。

sudo sed -i 's/^#Port 22/Port 20022/' /etc/ssh/sshd_config
sudo systemctl restart sshd

2.6 開いているポートを確認し、不要なポートを閉じる

Linuxで開いているポートを確認し、不要なポートを閉じることで、不正アクセスや攻撃のリスクを最小限に抑え、システムのセキュリティを強化できます。そのため、netstat や ss コマンドを使用して開いているポートを確認し、不要なポートを閉じます。

# 使用ポートの確認
sudo ss -tulnp

# firewalld（RHEL系）の場合、不要なポートを閉じる
sudo firewall-cmd --permanent --remove-port=XXXX/tcp
sudo firewall-cmd --reload

# UFW（Ubuntu系）の場合、不要なポートを閉じる
sudo ufw deny XXXX
sudo ufw reload

ssコマンドのオプション

-t：TCPポートを表示
-u：UDPポートを表示
-l：既存中のポートを表示
-n：ポート番号を数値で表示（名前解決をしない）
-p：ポートを使用しているプロセスを表示

まとめ

上記の手順を実施することで、Linuxサーバーのセキュリティを強化し、攻撃対象領域を減らすことができます。次のステップでは、標準的なセキュリティ対策について解説していきます。

標準的なセキュリティ対策

1. ファイアウォール管理ツール

① UFW（Uncomplicated Firewall）

UFW（Uncomplicated Firewall）は、Linux向けのシンプルで使いやすいファイアウォール管理ツールです。iptablesの複雑な設定を簡略化し、コマンドライン操作で直感的にルールを管理できます。主にUbuntuなどのDebian系ディストリビューションで採用されており、手軽にネットワークのセキュリティを強化できます。

特徴

Ubuntu などのディストリビューションで標準採用されている簡単なファイアウォール管理ツール
iptables のラッパーとして動作し、簡単なコマンドで設定可能

基本コマンド

sudo ufw enable              # ファイアウォール有効化
sudo ufw allow 22/tcp        # SSH(ポート22)を許可
sudo ufw deny 80/tcp         # HTTP(ポート80)を拒否
sudo ufw status              # ルールの確認

② firewalld

firewalldは、動的なファイアウォール管理を提供するLinux向けのツールで、ゾーンベースのセキュリティ管理を特徴とします。iptablesよりも柔軟で、設定変更時に接続を切断せずにルールを適用できるため、CentOSやRHELなどのディストリビューションで広く利用されています。

特徴:

RHEL系（CentOS, Rocky Linux など）で使用される動的ファイアウォールツール
iptables を簡単に管理でき、ゾーン（zone）を用いた柔軟な制御が可能

基本コマンド

sudo systemctl start firewalld       # firewalldの起動
sudo firewall-cmd --add-service=ssh  # SSHの許可
sudo firewall-cmd --reload           # 設定の適用
sudo firewall-cmd --list-all         # 設定の確認

2. ルートキット対策ツール

Rootkit Hunter（rkhunter）

Rootkit Hunter（rkhunter）は、Linuxシステム上のルートキットやマルウェア、疑わしい設定を検出するためのセキュリティツールです。ファイルの改ざん、不審なバイナリ、隠しプロセスなどをスキャンし、システムの整合性をチェックします。軽量でシンプルな設計のため、多くのLinuxディストリビューションで広く利用されています。

特徴

ルートキット（システムの不正改変）を検出するツール
システムの異常な動作を監視

基本コマンド

sudo apt install rkhunter   # インストール
sudo rkhunter --update      # データベース更新
sudo rkhunter --check       # システムスキャン

3. ブートローダーのパスワード設定

攻撃者がシングルユーザーモードでシステムを起動し、不正に管理者権限を取得することを防ぐため、ブートローダー（GRUB 2）にパスワードを設定します。

GRUB 2 でのパスワード設定手順

パスワードハッシュの作成
grub-mkpasswd-pbkdf2 コマンドを使用して、パスワードのハッシュを生成します。
＜コマンド＞
grub-mkpasswd-pbkdf2

途中でパスワードを入力すると、PBKDF2（強化されたハッシュ方式）で暗号化されたパスワードハッシュが出力されます。
設定ファイルにパスワードを追加
/etc/grub.d/40_custom ファイルを編集し、以下のように追加します。
＜コマンド＞
nano /etc/grub.d/40_custom
set superusers=”root”
password_pbkdf2 root grub.pbkdf2.sha512.10000.XXXXXXXXXXXXXXXXXX

・superusers="root"：GRUB の管理ユーザー名を指定（root でなくてもよい）。
・password_pbkdf2：先ほど生成したPBKDF2ハッシュを使用。
GRUB の設定を更新
設定を反映させるため、update-grub コマンドを実行します。
＜コマンド＞
update-grub

4. ウイルス対策

Linuxは一般的にウイルスのリスクが低いとされていますが、マルウェアや悪意のあるスクリプトからシステムを保護するためにウイルス対策ソフトを導入することが推奨されます。

Clam AntiVirusのインストール

Clam AntiVirus はオープンソースのウイルススキャナーであり、Linuxサーバーのウイルス検出に利用されます。

インストール方法

sudo dnf install clamav clamav-daemon -y  # RHEL系
sudo apt install clamav clamav-daemon -y  # Debian系

定期スキャンの実行

sudo clamscan -r /home /var

5. ファイルシステムおよびファイルの暗号化

機密データを保護するために、ファイル単位またはディスク全体を暗号化する方法を紹介します。

ファイルの暗号化

GnuPG（GPG）

GnuPG（GPG）は、オープンソースの暗号化ツールで、電子メールやファイルの暗号化・署名に使用されます。PGP（Pretty Good Privacy）互換の方式を採用し、公開鍵暗号と秘密鍵を用いた安全な通信を実現します。

gpg -c secret.txt

このコマンドは secret.txt を暗号化し、secret.txt.gpg を生成します。

ファイルシステムの暗号化

LUKS（Linux Unified Key Setup）

LUKS（Linux Unified Key Setup）は、Linuxで広く使用されるディスク暗号化方式で、複数のキースロットをサポートし、高いセキュリティでデータを保護します。cryptsetup コマンドを使用することで、パーティション全体の暗号化を容易に管理できます。物理サーバーにLinuxを構築する際には推奨されますが、大量のディスクI/Oが発生する環境では、処理にわずかな遅延が生じる可能性があります。

LUKS を用いたディスクの暗号化

sudo cryptsetup luksFormat /dev/sdX
sudo cryptsetup open /dev/sdX encrypted_drive
sudo mkfs.ext4 /dev/mapper/encrypted_drive

この方法により、ディスク全体を暗号化し、安全なストレージを構築できます。

6. ファイルを安全に削除する

通常の rm コマンドでは、削除されたファイルを復元できる可能性があります。機密情報を含むファイルを完全に削除するには、shred コマンドを使用します。

shred コマンドの使用

shred -u -z -n 3 confidential.txt
fstrim -v /

shred：ファイルを上書きして消去するコマンド
-u ：上書き後にファイルを削除
-z ：ランダムデータを書き込んだ後、ゼロで上書き
-n 3 ：3回の上書きを実施
fstrim：詳細な情報を表示する (どのブロックがトリムされたかなど)
-v：トリムされたブロックの詳細情報を表示

SSDの場合は、shred だけでは完全なデータ消去が保証されないため、fstrim コマンドを併用します。HDDの場合は、shred コマンドのみで問題なく消去可能です。

これにより、機密ファイルを復元不可能な状態にできます。

7. SELinuxによる強制アクセス制御（MAC）

SELinux（Security-Enhanced Linux）は、Linuxカーネルに組み込まれた強制アクセス制御（MAC: Mandatory Access Control）を提供するセキュリティ機能です。SELinuxを有効にすることで、不正なプロセスがシステムの重要なリソースへアクセスすることを防ぎ、攻撃の被害を最小限に抑えることができます。

SELinuxのモード

SELinuxには以下の3つの動作モードがあります。

Enforcing（強制モード）
SELinuxのポリシーを厳格に適用し、違反するアクセスをブロックする（推奨）。
Permissive（許可モード）
SELinuxのポリシー違反がログに記録されるが、実際の制限は行わない（トラブルシューティング用）。
Disabled（無効）
SELinuxが完全に無効化され、強制アクセス制御は適用されない（非推奨）。

SELinuxの状態確認

現在のSELinuxの状態を確認するには、以下のコマンドを使用します。

sestatus

SELinuxの設定変更

SELinuxのモードを変更するには、設定ファイル /etc/selinux/config を編集します。

SELINUX=enforcing

変更を適用するには、システムを再起動します。

sudo reboot

SELinuxのトラブルシューティング

SELinuxが原因でアプリケーションの動作に支障が出た場合、audit.log を確認し、適切なポリシーを適用することで対応できます。

sudo ausearch -m AVC,USER_AVC -ts recent

ausearch：auditd のログを検索するためのコマンド
-m：メッセージの種類
AVC：Access Vector Cache の略で、SELinux のアクセス制御に関するイベント
USER_AVC：ユーザー空間で発生した SELinux のアクセス拒否イベント
-ts：検索する時間範囲
recent：最近

特定のコンテキストを変更する場合は chcon コマンドを使用します。

sudo chcon -t httpd_sys_content_t /var/www/html/index.html

chcon：SELinux のコンテキストを変更するコマンド
-t：タイプを指定
httpd_sys_content_t：Web サーバー (httpd) がアクセスできるファイルやディレクトリに割り当てられるタイプ
/var/www/html/index.html：コンテキストを変更する対象のファイルパス

SELinuxを適切に設定することで、不正なアクセスを防ぎ、Linuxサーバーのセキュリティを強化できます。

標準的なセキュリティ対策のまとめ

Linuxのセキュリティ対策には、ファイアウォール管理、ルートキット検出、ブートローダー保護、ウイルス対策、暗号化、ファイルの安全な削除、SELinuxの活用など、多岐にわたる手法が存在します。これらの対策を適切に組み合わせることで、サーバーやシステムの安全性を大幅に向上させることができます。継続的な監視と定期的な更新を行い、常に最新のセキュリティ対策を維持することが重要です。

お薦めなセキュリティツール

Linuxサーバーのセキュリティを強化するためには、適切なツールを導入し、脆弱性の検出や侵入防止、アクセス制御、ログ管理などを適切に行うことが重要です。以下に、お薦めなLinuxサーバーのセキュリティを向上させる代表的なツールを紹介します。

Fail2ban（不正アクセス対策）

Fail2banは、Linuxサーバーのログを監視し、不正なアクセス試行を検出して自動的に対策を行うセキュリティツールです。特に、SSH や Web サーバーへの ブルートフォース攻撃（総当たり攻撃） に対する防御に優れています。一定回数以上の認証失敗が発生したIPアドレスを一時的にブロックし、セキュリティを強化します。

主な特徴

SSH、HTTP(S)、FTP などのサービスを保護
ブルートフォース攻撃を検出し、IPアドレスを自動ブロック
iptables や firewalld と連携して攻撃者を遮断
カスタマイズ可能なルールで様々なサービスに対応

Fail2banのインストール

RHEL/CentOS 系

sudo yum install epel-release -y
sudo yum install fail2ban -y

Debian/Ubuntu 系

sudo apt update
sudo apt install fail2ban -y

Fail2banの基本設定

Fail2ban の設定は /etc/fail2ban/jail.conf にありますが、このファイルを直接編集するのは推奨されません。代わりに、/etc/fail2ban/jail.local を作成するか、/etc/fail2ban/jail.d/ ディレクトリ内にカスタムの .conf ファイルを作成し、必要な設定を記述します。これにより、Fail2ban のアップデート時にデフォルト設定が上書きされるのを防げます。変更を適用するには、fail2ban を再起動する必要があります。

SSH攻撃対策の設定

設定ファイル /etc/fail2ban/jail.local を作成または編集します。

[sshd]
enabled = true   # SSHの監視を有効化
port    = ssh    # 監視するポート（デフォルト: 22）
maxretry = 3     # 3回失敗したらブロック
bantime  = 600   # 600秒（10分間）ブロック
findtime = 600   # 600秒以内に maxretry 回失敗したらブロック

Fail2banの基本コマンド

Fail2banの起動と自動起動設定

sudo systemctl enable fail2ban  # サーバー起動時に自動実行
sudo systemctl start fail2ban   # Fail2banの起動

現在のステータス確認

sudo fail2ban-client status

特定のサービス（例: SSH）の監視状況を確認

sudo fail2ban-client status sshd

手動で特定のIPをブロック

sudo fail2ban-client set sshd banip 192.168.1.100

手動で特定のIPを解除

sudo fail2ban-client set sshd unbanip 192.168.1.100

Fail2banの動作ログは /var/log/fail2ban.log に記録されます。
ログを確認することで、ブロックされたIPや攻撃状況を把握できます。

Fail2banのログ管理

Fail2banとファイアウォールの連携

Fail2banはデフォルトで iptables を使用してブロックを行いますが、firewalld を使用する場合は設定を変更する必要があります。

firewalld を使用する場合、設定ファイル /etc/fail2ban/jail.local に以下を追加します。

banaction = firewallcmd-rich-rules

変更後、Fail2banを再起動します。

sudo systemctl restart fail2ban

以下に一般的な問題点と対策について記載します。

問題点	対策
No firewall is active	`sudo ufw enable`（Ubuntu）または `sudo systemctl start firewalld`（RHEL）
Password policy is weak	`passwd -n 7 -x 90 -w 7` でパスワードポリシーを強化
SSH root login is enabled	`/etc/ssh/sshd_config` の `PermitRootLogin no` を設定

一般的な問題点と対策

Fail2banのメリットと注意点

Fail2banのメリットと注意点には、以下のようなものがあります。

メリット

自動で不正アクセスを検出し、攻撃者をブロック
設定がシンプルで導入が容易
さまざまなサービス（SSH, Apache, Postfix など）に対応

注意点

bantime を長くしすぎると、誤ったロックアウトのリスクがある
ログの肥大化を防ぐために定期的な管理が必要
高度な攻撃には追加のセキュリティ対策が必要

8. Fail2banのまとめ

Fail2ban は、Linuxサーバーの不正アクセスを防ぐための強力なツールです。特に、SSHやWebサーバーのブルートフォース攻撃に対して有効で、一定回数の認証失敗が発生したIPを自動でブロックすることでサーバーの安全性を向上させます。

導入は簡単：apt install fail2ban で即座に利用可能
SSH・Web攻撃をブロック：自動でIPアドレスを遮断
設定変更も容易：/etc/fail2ban/jail.local でカスタマイズ可能

Fail2banを適切に設定し、安全なLinuxサーバー運用を実現できます。

Snort/Suricata

SnortとSuricataは、ネットワーク型侵入検知システム（NIDS）および侵入防止システム（IPS）として広く使用されているツールです。どちらもネットワークトラフィックを監視し、悪意のある活動や不正アクセスを検出・防止する役割を担います。

Snortの概要

Snortは、1998年にMartin Roeschによって開発されたオープンソースのNIDS/IPS です。軽量で柔軟性があり、カスタムルールの作成が可能であることから、長年にわたりネットワークセキュリティの分野で広く利用されています。

主な特徴

シグネチャベースの検知：既知の攻撃パターン（シグネチャ）に基づいて脅威を検出
リアルタイムパケット分析：ネットワークトラフィックをリアルタイムで監視
カスタムルールの作成：ユーザーが独自の検知ルールを定義可能
モジュール化されたアーキテクチャ：必要な機能を追加・変更しやすい

Snortの動作モード

パケットスニッフィングモード：ネットワーク上のトラフィックをキャプチャする（tcpdumpのような動作）
パケットロギングモード：収集したトラフィックをログとして記録
NIDS/IPSモード：ルールに基づき、脅威を検知しアラートを発生、またはトラフィックをブロック

Snortの活用例

企業ネットワークの不正アクセス監視
DDoS攻撃の検知
マルウェア感染の兆候の検出

Suricataの概要

Suricataは、Open Information Security Foundation（OISF）が開発した次世代NIDS/IPS であり、Snortと互換性を持ちながらも、より高性能な機能を提供します。

主な特徴

マルチスレッド対応：Snortと異なり、複数のCPUコアを活用し、高速なトラフィック解析が可能
高度なプロトコル解析：HTTP, TLS, FTP, SMBなどのプロトコルを詳細に解析
組み込みLuaスクリプトサポート：より高度な検知ルールの実装が可能
Snortルールとの互換性：既存のSnortルールを活用しながら、Suricata独自の機能を追加可能
JSONフォーマットでのログ出力：SIEM（Security Information and Event Management）との統合が容易

Suricataの活用例

大規模ネットワークでの高速な脅威検知
TLS/SSLトラフィックの解析
IoTデバイスのセキュリティ監視

SnortとSuricataの比較

項目	Snort	Suricata
開発元	Cisco（元Sourcefire）	Open Information Security Foundation（OISF）
マルチスレッド	非対応（シングルスレッド）	対応（並列処理可能）
パフォーマンス	中規模ネットワーク向け	大規模ネットワーク向け
ルールの互換性	Snortルールのみ	Snortルール+独自機能
プロトコル解析	限定的	より高度な解析
ログフォーマット	テキストベース	JSON形式サポート

SnortとSuricataの比較

どちらを選ぶべきか？

小規模～中規模のネットワーク → Snort
大規模なネットワークや高パフォーマンスが求められる環境 → Suricata

また、SnortとSuricataを併用し、異なる役割で運用するケースもあります。

Snort/Suricataのまとめ

SnortとSuricataは、どちらも強力なNIDS/IPSツールであり、ネットワークセキュリティの重要な要素となっています。Snortは軽量でシンプルな構成が可能なため、導入しやすいのが特徴です。一方、Suricataは高性能なマルチスレッド処理と高度なプロトコル解析機能を備え、大規模なネットワークに適しています。

どちらを選ぶかは、ネットワーク規模、パフォーマンス要件、管理コストなどを考慮して決定すると良いでしょう。

Lynis

Lynisは、LinuxおよびUnix系システム向けの包括的なセキュリティ監査ツールです。オープンソースで提供されており、システムの脆弱性やセキュリティリスクを特定し、適切な対策を提示するのに役立ちます。

Lynisの概要

Lynisは、CIS（Center for Internet Security）ベンチマークやNISTガイドラインなどのセキュリティ基準に基づいて、システムの監査を行うツールです。企業や政府機関のセキュリティ監査、コンプライアンス確認、脆弱性管理に広く利用されています。

主な特徴

システム全体のセキュリティ監査
root権限なしで実行可能（推奨はroot）
軽量でシンプルなインストール
脆弱性やセキュリティリスクをスコア化
ベンチマーク（CIS、NIST、ISO 27001など）に基づく診断
自動化やスクリプトと統合しやすい

Lynisのインストール方法

LynisはほとんどのLinuxディストリビューションで簡単にインストールできます。

1. パッケージマネージャを使用してインストール

# RHEL系（CentOS, AlmaLinux, Rocky Linux）
sudo dnf install lynis

# Debian系（Ubuntu, Debian）
sudo apt install lynis

2. GitHubから最新バージョンを取得

git clone https://github.com/CISOfy/lynis.git
cd lynis
sudo ./lynis audit system

Lynisの基本的な使い方

1. システム全体のセキュリティ診断

Lynisを実行することで、システム全体のセキュリティ状態を診断できます。

sudo lynis audit system

上記コマンドは、以下の点をチェックすることができます。

OS情報：ディストリビューション、カーネルバージョンなど
認証・認可設定：ユーザー管理、パスワードポリシー
ネットワーク設定：ファイアウォール、オープンポート
サービスとデーモン：不要なサービスの確認
ログと監査：ログの設定、システム監査
マルウェア対策とセキュリティ強化の推奨事項

実行後、診断結果の詳細は /var/log/lynis.log に記録され、推奨事項やスコアは /var/lib/lynis/report.dat に保存されます。

2. 特定のカテゴリのみ監査

ファイアウォールやアプリケーションセキュリティのみをチェックしたい場合は、カテゴリを指定できます。

sudo lynis audit system --tests-from-group firewall
sudo lynis audit system --tests-from-group malware

3. システム情報の確認

Lynisはハードウェアやシステムの基本情報も提供します。

sudo lynis show details

Lynisの診断結果の見方

Lynisの実行結果には、以下のような情報が含まれます。

[OK] → 問題なし
[WARNING] → 推奨設定に準拠していない（改善が必要）
[SUGGESTION] → セキュリティ向上のための推奨事項

例えば、以下のような出力が得られます。

[OK] Kernel is hardened.
[WARNING] No firewall is active.
[SUGGESTION] Configure AppArmor or SELinux for better security.

Lynisの活用例

企業のセキュリティ監査
→ システム全体の診断を定期的に実施し、レポートを作成

サーバーの脆弱性チェック
→外部からの攻撃に対する耐性を評価し、修正

DevOps環境での自動監査
→ CI/CDパイプラインに組み込み、セキュアな環境を維持

Lynisのまとめ

Lynisは、Linux/Unix環境のセキュリティ診断に欠かせないツールです。

シンプルな操作で強力なセキュリティ監査が可能
脆弱性やセキュリティリスクを検出し、具体的な対策を提示
企業のコンプライアンス遵守やサーバー管理に役立つ

定期的にLynisを実行し、セキュリティを強化することで、システムの安全性を向上させましょう！

まとめ

本日は、下記３点について説明しました

インストールとセットアップに関するセキュリティ設定
標準的なセキュリティ対策
お薦めなセキュリティツール

Linuxは、さまざまなWebサービスやシステムで広く使用されており、近年ではランサムウェアの感染拡大による個人情報漏洩の事件が世界中で確認されています。Linuxのセキュリティ対策を適切に実施することで、こうしたリスクを防ぐことができます。本記事を参考にして、皆さんもLinuxのセキュリティ対策を強化してください。

これからも、Macのシステムエンジニアとして、日々、習得した知識や経験を発信していきますので、是非、ブックマーク登録してくれると嬉しいです！

それでは、次回のブログで！

インストールとセットアップに関するセキュリティ設定

1. インストール

最小限のシステムをインストール（Minimal）

2. セットアップ

2.1 作業用の一般ユーザーを作成する

2.2 インストール済みのパッケージを最新のものに更新する

2.3 不要なサービスを停止する

2.4 rootユーザーを無効にする

2.5 SSHのポート番号を変更する

2.6 開いているポートを確認し、不要なポートを閉じる

ssコマンドのオプション

まとめ

標準的なセキュリティ対策

1. ファイアウォール管理ツール

① UFW（Uncomplicated Firewall）

② firewalld

2. ルートキット対策ツール

Rootkit Hunter（rkhunter）

3. ブートローダーのパスワード設定

GRUB 2 でのパスワード設定手順

4. ウイルス対策

Clam AntiVirusのインストール

インストール方法

定期スキャンの実行

5. ファイルシステムおよびファイルの暗号化

ファイルの暗号化

GnuPG（GPG）

ファイルシステムの暗号化

LUKS（Linux Unified Key Setup）

LUKS を用いたディスクの暗号化

6. ファイルを安全に削除する

shred コマンドの使用

7. SELinuxによる強制アクセス制御（MAC）

SELinuxのモード

SELinuxの状態確認

SELinuxの設定変更

SELinuxのトラブルシューティング

標準的なセキュリティ対策のまとめ

お薦めなセキュリティツール

Fail2ban（不正アクセス対策）

主な特徴

Fail2banのインストール

RHEL/CentOS 系

Debian/Ubuntu 系

Fail2banの基本設定

SSH攻撃対策の設定

Fail2banの基本コマンド

Fail2banの起動と自動起動設定

現在のステータス確認

特定のサービス（例: SSH）の監視状況を確認

手動で特定のIPをブロック

手動で特定のIPを解除

Fail2banのログ管理

最新のログを表示

Fail2banとファイアウォールの連携

Fail2banのメリットと注意点

メリット

注意点

8. Fail2banのまとめ

Snort/Suricata

Snortの概要

主な特徴

Snortの動作モード

Snortの活用例

Suricataの概要

主な特徴

Suricataの活用例

SnortとSuricataの比較

どちらを選ぶべきか？

Snort/Suricataのまとめ

Lynis

Lynisの概要

主な特徴

Lynisのインストール方法

Lynisの基本的な使い方

1. システム全体のセキュリティ診断

2. 特定のカテゴリのみ監査

3. システム情報の確認

Lynisの診断結果の見方

Lynisの活用例