押さえておきたいサーバーセキュリティ

押さえておきたいサーバーセキュリティ株式会社インフォアライブ　サーバー事業部　岩本貴久第4回まなびば関西

自己紹介岩本貴久所属：株式会社インフォアライブ　サーバー事業部仕事：サーバー兼ネットワークエンジニアもどきおもにLinux、ときどきWindows 特徴：来年2月で30歳あらさー・独身・彼女なし・ｳﾜｧｧｧｧｧｧヽ(`Д´)ﾉｧｧｧｧｧｧﾝ! 基本ひきこもりインテリア大好き！ ※この写真は、イメージです。実物とは若干異なる場合があります。

会社紹介株式会社インフォアライブ所在地：大阪府吹田市（江坂）設立：2001年7月17日設立人員：8名

ソリューション事業ソフトウェアの受託開発自社サービスの展開

CheerPet for Dogs CheerDogs 「CheerPet for Dogs」愛犬の写真をみんなで投稿する写真共有アプリです。毎日替わる新しい写真や、人気のワンちゃんを見て和みませんか?

サーバー事業レンタルサーバーサービス

前置きが長くなりましたそれでは、本題に。

セキュリティ対策を考える前にコンピュータセキュリティとはなにか？セキュリティと利便性は相反する性質のもの

セキュリティ対策対策には2種類ある

情報の流出流出の経路

ファイルが閲覧可能状態ファイル[index.html]がない時、クローラーやユーザーにファイルは丸見えです。 Options -Indexesとしましょう

認証管理画面や、一般ユーザーに見せたくないページに認証はかかっていますか？意外と管理画面が丸見えのページは多いです。検索エンジンのクローラーにガッツリ、クロールされちゃいます。そして、もれなく、ユーザーにも丸見えです。

IPの指定一般には見せたくないページの閲覧者が、特定のIPのみなら、IP制限をしましょう。上記の様にすることで、閲覧は特定の IPからのみと制限できます。

もしももしもの時を考えて、情報は暗号化して保存しましょう。それでも漏れてしまったら・・・ Google ウェブページ削除リクエストツール https://www.google.com/webmasters/tools/removals?hl=ja&pli=1

非暗号化による通信 [http] と [https] の違いご存知ですか？では、実際に違いを見てみましょう

[http]と[https]の違い通信の暗号化と非暗号化 [http] HTTP/1.1.404.Not.Found.. Date:.Mon,.06.Jun.2011.05:15:24.GMT..Server:.Apache/2.2.17.(EL). .Content-Length:.282..Keep-Alive:.timeout=15,.max=99..Connection:.Keep-Alive.. Content-Type:.text/html;.charset=iso-8859-1....<!DOCTYPE.HTML.PUBLIC."-//IETF//DTD.HTML.2.0//EN">. <html><head>.<title>404.Not.Found</title>.</head><body>.<h1>Not.Found</h1>. <p>The.requested.URL./favicon.ico.was.not.found.on.this.server.</p>.<hr>.<address>Apache/2.2.17.(EL) .Server.at.sanma.local.Port.80</address>.</body></html>. [https] E..2.Q@.@.X...d5..d1...+.[_...#.P..?l4......P..E......[t.v21...yU...${..X.6...-..,.....|...y~q.6....<...`.sJ. .,..T.@o.S...:.....[.dM2.F.H...i...[..6...hN.*.j{...+V....b.......&....<.5..t...b..x.g.....HE...N.......k1.. (.pk.w......k...r...@5....a.xiVd..@Irk?e.?.K....S....E.1j.Z....b..,~.i.g..{.9`.9.=tX E..2.R@.@.X...d5..d1 ...+.[_...#.P..?l4......P..E.....[t.v21...yU...${..X.6...-.

クライアントPCからの漏洩こればっかりは、気をつけてください。としか言い様がありませんが。 ,[object Object]

ウィルス定義ファイルを常に最新にする

OSのセキュリティパッチを常に最新のものにしておく

「Winny」とか「Share」とか怪しいソフトを入れない,[object Object]

実際の攻撃 phpMyAdminの脆弱性を付いた攻撃 61.187.206.148 - - [24/May/2011:23:15:53 +0900] "GET //admin/phpmyadmin/scripts/setup.php HTTP/1.1" 404 233 "-" "-" 61.187.206.148 - - [24/May/2011:23:16:05 +0900] "GET //typo3/phpmyadmin/scripts/setup.php HTTP/1.1" 404 233 "-" "-" 61.187.206.148 - - [24/May/2011:23:16:12 +0900] "GET //phpmyadmin/scripts/setup.php HTTP/1.1" 404 227 "-" "-" 61.187.206.148 - - [24/May/2011:23:16:14 +0900] "GET //phpmyadmin1/scripts/setup.php HTTP/1.1" 404 228 "-" "-" 61.187.206.148 - - [24/May/2011:23:16:15 +0900] "GET //phpmyadmin2/scripts/setup.php HTTP/1.1" 404 228 "-" "-" 61.187.206.148 - - [24/May/2011:23:16:17 +0900] "GET //xampp/phpmyadmin/scripts/setup.php HTTP/1.1" 404 233 "-" "-" 61.187.206.148 - - [24/May/2011:23:16:19 +0900] "GET //phpmyadmin/scripts/setup.php HTTP/1.1" 404 227 "-" "-" 89.111.184.209 - - [27/May/2011:06:54:43 +0900] "GET /admin/phpmyadmin/scripts/setup.php HTTP/1.1" 404 232 "-" "ZmEu" 89.111.184.209 - - [27/May/2011:06:54:47 +0900] "GET /typo3/phpmyadmin/scripts/setup.php HTTP/1.1" 404 232 "-" "ZmEu" 89.111.184.209 - - [27/May/2011:06:54:49 +0900] "GET /phpmyadmin/scripts/setup.php HTTP/1.1" 404 226 "-" "ZmEu" 89.111.184.209 - - [27/May/2011:06:54:50 +0900] "GET /phpmyadmin1/scripts/setup.php HTTP/1.1" 404 227 "-" "ZmEu" 89.111.184.209 - - [27/May/2011:06:54:51 +0900] "GET /phpmyadmin2/scripts/setup.php HTTP/1.1" 404 227 "-" "ZmEu" 89.111.184.209 - - [27/May/2011:06:54:53 +0900] "GET /xampp/phpmyadmin/scripts/setup.php HTTP/1.1" 404 232 "-" "ZmEu" 89.111.184.209 - - [27/May/2011:06:54:55 +0900] "GET /phpmyadmin/scripts/setup.php HTTP/1.1" 404 226 "-" "ZmEu"

脆弱性とは？コンピュータやネットワークなどの情報システムにおいて、第三者が保安上の脅威となる行為(システムの乗っ取りや機密情報の漏洩など)に利用できる可能性のあるシステム上の欠陥や仕様上の問題点。システムの脆弱性となるのはハードウェアの欠陥やソフトウェアのバグが多いが、こうした明白な欠陥だけが脆弱性になるわけではなく、開発者が予想しなかった利用形態や設計段階での見落としなど、形式的には欠陥とはならない潜在的な問題点が脆弱性として後から認知されることも多い。最も多い脆弱性はソフトウェアのバグや仕様上の欠陥によるもので、脆弱性が発見されると開発者により修正プログラムが提供される。システムを安全に保つにはこまめにこうした修正プログラムを適用することが重要である。情報セキュリティに対する脆弱性となるのはシステム上の問題点だけでなく、機密情報の管理体制が整っていないなどといった人間の振る舞いに関する問題点も脆弱性となりうる。こうした脆弱性をシステム的なものと区別して人為的脆弱性と呼ぶこともある。

余計な物は、置かない、動かさない不必要な物を、設置、稼働されることで、そこにセキュリティホールのリスクが増えます。例えば [phpMyAdmin]使い終われば、不要では？ OSに標準のサービス。そのサービス必要ですか？

特定される項目を見せない脆弱性はソフトウェアのバージョンにより有無が異なるバージョンや種類を特定できなくすることで、攻撃を受けるリスクを減らせます。 Apache /etc/httpd/conf/httpd.conf # ServerSignature On ServerSignature Off #ServerTokens OS ServerTokensProductOnly PHP /etc/php.ini ;expose_php = On expose_php = Off

Apacheの場合 404のエラー画面 Not Found The requested URL /test was not found on this server. Apache/2.2.17 (EL) Server at sanma.local Port 80 Not Found The requested URL /test was not found on this server.

PHPの場合 http://test.com/index.php/?=PHPB8B5F2A0-3C92-11d3-A3A9-4C7B08C10000 ファイル[phpinfo.php] がなくても上記の様なURLを入力すると見えます。

余談 Nesussってご存知ですか？ Nessusは高速な検出や設定監査などの機能を持つ脆弱性スキャナ。組織全体、DMZ、物理的に分散したネットワークなどで実装でき、ネットワークベースの脆弱性やポートのスキャンをはじめ、SkypeやFirefoxといったサードパーティアプリケーションのセキュリティテスト、 Webアプリケーション脆弱テストなどの機能もある。

押さえておきたいサーバーセキュリティ

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Viewers also liked

Viewers also liked (20)

Similar to 押さえておきたいサーバーセキュリティ

Similar to 押さえておきたいサーバーセキュリティ (20)

More from Takahisa Iwamoto

More from Takahisa Iwamoto (11)

Recently uploaded

Recently uploaded (10)

押さえておきたいサーバーセキュリティ