SSHサーバーの堅牢化

インターネットに公開されたSSHサーバーは、自動化された攻撃の標的になり続けます。デフォルト設定のままでは、ボットが絶えず探し回る侵入口がいくつも残っています。

強化とは、サーバー側の設定を厳格にし、攻撃者にサーバーを見つけられてもブルートフォースで侵入できないようにすることです。

サーバー側のSSHの動作は/etc/ssh/sshd_configで制御します。これは、以前設定したクライアント設定（~/.ssh/config）とは異なります。

必ずrootとして編集し、変更前にバックアップを取ってください。

rootアカウントは、攻撃者が最初に試す対象です。rootでの直接ログインを無効にすると、有効なユーザー名も推測しなければならなくなります。

PermitRootLoginをnoに設定します。管理者は通常のユーザーとしてログインし、sudoを使用してください。

鍵ベースの認証が機能することを確認したら、パスワード認証を完全に無効にします。これによりブルートフォース攻撃を完全に無効化できます。推測すべきパスワードがなくなるためです。

警告：この設定を適用する前に鍵でログインできることを確認してください。確認しないと、自分自身を締め出してしまう可能性があります。

AllowUsersまたはAllowGroupsを使って、SSHを使用できるアカウントを正確にホワイトリスト化できます。リストにないユーザーは、有効な鍵を持っていても拒否されます。

これは、複数のユーザーが利用するサーバーにおける、強力でシンプルな制御方法です。

SSHをポート22から移動しても実際のセキュリティは向上しませんが、ログに記録される自動スキャナーのノイズを大幅に減らせます。

標準以外のポートを選び、ファイアウォールでそのポートを開くことと、クライアントにポート番号を伝えることを忘れないでください。

いくつかのディレクティブによって、攻撃者に与えられる時間枠を短くできます。

• MaxAuthTries — 切断するまでに許可する失敗試行回数
• LoginGraceTime — 認証に許可する秒数
• MaxSessions — 1つの接続あたりの同時セッション数

編集後は、再起動する前にsshd -tで構文を検証してください。入力ミスがあるとサービスが起動せず、接続できなくなる可能性があります。

その後、サービスをリロードします。現在のセッションは開いたままにし、新しい接続をテストしてから現在のセッションを閉じてください。

Fail2banは認証ログを監視し、失敗回数が多すぎるIPアドレスを一時的に禁止します。sshdの設定に加えて、動的なファイアウォール層を追加します。

インストールしてSSH jailを有効にしてください。ほとんどのサーバーでは、デフォルト設定で問題ありません。

無効にした機能をサーバーが実際に拒否することを確認してください。詳細な出力を有効にして接続し、サーバーが提供している認証方式を確認します。

セキュリティを強化したサーバーは、publickeyのみを提示し、パスワードログインとrootログインを拒否する必要があります。

SSHサーバーを長期的に安全に保つには、次の点に注意してください。

• 鍵によるログインをテストする前に、PasswordAuthentication noを決して適用しない
• 設定を変更している間は、1つのセッションを開いたままにする
• 編集するたびにsshd -tを実行する
• sshdのセキュリティ強化をファイアウォールおよびFail2banと組み合わせる

SSHのセキュリティ強化に関する知識を確認しましょう。

/etc/ssh/sshd_configを通じて、SSHサーバーのセキュリティを強化しました。

• rootログインとパスワードログインを無効にした
• AllowUsersでユーザーを許可リストに登録した
• MaxAuthTriesとLoginGraceTimeを調整した
• ブルートフォース攻撃を動的に防ぐFail2banを追加した

sshd -tで検証し、セッションを閉じる前には必ずテストしてください。