侵入検知と防御

サーバーセキュリティの最後のレッスンへようこそ。防御に不可欠なファイアウォールと監査について学んできました。しかし、執拗な攻撃者がこれらの防御を回避しようとしたらどうでしょうか。

このレッスンでは、侵入検知システム（IDS）と侵入防止システム（IPS）を紹介します。これらのツールはアクティブディフェンスの層を追加し、サーバー上の悪意のある活動を検知して阻止するのに役立ちます。

侵入検知システム（IDS）は、不審な活動を常に監視する警備員のようなものです。攻撃を示すパターンがないか、サーバーのネットワークトラフィックやシステムログを監視します。

• パッシブ監視：IDSは脅威を検知し、通知します。
• ブロックは行わない：侵入を能動的にブロックしたり防止したりすることはありません。役割は通知に限られます。
• 例：SnortやSuricataなどのツールは、送受信データを分析するネットワークベースのIDSとして機能します。

侵入防止システム（IPS）は、IDSの概念をさらに発展させたものです。IPSは通知するだけでなく、検知した脅威を阻止するために能動的に介入します。

• アクティブ保護：悪意のあるIPアドレスを自動的にブロックしたり、不審な接続を終了したり、有害なパケットを破棄したりできます。
• 防止を重視：リアルタイムで侵入の成功を防ぐことが目的です。
• Fail2Ban：今回取り上げる、ホストベースのIPSとして広く使われている例です。

Fail2Banは、強力なオープンソースのホストベースIPSです。SSH、Webサーバー、メールサーバーなどのログファイルをスキャンし、繰り返されるログイン失敗やその他の不審なパターンを探します。

指定した時間内に単一のIPアドレスからの失敗が多すぎると、Fail2Banはサーバーのファイアウォールルールを自動的に更新し、そのIPアドレスを一時的または恒久的に禁止します。

Fail2Banは、次の3つの主要な概念に基づいて動作します。

• フィルター：ログファイル内で探すパターンを定義する正規表現です（例：'failed password for root'）。
• Jail：フィルターとアクションを組み合わせたものです。監視するログファイル、使用するフィルター、フィルターの条件に一致したときに実行するアクションを指定します。
• アクション：IPが禁止されたときに実行されるコマンドです。通常は、iptablesやufwなどのファイアウォールルールを変更して送信元IPをブロックします。

Fail2Banは、ほとんどのLinuxディストリビューションのデフォルトリポジトリで利用できます。ここでは、UbuntuなどのDebianベースのシステムにインストールします。

まずパッケージリストを更新し、次にfail2banパッケージをインストールします。

Fail2Banの主な設定ファイルは/etc/fail2ban/jail.confです。ただし、更新時に上書きされる可能性があるため、このファイルを直接編集してはいけません。

代わりに、/etc/fail2ban/jail.localという名前でコピーを作成し、そこで変更を行います。このファイルの設定がjail.confの設定を上書きします。

jail.localで設定できる主なグローバル設定は次のとおりです。

• bantime：IPを禁止する期間（例：10分間の10m）。
• findtime：失敗した試行を数える時間枠（例：10m）。
• maxretry：IPを禁止するまでの失敗回数（例：5）。

Fail2Banの最も一般的な用途の1つは、ブルートフォース攻撃からSSHを保護することです。/etc/fail2ban/jail.localファイルには、「jail」と呼ばれるサービスごとのセクションがあります。

SSHのjailを有効にするには、通常、[sshd]セクションでenabled = trueを設定するだけです。bantime、findtime、maxretryの値をカスタマイズすることもできます。

編集後、変更を反映するためにFail2Banを再起動します。

Fail2Banを設定して起動したら、ステータスを確認し、IPが実際に禁止されているかを確認するとよいでしょう。そのためにはfail2ban-clientコマンドを使用できます。

Fail2Ban全体のステータスを確認するには、次のようにします。

よくできました。サーバーにアクティブな防御層を追加する方法を学びました。

• IDS（侵入検知システム）は、不審な活動を検知して通知します。
• IPS（侵入防止システム）は、脅威を検知して通知し、能動的にブロックします。
• Fail2Banは、ログをスキャンして悪意のあるパターンを探し、ファイアウォールルールを更新して問題のあるIPアドレスを禁止するホストベースのIPSです。
• Fail2Banのインストール、jail.localでのグローバル設定、SSHなど特定のjailの有効化、ステータスの監視について学びました。

Fail2Banを導入すると、ブルートフォース攻撃やその他の自動化された脅威に対するサーバーの耐性が大きく向上します。これらのスキルを練習し、堅牢で安全なシステムを構築できるようになりましょう。