Linuxサーバーセキュリティ
SSHキーによるハードニング
SSHはすべてのLinuxサーバーの玄関口であり、インターネット上で最もブルートフォース攻撃を受けるサービスです。キーのみの認証、rootログインの無効化、fail2banの監獄、非標準ポートの組み合わせにより、ほぼすべての自動SSH侵入を排除しながら、正当な管理アクセスを迅速に保ちます。
要点
- すべてのアカウントをed25519またはRSA-4096のキー認証に移行し、パスワード認証を完全に無効にする。
- PermitRootLoginをprohibit-passwordまたはnoに設定し、sudoユーザーで管理する。
- SSHを非標準の高ポートに移動し、99%の自動スキャンを排除する。
- fail2banでsshdを保護：3〜5回の失敗で段階的なブロックを発動する。
- AllowUsers/AllowGroupsでSSHを制限し、可能な限りファイアウォールのソース許可リストを設定する。
- アイドルタイムアウト（ClientAliveInterval）を適用し、未使用の転送を無効にする。
- authorized_keysを四半期ごとに監査し、退職したスタッフのキーを即座に削除する。
- 高価値サーバーにはポートノッキングまたはVPN経由のSSHのみを検討する。
現場ノート
最も記憶に残る教訓は、しばしば自分自身のロックアウトです：キーのみの認証に移行する間はアクティブセッションを維持し、何も閉じる前に第二のターミナルでログインしてください。
よくある質問
SSHキーのみに切り替えるとロックアウトされますか？
段階的に実行すれば、いいえ。キーを追加し、キーでのログインが機能することを確認してからパスワードを無効にし、変更中は必ず一つのアクティブセッションを維持してください。
SSHポートの変更はセキュリティ・オブ・オブスキュリティですか？
部分的にはそうですが、ほぼすべてのボットノイズを排除し、本物の攻撃試行がログに埋もれずに可視化されます。
rootログインを許可すべきですか？
緊急時のコンソール/KVMのみ。日常的なrootのSSHは不要なリスクです。
SSHの二要素認証はどうですか？
キーにTOTPを追加するのは優れており、ジャンプホストやバックアップサーバーに導入しています。ワークフローが許容する場合に。
linuxサーバーセキュリティ に対するKinetikatechの支援
シンプルな提案です：CloudLinux、Rocky Linux、cPanelサーバーをマルウェア、ブルートフォース、侵入から24時間体制でハードニング、監視、防御する。 Linuxサーバーセキュリティとサーバー管理サービスにお任せください。徹底的に評価され、クリーンに実装され、24時間監視されます。