ホストレベルセキュリティの総仕上げ：ゼロから始めるLinuxセキュリティ（2）（1/3 ページ）

サービスのアクセス制御

　前回に続き、ホストレベルのセキュリティ対策を行います。セキュリティ対策に「絶対」というものはありません。可能な限りの対策を施しましょう。

　デフォルトで起動されるすべてのサービスに制限なくアクセスさせるのは危険です。サービスについては、特定のネットワークあるいはホストからのアクセスのみを許可するようにすべきです。例えば、メンテナンス用にtelnetを使うのであれば、パスワードが適切に設定されていたとしてもアクセスは制御する必要があります。

　そこで、アクセス制御の方法を説明します。アクセス制御には、xinetdのみで行う方法と、TCP_Wrapperを併用する方法の2種類があります。それぞれについて見ていきましょう。

xinetdでのアクセス制御

　Red Hat Linux 7.1Jは、xinetdを採用しています。前回、xinetd自身にアクセス制御機能があると説明しました。ここでは、その具体的な設定方法を紹介します。

　Red Hat Linux 7.1Jのxinetdは、/etc/xinetd.d以下にサービスごとに設定ファイルを用意します。アクセス制御を行う際は、制御したいサービスのファイルに制御条件を追加します。

only_from   = 192.168.0.0/24

　only_fromというパラメータは、アクセスを許可するネットワークあるいはホストを指定します。上記の設定は、「192.168.0.0/24からのアクセスのみを許可」することを意味します。「特定のホスト、ネットワークからの接続を拒否」するにはno_accessというパラメータを使います。192.168.1.1というホストからの接続を拒否するなら、

no_access   = 192.168.1.1

とします。

　/etc/xinetd.d/telnetのサンプルファイルを以下に挙げるので、参考にしてください。

service telnet 
{ 
    disable        = no 
    protocol        = tcp 
    socket_type     = stream 
    wait            = no 
    user            = telnetd 
    server          = /sbin/in.telnetd 
    only_from       = 192.168.0.0/24 
}

defaults 
{ 
    instances       = 15 
    log_type        = FILE /var/log/servicelog 
    log_on_success  = HOST PID EXIT DURATION 
    log_on_failure  = HOST RECORD 
}

TCP_Wrapperを用いたアクセス制御

　telnetサービスがxinetdやinetdを介して呼び出されることは前回説明しました。xinetdあるいはinetdから呼び出されたとき、tcpdが介入して接続の許可／不許可を判断し、許可であればtelnetサービスが起動されます。不許可であれば接続を拒否します。

　TCP_Wrapperの設定は、hosts.allow、hosts.denyという2つのファイルに記述されています。これらのファイルを編集することで設定を変更します。

　以下では、例として次のような方針で設定を編集します。

　まず、viなどを使って/etc/hosts.allowファイルを編集します。

# vi /etc/hosts.allow

　/etc/hosts.allowはアクセスを許可する条件を指定します。次の2行を追加します。

in.telnetd : 192.168.0.0/255.255.255.0
in.ftpd : 192.168.1.10

　これに伴い、/etc/inetd.confファイル（inetdの場合）、/etc/xinetd.dディレクトリ内のtelnet、ftpファイル（xinetdの場合）を変更する必要があります。

●xinetdの場合

　telnet、ftpファイルそれぞれのserverの行を次のように修正します。

server      = /sbin/tcpd

　さらに、次の2行を追加します。

flags       = REUSE NAMEINARGS
server_args = /sbin/in.telnetd

flags       = REUSE NAMEINARGS
server_args = /sbin/in.ftpd

●inetdの場合

　inetdの場合は、/etc/inetd.confを以下のように修正します。

telnet     stream  tcp nowait  root    /sbin/in.telnetd  in.telnetd

　　　　　　　　　　　　　　　　　↓

telnet     stream  tcp nowait  root    /sbin/tcpd  /sbin/in.telnetd

　FTPの行も同様に修正します。

　次に/etc/hosts.denyの設定です。このファイルは、アクセスを拒否する条件を指定します。

# vi /etc/hosts.deny

　/etc/hosts.denyでは、あらゆるネットワーク／ホストからの接続を拒否するため、次の2行を追加します（編注）。

in.telnetd : ALL
in.ftpd : ALL

FACILITY=LOG_LOCAL1

local1.info             /var/log/tcp_wrapper.log

# touch /var/log/tcp_wrapper.log