タグ: VPS

クラウド／VPS／レンタルサーバーの【コントロールパネル】セキュリティ対策

※これは古いです。最新版（2020年11月）はこちら

クラウド、VPSのセキュリティ対策について、サーバー自体のセキュリティ対策をちゃんとしても、コントロールパネルが乗っ取られたら元も子もない。

そこで、知っている範囲での各社の状況 (2019年2月21日時点）についてのメモ。

  IP制限 2段階認証 ログイン通知 操作ログ
お名前.com × × × ×
ConoHa × 〇 〇 ×
エックスサーバー × × × ×
さくらインターネット ×

VPS：×

クラウド：〇

 × 〇
ニフクラ 〇 × × 〇

１． お名前.com

「お名前.com Navi」にログイン出来たら、後はすべて操作可能。ログインに関する制限、通知等の機能もない。

２．ConoHa

「アカウント設定」から「２段階認証」「ログイン通知メール」が可能。

https://support.conoha.jp/common/guide/account/?btn_id=c-2stepauthentication-sidebar_guide-account

３．エックスサーバー

「サーバーパネル」にログイン出来たら、後はすべて操作可能。ログインに関する制限、通知等の機能もない。

４． さくらインターネット

VPSとクラウドともに操作ログが閲覧できる。

（VPS)

https://help.sakura.ad.jp/hc/ja/articles/206245282-%E6%93%8D%E4%BD%9C%E5%B1%A5%E6%AD%B4%E3%82%92%E7%A2%BA%E8%AA%8D%E3%81%99%E3%82%8B

（クラウド）

https://manual.sakura.ad.jp/cloud/controlpanel/eventlog/eventlog.html

クラウドは２段階認証にも対応。

https://manual.sakura.ad.jp/cloud/controlpanel/settings/2-factor-auth.html

５． ニフクラ（旧名称：ニフティクラウド）

ログインのIPアドレス制限が、「アカウント管理」からアカウントを選択して、「IP許可設定追加」で可能。

https://cloud.nifty.com/service/ip_limit.htm

また、過去6カ月分のコントロールパネルの操作ログが参照できる。

https://cloud.nifty.com/help/log/

ログイン時の通知メールの機能はない。

ConoHaのVPSで、CentOSサーバー設定

ConoHaのVPSで、CentOS(7.6)サーバー追加時に最初にやることのメモ

１．サーバー追加時

「オプションを見る」ー「SSH Key」で「キーを選択」で、事前に登録したパブリックキーを選択して、鍵認証にする。

２．サーバーの基本設定

２．１　OS更新

yum update -y

２．２　 hostname設定

/etc/hostnameを変更

２．３　SSHポート変更

１）/etc/ssh/sshd_configでPort指定を追加

Port ???? ※????：適当なポート

２） ファイアウォールの設定変更

元のSSHポートを閉じて、変更したポートを開ける。

cd /usr/lib/firewalld/services/
cp -p ssh.xml ssh-????.xml
vi ssh-????.xml　※port="22"の22を変更したポート????に
firewall-cmd --permanent --remove-service=ssh
firewall-cmd --permanent --add-service=ssh-????
firewall-cmd --reload

３）sshd再起動

systemctl restart sshd

２．４　rootログイン時のメール通知

.bash_profileに以下を追加する。

 date | mail -s "root login(`hostname`)" メールアドレス

３．logwatch設定

１）logwatchをインストール

yum install logwatch

２）/etc/logwatch/conf/logwatch.confを編集して、「MailTo = メールアドレス」を追加

４．yum updateの通知設定

１）yum-cronをインストール

yum install yum-cron

２）/etc/yum/yum-cron.conf,yum-cron-hourly.confの修正

「emit_via = email」「email_to = メールアドレス」に変更

３）yum-cronの有効化

systemctl enable yum-cron

５．その他設定　

５．１　Cron起動時にmessagesにログが残る対策

/etc/systemd/system.confで、「LogLevel=notice」に変更

５．２　メール関連の設定

https://gijutsu.com/2019/02/15/%E8%BF%B7%E6%83%91%E3%83%A1%E3%83%BC%E3%83%AB%E3%81%AB%E3%81%AA%E3%82%89%E3%81%AA%E3%81%84%E5%AF%BE%E7%AD%96/

５．３　kdumpの無効化

systemctl stop kdump
systemctl disable kdump