リモート接続の基礎知識

第3回 リモート接続のセキュリティ対策

小澤一裕 (エム・クレスト)

2023-06-28 06:00

 エム・クレストの副社長兼エンジニアの小澤一裕です。コロナ禍でテレワークが急速に普及し、リモート接続をする機会が増えています。またシステムもデータセンターやクラウドに置くことが主流になったので、その意味でもリモート接続で開発・保守作業することが主流になっています。そこで数回にわたってリモート接続の初歩や知っていると便利なTIPSを紹介しています。第3回は「リモート接続のセキュリティ対策」をテーマに、安心なリモート接続を実現するために行うべきことを紹介します。

SSHのセキュリティ対策

 これまで紹介してきたSSHリモートデスクトップはとても便利ですが、簡単に利用できる反面、気をつけて使わないと、セキュリティ上の問題が発生することがあります。まずはSSHのセキュリティ対策から見ていきましょう。必要最小限の必ず実施していただきたい対策からです。

 なおSSHの設定ファイルは、一般的にディレクトリー「/etc/ssh/」の下に置かれていることを前提にしています。

SSHを利用する際に最低限しておきたい対策

(1)rootアカウントでの接続を禁止する

 SSHサーバーとしてLinuxサーバーが使われていることが大半だと思います。Linuxで最上位権限を持つユーザーは「root」です。これは、Windowsにおける「Administrator」と同じく誰もが知るアカウント名です。従ってサイバー攻撃者がまず試みることの1つは、rootでSSH接続することです。それができれば、そのサーバーで何でもできるようになるからです。

 ですので、SSHにおいては直接rootアカウントで接続できないようにしておくべきです。具体的には、/etc/ssh/の下にある「sshd_config」というファイルの内容を以下のように変更します。

#PermitRootLogin yes:コメントアウト
PermitRootLogin no:rootログインを禁止


 ssh_configの変更を反映するためには、SSHサービスの再起動が必要です。ただし再起動をしても、接続中のSSHコネクションは影響を受けないので、設定ミスに気がつかないことがあります。念のため別のコネクションを使って接続テストをしておくことをお勧めします。

(2)接続できるアカウントを必要最小限にする

 (1)では、rootアカウントで接続できないようにしましたが、それとは逆に、接続できるアカウントを指定(限定)することもできます。そうすることでサーバーのデフォルトアカウントやソフトウェアをインストールした時に、勝手に作成されてしまうアカウントから接続されるリスクをなくすことができます。

 sshd_configに「AllowUsers」という項目を追加することで、接続を許可するユーザーを指定することができます。

指定内容:構文
接続を許可するユーザー:AllowUsers ユーザー名
接続を許可するユーザー(複数):AllowUsers ユーザー名1 ユーザー名2……


(3)接続元端末を制限する

 SSHは、デフォルトでは世界中のどの端末からでも接続できるようになっていますが、それは非常にセキュリティ上危険なことです。接続できる端末を制限することで飛躍的にリスクを軽減できます。

 設定方法は、(2)と同じくsshd_configのAllowUsersを使います(Linuxなら「iptables」や「firewalld」「ufw」といったパケットフィルターでも制限できます)。接続元のIPアドレスを指定することで、端末制限が可能です。

指定内容:構文
接続を許可するユーザーと端末:AllowUsers ユーザー名@接続元IPアドレス
接続を許可するユーザーと端末(複数):AllowUsers ユーザー名1@接続元IPアドレス1 ユーザー名2@接続元IPアドレス2 ……
接続を許可する端末(全ユーザー):AllowUsers *@接続元IPアドレス


ZDNET Japan 記事を毎朝メールでまとめ読み(登録無料)

ZDNET Japan クイックポール

所属する組織のデータ活用状況はどの段階にありますか?

NEWSLETTERS

エンタープライズコンピューティングの最前線を配信

ZDNET Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]