Security前書きWebサーバーを運用する場合、サイトとユーザーを保護するためのセキュリティ対策を実装することが重要です。ファイアウォールポリシーを使用してWebサイトとアプリケーションを保護し、パスワード認証を使用して特定の領域へのアクセスを制限することは、システムを保護するための優れた出発点です。一般にアクセス可能なパスワードプロンプトは、悪意のあるユーザーやボットからのブルートフォース攻撃を招く可能性があります。+`を設定すると、この問題を緩和するのに役立ちます。+」は実行中のファイアウォールポリシーを動的に変更することにより、問題のIPアドレスの一時的な禁止を発行できます。jail”は、失敗した試行を示すパターンについてサービスによって書き込まれたログをチェックすることにより動作します。+`を設定するのは、含まれている設定フィルターのいくつかと私たち自身が作成するものを使用してかなり簡単です。+`をインストールし、Nginxログで侵入の試みを監視するように設定する方法を示します。14.04サーバーを使用します。14.04サーバーを非ルートアカウントでセットアップする必要があります。」権限を設定する必要があります。[次のサーバーの初期設定ガイド]をご覧ください。`で保護することに興味がある場合は、サーバーをセットアップして実行している可能性があります。apt`を使用してUbuntuのデフォルトリポジトリからNginxをインストールできます。次を入力して、ローカルパッケージインデックスを更新し、インストールします。+`サービスは、ログインエントリポイントを保護するのに役立ちます。これがNginxのインストールに役立つためには、サーバー上のコンテンツの少なくともサブセットに対してパスワード認証を実装する必要があります。[このガイド]に従ってパスワード保護を設定できますNginxサーバー。fail2banこれにより、ソフトウェアがインストールされます。+`は失敗したSSHログイン試行のみを禁止するように設定されています。悪意のあるアクティビティを示すパターンについてNginxログをチェックするように構成するいくつかのルールを有効にする必要があります。`が使用する設定ファイルを調整する必要があります。+`ファイルは、このために提供される主要なリソースです。jail.local`にコピーする必要があります。これにより、パッケージの更新で新しいデフォルトファイルが提供された場合、変更が上書きされなくなります。/etc/fail2ban/jail.localNginxログ監視を設定できるように、新しくコピーしたファイルを開きます。/etc/fail2ban/jail.localデフォルトの変更まず、ファイル内に設定されているデフォルトを評価して、ニーズに合っているかどうかを確認する必要があります。+`セクションの下にあります。これらの項目は一般的なポリシーを設定し、それぞれ特定の刑務所でオーバーライドできます。」ポリシーの対象ではないクライアントのリストです。+`ディレクティブによって設定されます。自分をロックアウトしないように、例外のリストに独自のIPアドレスまたはネットワークを追加することをお勧めします。シェルアクセスを維持できる場合は、Webサーバーログインの場合は問題が少なくなります。これは、禁止をいつでも手動で元に戻すことができるためです。既存のリストに、スペースで区切られた追加のIPアドレスまたはネットワークを追加できます。これは、違反しているメンバーが禁止される秒数を制御します。これを、悪意のあるアクターの努力を妨害するのに十分な時間に設定し、正当なユーザーが間違いを修正できるように十分に短い時間に設定することが理想的です。デフォルトでは、これは600秒(10分)に設定されています。適切と思われるこの値を増減します。=次の2つの項目は、問題のあるクライアントを決定するために使用されるログ行の範囲を決定します。`ディレクティブはその時間内に許容される試行回数を示します。hour.メール通知の設定(オプション)禁止が行われるたびにメールを受信する場合は、メール通知を有効にすることができます。そのためには、最初にサーバーにMTAをセットアップして、メールを送信できるようにする必要があります。`セクション内でいくつかの追加設定を調整する必要があります。+`ディレクティブを設定することから始めます。上記のチュートリアルが示すように、Postfixをセットアップする場合、この値を「mail」に変更します。=通知を送信するメールアドレスを選択する必要があります。`ディレクティブを変更します。+`ディレクティブを使用して、通知メールの「送信者」フィールドを変更できます。`の用語では、「アクション」とは、クライアントが何度も認証に失敗した場合に従う手順です。+`と呼ばれる)は、問題のポートからIPアドレスを単に禁止することです。メールが設定されている場合に使用できる他の2つの事前作成アクションがあります。`アクションを使用して、クライアントを禁止し、設定したアカウントに電子メール通知を送信して、問題のアドレスに関する「whois」レポートを送信できます。+`アクションを使用することもできます。これは同じことを行いますが、禁止をトリガーした問題のあるログ行も含まれます。fail2ban`設定が用意できたので、特定の動作パターンについてWebサーバーログを監視するNginx固有のjailを有効にすることに集中できます。」セクションは特定のjailの設定を示します)。jailのみが有効になっています。jailを有効にします。+`ディレクティブを編集して、「true」と読み上げます。+`パッケージに含まれるNginx固有の唯一の刑務所です。独自の刑務所を作成して機能を追加することもできます。[こちら]およびhttp://snippets.aktagon.com/snippets/554-から得られました。+`刑務所を作成して、Webサイトで実行および悪用するスクリプトを検索しているクライアントを禁止できます。PHPやその他の言語をWebサーバーと組み合わせて使用​​しない場合は、この刑務所を追加して、これらのタイプのリソースを要求する人を禁止できます。+`というセクションを追加して、既知の悪意のあるボット要求パターンを停止できます。jailを追加することで、これらのリソースを要求するユーザーを禁止できます。2Nginxサーバーをオープンプロキシとして使用しようとするクライアントを禁止する必要があります。jailを追加できます。2必要な変更が完了したら、ファイルを保存して閉じます。次に、作成した刑務所用のフィルターを追加する必要があります。+`ファイルを更新しました。作成した刑務所用のフィルターファイルを作成する必要があります。これらのフィルターファイルは、Nginxログ内で検索するパターンを指定します。filtersディレクトリに変更することから始めます。/etc/fail2ban/filter.d実際に、事前に提供されたNginx認証フィルターを調整して、追加の失敗したログインログパターンに一致させることから始めます。ファイルを編集用に開きます。+`仕様の下に、追加のパターンを追加します。これは、ユーザーがユーザー名またはパスワードを入力していない行と一致します。=完了したら、ファイルを保存して閉じます。+`ファイルをコピーしてNginxで使用できます。このファイルはそのまま使用できますが、わかりやすくするために新しい名前にコピーします。これは、jail構成内でフィルターを参照した方法と一致します。+`刑務所用のフィルターを作成します。nginx-noscript.conf次の定義を内部に貼り付けます。サーバーが合法的に使用する言語ファイルを削除したり、サフィックスを追加したりするには、スクリプトサフィックスを自由に調整してください。=ファイルを保存して閉じます。+`刑務所用のフィルターを作成します。nginx-nohome.confファイルに次のフィルター情報を配置します。=終了したら、ファイルを保存して閉じます。+`刑務所用のフィルターを作成できます。nginx-noproxy.confこのフィルター定義は、サーバーをプロキシとして使用する試みと一致します。=完了したら、ファイルを保存して閉じます。+`サービスを再起動する必要があります。次のように入力して、それを行うことができます。restartサービスを再起動して、設定したさまざまな禁止ポリシーを実装する必要があります。+`コマンドを使用して、有効なすべてのjailを表示できます。status有効にしたすべての刑務所のリストが表示されます。`がファイアウォールルールを変更して、クライアントを禁止するためのフレームワークを作成していることがわかります。+`が専用のチェーンにクライアントを追加することでクライアントを選択的に禁止できるようにするフレームワークが有効になりました。+`を再度使用する方が簡単です。+`ポリシーをテストして、トラフィックが期待どおりにブロックされることを確認することが重要です。Nginx認証プロンプトでは、間違った資格情報を何度も指定できます。制限を超えると、禁止され、サイトにアクセスできなくなります。メール通知を設定すると、指定したメールアカウントに禁止に関するメッセージが表示されます。+`でIPアドレスを手動で禁止解除できます。unbanipこれで、認証を再試行できるようになります。`を設定することは、最も単純な場合にはかなり簡単です。」は、特定のセキュリティニーズに合ったポリシーを構築するための柔軟性を提供します。`ディレクトリには、ニーズの変化に応じて微調整したり変更したりできる多くの部分があります。+`でサーバーを保護する方法の基本を学ぶと、最小限の労力で多くのセキュリティを提供できます。+」の詳細については、次のリンクをご覧ください。