出力されるかもしれないが、ググって解消させる。導入¶オープンソースのホスト型侵入検知システム(HIDS)。必要に応じて、編集する。いうか、そうしないと日常的に更新されるファイルも改ざんとして通知されるので、ググって除外しよう。/etc/aide.confざっくり日本国内だけ通信許可するiptables¶IPアドレスの第一オクテッドだけ見て判断するようiptablesに設定しました。いう事が起こっていました。アメリカとか中国とか色んな国から、なんか悪いことを目的としたアクセスが頻繁にくる。よって、httpとhttps以外のポートは全て閉じたいが、自分的に不便。日本国内だけ許可したらいいじゃない。ところが、SeversMan@VPSのCentOSのiptablesは、登録できるエントリー上限が256の模様(未確認)。なんとか256個の制限内に収めたい。厳密に日本で使っているIPアドレス帯を許可しだすと膨大なエントリーになりそう。aaa)だけを見て、日本かどうか判断しよう(適当)。そこでまず、日本でどういうIPアドレス帯が使われているのか調べます。以下にまとめて下さっている方がおります。3625k22972297件!やっぱり多い。そこで、こんなことして、第一オクテッドだけにまとめちゃう。//p'こうすると88件にまとまってくれた。第一オクテッドしか見てないので、諸外国も混ざっちゃうんだけどだいぶリスクは下げたれたんじゃなかろうか。後は、iptablesのINPUTチェインをDROPポリシーに設定した上で、ACCEPTとしてとして登録するだけ。ACCEPTちなみに、以下のコマンドで登録したエントリー毎に通信量が見れます。初期導入時の証明書は、数ヶ月で期限が切れるみたいなので、作り直します。オレオレ証明書を作るかというと、単にhttps通信で通信路を暗号化したいがためです。オレオレなので、fish.minidns.netが、本当に本物のfish.minidns.netだという証明にはならないんですが、まぁ、ほとんど自分用のサイトなので、気にしません。何も考えず呪文のように以下を入力すると、オレオレ証明書の生成から適用まで完了します。Encryptというサービスを利用することで、自分が所有しているドメインのSSL/TLSサーバー証明書を、無料で発行できるようになりました。上記、オレオレ証明書を作りなおす代わりに利用できます。この証明書だとブラウザで警告は出ません。以下で証明書の作成まで出来ます。証明書の取得のみを行います。ApacheなどWEBサーバのドキュメントルートに、認証用ファイルを生成します。ドキュメントルートのパスを指定します。指定しているパスです。証明書を取得するドメイン名を指定します。指定しているドメイン名です。ご自分のメールアドレスを指定します。連絡用に使用されます。利用規約に同意します。エラーが無ければ、以下に作られています。証明書/etc/letsencrypt/live/<ドメイン名>/cert.pem証明書+中間CA証明書/etc/letsencrypt/live/<ドメイン名>/fullchain.pem秘密鍵/etc/letsencrypt/live/<ドメイン名>/privkey.pem中間CA証明書/etc/letsencrypt/live/<ドメイン名>/chain.pemApacheでの設定¶Apacheの定義を修正します。定義の中にinclude文があり、その先に記述されていたりしますので、注意が必要です。/etc/letsencrypt/live/fish.minidns.net/chain.pemApacheを再起動して、定義を反映します。restart暗号化方式の制限¶いくつか暗号化方式で脆弱性が発見されているので、脆弱性のある暗号化方式で通信しないようにします。EECDH+HIGH:EDH+HIGH:HIGH:MEDIUM:+3DES:!ADH:!RC4:!MD5:!aNULL:!eNULL:!SSLv2:!LOW:!EXP:!PSK:!SRP:!DSS:!KRB5Apacheを再起動して、定義を反映します。Encryptの証明書の有効期限は90日間になります。証明書が切れる前に、再度、以下のコマンドで更新が必要です。restartcron等に登録しておくと良いでしょう。「ServersMan@VPS」を使ってみました。設定方法やさまざまな機能の使い方・設定などを紹介しています。