SSHデーモンのセキュリティ強化インターネットサーバーの多くは、ssh/sftpでサーバーに接続します。このsshは、OSをインストールしたときに有効になっていることが多いですが、そのため弱いセキュリティ設定のまま運用されている環境もあります。KBDownload今回は、このsshデーモンのセキュリティを強化する設定をしていきます。本設定では、CentOS7を基本として設定していきます。LTSなど、他のディストリビューションの場合には、それぞれ設定ファイルの場所などを確認して設定をお願いいたします。CentOSでは、次の場所に設定ファイルが保存されています。/etc/ssh/sshd_conf12/etc/ssh/ssh_config/etc/ssh/sshd_confssh_configは、サーバー上から他のシステムへssh接続するときの設定になります。sshd_configは、sshデーモン(sshd)が接続を受ける場合の設定になります。今回は、主にsshd_configを設定していきます。基本的なセキュリティ設定sshd_configで、最低限のセキュリティ設定を追加します。2の2つの接続方式があります。2のみ接続を受け付けるように設定します。以下の設定を追加します。2パスワード認証の無効化:必須ユーザー名、パスワードによる認証では、脆弱なパスワードを設定していた場合簡単に侵入を許してしまします。パスワード認証を無効にし、RSA鍵認証のみを受け付けるように設定を変更します。no空のパスワードの拒否:必須ほとんどのOSではインストール時点で無効になっていますが、空のパスワードでの接続を拒否する設定も追加します。norootユーザーのログインの禁止:必須この設定もほとんどのOSではインストール時点で禁止になっていますが、以下の設定を追加し確実にrootユーザーでのログインをできないようにします。no接続するユーザーの制限サーバーに接続するユーザーがわかっている場合、ログインするユーザーだけが接続できるように、ログインユーザーを制限します。usernameAllowUsersは以下のような記述ができます。ポート22のままの場合、仕様で定義されていますのでポートスキャンですぐにssh接続が有効になっていることを検出されてしまいます。このポート番号を、別のポート番号に変更することができます。Port以上の値を指定するのが望ましいです。sshデーモン(sshd)の設定が完了となります。今となっては弱い暗号方式やハッシュアルゴリズムを無効にして対策する場合には、以下の設定を実施します。弱い暗号を使用しないセキュリティ設定sshデーモンの基本的な設定は完了していますが、sshでは接続で使用する暗号方式に設定も可能です。OSで提供されているsshパッケージでは、今では問題が発見されている暗号方式をサポートしたままの場合がありますので、暗号方式を変更することで、よりセキュリティを強化することができます。現在sshがサポートする暗号方式を確認するには、以下のコマンドを実行します。BlockChaining)とRC4(arcfour)ならびに弱い暗号方式を無効にします。RC4を削除して、以下の暗号方式を残します。以下の設定を追加します。同様にsshで使用しているハッシュアルゴリズムを確認します。SHA1が有効になっています。SHA-1が有効になっていますので、問題の発見されているハッシュアルゴリズムを無効にします。古いsshでは、sha1を無効にしてしまうとssh接続できなくなりますので、sha1(160bit)は、いちばん優先順位を低くして有効にしておきます。以下の設定を追加します。umac-128-etm@openssh.com,hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,hmac-ripemd160-etm@openssh.com,umac-128@openssh.com,hmac-ripemd160@openssh.com,hmac-ripemd160,umac-64@openssh.com,umac-64-etm@openssh.com,hmac-sha1この設定で古い暗号方式(RC4,CBC)とハッシュアルゴリズム(MD5)を無効にすることができます。実際には、Firewallの組み合わせなどで接続元のIPアドレスの制限など追加の対策はありますが、ここまでの設定でsshdの認証・暗号の弱い部分の対策ができたことになります。設定の検証と有効化すべての設定が終わったら、以下のコマンドを実行し設定ファイルに問題がないことを確認し、sshdを再起動します。FameThemes;。