狙われる入口を減らす：攻撃面という考え方

レン

ファイアウォールは設定した。もう安心だよね？

ウィルスン

…ふん。では聞くが、キミのサーバーで今いくつのソフトが動いている？そのすべてを把握しているか？ワタシが探すのは「開いている穴」ではなく「忘れられている穴」なのだよ。

レン

忘れてる穴…？

プロクラ

たとえば、試しに入れたまま消し忘れた管理ツール。検証用に立てて放置したデータベース。昔使っていたアプリ。動いている限り、それは全部「入口」なんだ。この入口の総量を攻撃面と呼ぶよ。

なぜ古い入口が危ないのか

使わなくなったものは、更新もされなくなります。動いていることを忘れているので、弱点が見つかっても対応されません。攻撃する側から見れば、放置されている入口は最も入りやすい経路です。守りを固めるより先に、使っていないものを止めるほうが効果が大きいのはこのためです。

ウィルスン

使っていないものは、更新もされないからだ。1年前に放置されたソフトには、その1年間に見つかった弱点がすべて残っている。しかも誰も見ていない。侵入されても気づかれない。ワタシにとって理想的な入口だ。

やること

• 今動いているサービスと開いているポートを一覧で確認する
• 「これは何のために動いているか」を説明できないものは止める
• 止めても問題が起きないことを確認してから、アンインストールする
• 検証で入れたものは、検証が終わったらその日のうちに消す
• OSの初期状態で動いている不要なサービスも確認する

レン

「説明できないものは止める」って分かりやすいね。

プロクラ

そう。迷ったら止めてみて、困ったら戻せばいい。動かし続けるより、止めるほうが安全側の判断だからね。定期的に棚卸しする習慣をつけよう。

何が動いているかを知る

プロクラ

把握するための道具は決まっているよ。全部を覚える必要はなくて、この3つで足りる。

• ss -tulpn : 外向きに待ち受けているものと、その正体
• systemctl list-units --type=service : 常駐しているサービスの一覧
• crontab -l : 定期的に動いている処理
• docker ps : コンテナで動いているもの（使っている場合）

減らせる典型

• 試しに入れて、そのままになっている管理ツール
• 検証用に立てて放置したデータベース
• 使わなくなったアプリと、その設定ファイル
• 初期状態で入っていて、使っていないサービス
• 開いているが、もう誰も使っていないポート

プロクラ

止めるときは一度に全部やらないこと。1つ止めて、しばらく様子を見て、問題なければ次へ。まとめて止めると、何が原因で困ったのか分からなくなるからね。

増やさない工夫

プロクラ

減らすより、増やさないほうが楽だよ。新しく何かを入れるときに、その場でメモを残しておく。何のために入れたかが分かれば、後で迷わず止められる。

レン

説明できないものは止める。入れたときに理由をメモする。