こんにちは！インフラやセキュリティの世界へようこそ。
初めてサーバーに触れたり、セキュリティの勉強を始めたりすると、難しい専門用語がたくさん出てきて「うっ……」と頭が痛くなりますよね。でも、一歩ずつ身近な例から紐解いていけば、決して怖いものではありません。
今回は、サーバーの安全を守るための基礎の基礎、「不要なSUID/SGIDビットの探索と削除」について、一緒に優しく学んでいきましょう！
—
1. 家の鍵に例えて理解する「SUID/SGID」の正体
まずは、LinuxやWindowsなどのサーバーOSにおける「権限」の仕組みを、私たちの身近な「家」に例えて考えてみましょう。
皆さんがアパートやマンションに住んでいるとき、自分の部屋の鍵を持っていますよね。自分の部屋の鍵を使えば、中に入って自由にリラックスできますが、お隣さんの部屋の鍵を開けて勝手に入ることはできません。これが、普通のセキュリティです。「一般ユーザー」は自分の領域だけを触れる、というルールですね。
一方で、マンションの「管理人さん」や「大家さん」はどうでしょうか？ 彼らはマスターキーを持っていて、建物全体のエントランスも、ボイラー室も、必要があればすべての部屋の鍵を開けることができます。これが、Linuxの世界で最強の権限を持つ「root（ルート）ユーザー」です。
さて、ここで少し変わった状況を想像してください。
「普段は普通の住民（一般ユーザー）なんだけど、特定の『郵便ポスト』を開けるときだけ、なぜか自動的に管理人さんのマスターキーが借りられる仕組み」があったとしたらどうでしょう？
この「実行する瞬間だけ、一時的に強力な権限（管理人さんやroot）に変身できるマジックテープのような仕組み」こそが、Linuxにおける SUID（Setuid） や SGID（Setgid） なんです。
便利な一方で、もしこの「仕組み」に泥棒の抜け穴があったらどうなるでしょうか？
「誰でも簡単にマスターキーが借りられる状態」になっていたら、あっという間に部屋中が荒らされてしまいますよね。これが、セキュリティの世界でSUID/SGIDが狙われる理由なんです。
—
2. 攻撃者はなぜSUID/SGIDを狙うのか？（権限昇格のカラクリ）
開発者の皆さんが日々アプリケーションを作り、テスト環境のサーバーにファイルを配置していると、「あれ？ このコマンド、普通に実行すると権限エラーになるのに、あのコマンドを使うと動くぞ？」という場面に出会うことがあります。
例えば、パスワードを変更する passwd コマンドなどがまさにこれです。一般ユーザーが自分のパスワードを変えるためには、パスワードが保存されている裏側のファイル（/etc/shadow など）を書き換える必要があります。しかし、このファイルはrootしか触れない厳重なもの。だからこそ、passwd コマンドに「SUID」という特殊なバッジをつけておき、「このコマンドを使っている瞬間だけは、rootの権限を貸し出しますよ」という状態にしているのです。
しかし、ここに攻撃者の魔の手が伸びます。
もし、開発段階で適当に入れられた古いプログラムや、誰も使わなくなった怪しいファイルに、うっかり不要なSUID（root権限で動く魔法）が設定されたままになっていたらどうでしょう？
悪意のあるハッカーは、そのプログラムの「バグ（プログラムの隙）」を突いて、思い通りの命令をこっそり実行させます。すると、プログラムが持っているroot権限をそのまま乗っ取り、サーバー全体の「合鍵」を完全に奪い去ってしまうのです。これをセキュリティ業界では「権限昇格（Privilege Escalation）」と呼びます。
だからこそ、「誰がどのファイルにマスターキーの魔法をかけているか」を定期的にチェックし、不要なものは容赦なく剥ぎ取ることが、サーバー要塞化（ハーデニング）の第一歩になるのです。
—
3. 実践！サーバー内の「危ないファイル」を探し出そう
それでは、実際に私たちの管理しているLinuxサーバーの中に、危なっかしいSUID/SGIDファイルが潜んでいないか探してみましょう。
百聞は一見にしかず。インフラの現場で私たちがよく使う、定番の探索コマンドをご紹介します。お手元の検証環境などで試してみてくださいね（※本番環境で実行する際は、社内のルールや手順に従ってくださいね）。
SUIDファイルを探すコマンド
# システム全体（rootディレクトリ /）から、SUIDが設定されているファイルを一網打尽に探す
find / -type f \( -perm -4000 \) 2>/dev/null【コードの解説】
find /: サーバーの一番上（ルート）から順にファイルをすべて探します。-type f: 「ディレクトリ（フォルダー）」ではなく「ファイル」だけに絞り込みます。-perm -4000: ファイルの権限設定の中で、SUIDを表す「4000」のビットが立っているものを探します。2>/dev/null: 権限がなくて「アクセスできません」と怒られるエラーメッセージを画面に出さないように、ゴミ箱（/dev/null）に捨てています。画面がスッキリして見やすくなりますよ。
—
4. 怪しいファイルが見つかったときの対処法（不要なビットの削除）
もし上記のコマンドを実行した結果、「あれ？ この見慣れない自作スクリプトや、昔入れたきりのツールにSUIDがついてるぞ……？」と気づいたらどうすればよいでしょうか？
答えはシンプルです。「その魔法（SUID/SGIDビット）を剥ぎ取る」のです。
以下のコマンドを実行することで、ファイルの安全な状態（普通の一般権限に戻す）を作ることができます。
# 怪しいファイルからSUID（4）とSGID（2）のビットを取り除く
sudo chmod u-s,g-s /path/to/suspicious_file【コードの解説】
sudo: 管理者権限で実行します。chmod: ファイルの権限（モード）を変更するコマンドです。u-s: ユーザー（User）に設定されているSUIDの魔法を解除（-）します。g-s: グループ（Group）に設定されているSGIDの魔法を解除（-）します。/path/to/suspicious_file: 対象となるファイルのパスを指定します。
たったこれだけの作業で、そのファイルは安全な（マスターキーを悪用されない）状態に戻ります。
—
5. 現場で役立つ！日々の運用と自動化のコツ
セキュリティ対策で一番大切なのは、「一度やって終わり」にしないことです。数ヶ月後に別の誰かが新しいアプリをインストールしたとき、またうっかり危険なSUIDファイルが生まれてしまうかもしれません。
そのため、私たちプロのインフラエンジニアは、次のような工夫を日常の運用に取り入れています。
1. 定期スキャンの自動化（cronの活用）
先ほどの find コマンドをシェルスクリプトにし、週に1回などの頻度で自動実行させます。
2. 「差分」だけをチェックする
前回スキャンしたときのファイル一覧と、今回見つかったファイル一覧を比較し、「あれ？ 新しく増えているSUIDファイルがあるぞ！」と気づける仕組み（アラート通知）を作っておきます。
—
まとめ
今回は、サーバーセキュリティの基本である「不要なSUID/SGIDビットの探索と削除」について、おうちの鍵の例えを交えながら解説しました。
- SUID/SGIDは、「一時的に強力な権限（root）を貸し出す便利な魔法」である。
- しかし、不要なファイルに残っていると、攻撃者にマスターキーを奪われる「権限昇格」の踏み台になってしまう。
- 定期的に
findコマンドで探し出し、不要なものはchmod u-sで速やかに安全な状態に戻そう！
セキュリティの対策は、こうした地道な「不要なものの片付け」の積み重ねが何よりも強力な盾になります。
「一歩ずつ対策を学んでいきましょう！」の精神で、まずはご自身の環境でどんなファイルに権限がついているか、覗いてみることから始めてみてくださいね。あなたのサーバーライフが安全で快適なものになるよう応援しています！
コメント