こんにちは。セキュリティの世界へようこそ。
日々、見えない場所で繰り広げられるサイバー攻防戦。その最前線にいると、「完璧な守り」なんてものは幻想で、結局は「泥棒が一番嫌がる家にする」ことが唯一の正解だと痛感させられます。
今回は、Linuxサーバーの心臓部を守るための「ファイルシステム権限の厳格化」についてお話しします。難しく聞こえるかもしれませんが、身近な「家の防犯」に例えて、一歩ずつ紐解いていきましょう。
—
1. なぜ「SUID/SGID」が特権昇格の入り口になるのか？
Linuxには、特定のプログラムを「実行した人の権限ではなく、そのファイルの持ち主（管理者など）の権限で動かす」という特別な仕組みがあります。これが SUID（Set User ID）です。
家の鍵で例えると…
「誰が使っても必ず『家主（管理者）』としてドアを開けられる魔法の合鍵」を、そこら中にバラ撒いている状態です。もしその合鍵を悪い奴が拾ったらどうなるでしょう？ 窓から侵入するまでもなく、堂々と正面玄関から入り、家中の宝箱（重要データ）を漁り放題ですよね。
攻撃者は、この「魔法の鍵」が付いたファイルを探し出し、それを悪用して本来は持っていないはずの管理者権限を奪い取ります。これが「特権昇格」と呼ばれる、エンジニアが最も恐れる悪夢のシナリオです。
不要なSUIDを探し出すコマンド
まずは、自分のシステムに「魔法の鍵」がいくつあるか確認してみましょう。
# システム全体からSUID権限を持つファイルを探す
# /dev/null 2>&1 は、権限エラーで表示される邪魔なメッセージを捨てるためのおまじないです
find / -perm -4000 -type f 2>/dev/nullここに出てきたリストを見て、「え、こんな古いツールにもSUIDが付いているの？」と驚くはずです。使っていないもの、不要なものは、迷わず権限を剥奪しましょう。
# 特定のファイルのSUIDビットを削除する
chmod u-s /path/to/your/file—
2. 「避難場所」を安全地帯にする：/tmp と /var/tmp の要塞化
Linuxには /tmp や /var/tmp という、誰でも読み書きできる「公衆トイレ」のような領域があります。攻撃者はここに、自分が作った悪意のあるプログラム（マルウェア）を一時的に隠し、実行しようとします。
身の回りの防犯で例えると…
誰でも入れる場所で、「勝手に物を置いたり、そこで火を使ったりしてはいけない」というルールを徹底させるのと同じです。もし、そこで勝手にプログラムを実行させない設定にできれば、泥棒が侵入しても「武器」を使えなくさせることができます。
マウントオプションで防御を固める
Linuxのファイルシステム設定（/etc/fstab）を少し触るだけで、このエリアを「見ることはできるが、実行はできない」という安全な場所に変えられます。
noexec（実行禁止）や nosuid（SUID無効）という強力なオプションを追加しましょう。
# /etc/fstab の設定例
# /tmp パーティションの設定行を探して、オプションを追加します
# nodev: デバイスファイルを作成させない
# nosuid: SUIDを無視する
# noexec: プログラムの実行を許可しない
tmpfs /tmp tmpfs defaults,noexec,nosuid,nodev 0 0※設定を変更した後は、mount -o remount /tmp で反映させるのを忘れずに。
—
3. なぜここまで厳しくするのか？
新人の方から「ここまでやる必要ありますか？」と聞かれることがあります。答えはシンプルです。「侵入を100%防ぐことはできないから」です。
どれだけファイアウォールを強固にしても、Webアプリケーションの脆弱性一つで侵入されることはあります。しかし、今回紹介したような「要塞化（ハーデニング）」をしっかり行っていれば、攻撃者が侵入したとしても、その先で「何も実行できない」「権限を奪えない」という状況を作れます。
泥棒は「面倒くさい家」を嫌います。窓を割っても、中が迷路で、かつ武器も使えないとなれば、さっさと諦めて別の家を探すはずです。
今日のまとめ：セキュリティの第一歩
1. 棚卸しをする： find コマンドでSUIDファイルを見つけ、不要なら消す。
2. エリアを隔離する： /tmp 等に noexec をかけ、無法地帯をなくす。
3. 心構えを持つ： 「侵入される前提で、被害を最小限にする」のがプロの防衛術。
セキュリティは、一度設定して終わりではありません。新しいサービスを入れるたびに「このファイルにSUIDは必要か？」「どこに書き込みを許可すべきか？」と自問自答する。その地道な積み重ねが、あなた自身と、あなたが守るシステムを強くします。
さあ、まずは自分のサーバーのリストを眺めてみるところから始めてみましょう！一歩ずつ、着実に。
コメント