【入門編】カーネルモジュールのロード制限 – インフラ・ネットワーク & クラウドセキュリティ防御ガイド

サーバーの「心臓部」を守る：カーネルモジュール署名の重要性

こんにちは。インフラ構築やセキュリティの現場で日々泥臭い対策を続けているエンジニアです。

今日はサーバーの「要塞化」の中でも、特に核心に近い部分のお話をします。皆さんはサーバーの「カーネル」がどれほど重要な場所か考えたことはありますか？

例えるなら、カーネルは家全体の「管理室」であり、そこへ繋がる鍵を誰でも勝手に作り出せる状態だとしたら……ゾッとしますよね。今日は、悪意あるプログラムがその管理室に侵入するのを防ぐ「モジュール署名」について、一緒に紐解いていきましょう。

—

1. なぜ「カーネル」が狙われるのか？

Linuxサーバーにおいて、カーネルはハードウェアとソフトウェアを仲介する、いわば「一番偉い司令官」です。通常、この司令官に新しい命令（機能）を追加するには、insmodやmodprobeというコマンドを使って「カーネルモジュール」という部品を読み込ませます。

もし、攻撃者が何らかの脆弱性を突いて、この司令官に「偽物の命令書」を渡せたらどうなるでしょう？
攻撃者はroot権限を完全に奪取し、ログを改ざんし、バックドアを仕掛け、あなたがどんな対策をしても「司令官は攻撃者の味方」になってしまいます。

これを防ぐための防犯対策が、「カーネルモジュール署名の検証」です。

2. 「署名」とは、身元保証のこと

皆さんの自宅に「役所の人間です」と名乗る人が来たら、身分証を見せてもらいますよね？もし身分証が偽造されていれば、家には入れないはずです。

カーネルモジュール署名も同じ仕組みです。

署名なし： 「誰が作ったか分からないけれど、とりあえず中に入れてあげる」状態。非常に危険です。
署名あり： 「信頼できる開発者が発行した有効な証明書が付いているから、実行を許可する」という状態。

この「署名」がなければ、いくら権限があっても司令官は「お前は誰だ？許可されていない部品は読み込まないぞ」と門前払いをしてくれるようになります。

—

3. 設定の第一歩：署名を強制しよう

では、具体的にどう設定するのか見ていきましょう。まずは現在の状況を確認するのが鉄則です。

手順1：現在の設定確認

以下のコマンドで、現在カーネルがモジュール署名を求めているかを確認します。

# 現在のカーネル設定を確認するコマンド
sysctl kernel.modules_disabled

もし0が返ってきたら、まだ制限が緩い状態です。これを「署名がないものは拒否する」設定に変更していきます。

手順2：GRUB設定での有効化

LinuxのブートローダーであるGRUBの設定に、署名を強制するオプションを追加します。/etc/default/grubを編集します。

# /etc/default/grub の GRUB_CMDLINE_LINUX_DEFAULT 行に追記
# module.sig_enforce=1 を追加することで、署名のないモジュールを拒否します
GRUB_CMDLINE_LINUX_DEFAULT="quiet splash module.sig_enforce=1"

編集が終わったら、設定を反映させるのを忘れないでください。

# 設定を更新（環境によってコマンドは異なります）
sudo update-grub

—

4. 現場のプロからのアドバイス

「署名を必須にすると、自分でビルドしたドライバーが動かなくなるのでは？」という不安があるかもしれません。その通りです！

現場でいきなりこの設定を入れると、必要なドライバーが読み込めずサーバーが起動しなくなる……なんていう、冷や汗もののインシデントに直結します。

【泥臭い運用のコツ】
1. まずは検証環境で試す： 本番と同じカーネルバージョンで、動かしたいモジュールがちゃんと署名に対応できるか必ずテストしてください。
2. 独自の署名鍵を作る： 自分でビルドしたドライバーには、プライベートな鍵で署名を行い、その鍵をカーネルの信頼リストに登録する運用が必要です。
3. modules_disabled を活用する： システムが起動した後、もう新しいモジュールを読み込む必要がない運用であれば、sysctl -w kernel.modules_disabled=1 を実行して、後からモジュールを読み込めないようにロックしてしまうのも強力な防御策です。

最後に

セキュリティ対策は「一度設定して終わり」ではありません。しかし、こうした「カーネルレベルでの門番」を立てておくだけで、万が一の侵入があった際にも、攻撃者が足場を固める難易度を劇的に引き上げることができます。

「難しそうだな」と感じたら、まずは「自分のサーバーにはどんなモジュールが読み込まれているんだろう？」と lsmod コマンドを叩くことから始めてみてください。一歩ずつ、サーバーの「鍵」を強くしていきましょう。

それでは、また次回のセキュリティ解説でお会いしましょう！