こんにちは。セキュリティの世界へようこそ。
「サーバーの時刻を合わせる」。地味な作業ですよね。でも、実はここを疎かにすることは、泥棒に対して「うちは玄関の鍵は開けっ放しだし、防犯カメラの時計も狂っていますよ」とわざわざ宣伝して回るようなものなんです。
今日は、なぜたかが「時計」がセキュリティの要なのか、そしてどうやって鉄壁の守りを作るのかを、身近な例えを交えて紐解いていきましょう。
—
1. なぜ「時刻」が狂うと泥棒に入られるのか？
家の防犯カメラを想像してみてください。もし、そのカメラの時刻設定が3年前に戻っていたら、泥棒が侵入した瞬間の記録は「3年前の出来事」として処理されてしまいますよね。
ITの世界でも同じです。
- ログの整合性が崩壊する： 攻撃を受けたとき、いつ、どの攻撃者が侵入したかを特定するための「証拠」であるログが、正しい時刻を刻んでいなければ、犯人探しは不可能になります。
- 証明書の検証回避： HTTPS通信などで使われるデジタル証明書には「有効期限」があります。攻撃者はOSの時刻を強制的に書き換えることで、「まだ期限内ですよ」とシステムを騙し、期限切れの古い証明書で不正アクセスを試みることがあります。
つまり、時刻は「システムの正義」そのものなのです。
—
2. 攻撃者は「NTP」の隙を突く
サーバーは通常、NTP（Network Time Protocol）という仕組みを使ってインターネット上の正しい時刻サーバーと通信し、自分の時計を修正します。
しかし、このNTP通信が「鍵のかかっていない郵便受け」のような状態だとどうでしょう。悪意のある攻撃者が、偽の時刻情報を送り込んでくる「NTPなりすまし攻撃」を仕掛けるかもしれません。あなたのサーバーが「今はまだ大丈夫だ」と勘違いしている隙に、セキュリティホールをこじ開けられてしまうのです。
—
3. 「NTP認証」で郵便受けに鍵をかける
では、どう守ればいいのか。一番の対策は「NTP認証」を設定することです。これは、時刻サーバーと通信する際に「私は正しいサーバーですよ」という証明書（鍵）を照らし合わせる仕組みです。
Linuxサーバーで一般的に使われる Chrony を例に、設定のポイントを見てみましょう。
設定のヒント（/etc/chrony.conf）
chrony.conf に以下のような記述を追加します。
# 信頼できる時刻サーバーを指定し、鍵IDを指定します
server ntp.example.com iburst key 1
# 鍵ファイルを指定します
keyfile /etc/chrony.keys
# 鍵のID 1 を使用し、ハッシュ方式（SHA1など）で認証を要求します
# 鍵ファイルには事前に共有鍵を記載しておく必要がありますこのように、通信相手を限定し、かつ鍵を使って「正しい相手からの情報であること」を保証することで、偽の時刻情報をシャットアウトできます。
—
4. 不要なサービスは「塞ぐ」のが鉄則
サーバーの要塞化（ハーデニング）において最も大切なのは、「使わない機能は徹底的にオフにする」ことです。
NTPの設定もそうですが、もしあなたのサーバーが時刻サーバーとしての役割（外部に時刻を配信する機能）を持っていないのであれば、外部からのNTPリクエストを受け付けないように設定すべきです。
# iptablesやfirewalldで、外部からのNTP要求（ポート123）を遮断する例
# 自分のサーバーがクライアントとして時刻を取得する通信だけを通します
firewall-cmd --permanent --remove-service=ntp
firewall-cmd --reload「必要最小限の穴しか開けない」。これが、泥棒に侵入の隙を与えないための最も効果的な防犯術です。
—
5. 一歩ずつ、確実に。
最初は難しく感じるかもしれませんが、まずは「自分のサーバーの時刻が今、正しいのか？」を確認するところから始めてみてください。
1. date コマンドで現在の時刻を確認する。
2. chronyc sources コマンドで、どのサーバーから時刻をもらっているかチェックする。
3. 不要な公開ポートが開いていないか確認する。
これだけで、あなたは一歩、セキュリティエンジニアとしての階段を登ったことになります。セキュリティは一度設定して終わりではありません。泥棒も常に新しい道具を考えています。だからこそ、こうした「基本のキ」を大切に積み重ねていきましょう。
何か分からないことがあれば、いつでもまた聞きに来てくださいね。一緒に鉄壁の環境を作っていきましょう！
コメント