こんにちは！インフラやセキュリティの世界へようこそ。
新人のIT担当者や、アプリケーション開発の傍らでサーバーの管理も任されるようになった一般開発者の皆さん、日々の業務本当にお疲れ様です。
「サーバーを構築したはいいけれど、なんだか見えない誰かに侵入されそうで怖い…」
「セキュリティの教科書を開いても、専門用語ばかりで何から手をつければいいかわからない…」
そんな不安を抱えていませんか？大丈夫です。一歩ずつ、身近な例から対策を学んでいきましょう！
今回は、Linuxサーバーの心臓部である systemd を使って、サーバーの「不要な出入り口」をピシャリと塞ぐ方法についてお話しします。攻撃のターゲットを徹底的に減らす、いわゆる「要塞化（ハーデニング）」の第一歩を一緒に踏み出しましょう。
—
1. なぜ「不要なサービス」を止める必要があるの？
いきなりですが、あなたの自宅を想像してみてください。
玄関の鍵はもちろん、勝手口、2階のベランダの窓、使っていない物置の小窓……。家じゅうのあらゆる扉や窓が開けっ放しになっていたら、泥棒に入られるリスクは跳ね上がりますよね。
サーバーもこれとまったく同じです。
OSをインストールしたばかりのLinuxサーバーには、私たちが普段使わないような便利な機能（裏でこっそり動いているプログラム＝デーモン）が、親切心から最初からたくさん詰め込まれています。
攻撃者（泥棒）は、サーバーに侵入する際、この「使っていないけれど、なぜか開いている扉」を探します。
例えば、「誰も使っていないプリンター管理用のサービス」にセキュリティの穴（脆弱性）が見つかったとします。もしそのサービスが動いたままになっていたら……？ 攻撃者はその穴からスルッと侵入し、サーバー全体の乗っ取りを狙ってくるのです。
これが、セキュリティの世界でよく言われる「攻撃対象領域（Attack Surface：アタックサーフェス）」の拡大です。
つまり、「使っていない機能はすべて止める（あるいは削除する）」ことこそが、サーバーを守るための最も基本的で強力な防犯対策なのです。
—
2. ただ「止める」だけでは不十分？ systemctl mask の正体
Linuxの現代的な管理ツールである systemd では、サービスの起動や停止を systemctl コマンドで行いますよね。
通常、不要なサービスを止めるときは systemctl stop や systemctl disable を使います。
しかし、これだけでは少し不安が残ります。なぜなら、他の別のサービスが「あ、この機能が必要だな」と勝手に判断して、気を利かせて裏でそのサービスを再起動させてしまうことがあるからです。まるで、施錠したはずの窓を、家族が「換気のために」と勝手に開けてしまうようなものですね。
そこで登場するのが、今回の主役である systemctl mask（マスク） です。
マスクとは、そのサービスに「完全にお面をかぶせて、二度と起動できないように封印する」強力なコマンドです。どんなに他のプログラムが「起動して！」と頼んでも、システムは「そんなサービスはありません」と言って頑なに拒否するようになります。まさに、窓をベニヤ板で打ち付けて二度と開かないようにするような、圧倒的な安心感を生み出す防犯対策です。
—
3. 実践！ サーバーの「不要な扉」を徹底的に塞ぐ
それでは、実際に手を動かして、不要なサービスを安全に封印していきましょう。
作業を行う際は、管理者権限（root または sudo）が必要になります。
ステップ1：今、どんなサービスが動いているか確認する
まずは、現在システム上で動いているサービスの一覧を覗いてみましょう。
# 現在システムで有効（自動起動するように設定）になっているサービスの一覧を表示する
systemctl list-unit-files --type=service --state=enabledこのコマンドを実行すると、見慣れない名前のサービスがずらっと並びます。
「あれ？ これって本当にこのサーバーで必要なんだっけ？」と疑問に思うサービスがあれば、それが第一のターゲットです。
ステップ2：不要なサービスを「マスク（封印）」する
例えば、Webサーバーとしてのみ運用しているはずのLinuxになぜか入っている、Bluetoothの管理サービス（bluetooth.service）を例に取ってみましょう。クラウド上の仮想サーバーでBluetoothを使うことはまずありませんよね。迷わず封印します。
# 1. 念のためサービスを今すぐ停止する
sudo systemctl stop bluetooth.service
# 2. サービスを完全に無効化し、他のサービスからの勝手な起動も防ぐ（マスクする）
sudo systemctl mask bluetooth.service実行すると、以下のようなメッセージが表示されます。
Created symlink /etc/systemd/system/bluetooth.service → /dev/null.これは、「このサービスへの呼び出しを、すべて『何もない虚無（/dev/null）』に繋ぎましたよ」という systemd からのサインです。これで、このサービスは二度と勝手に動き出すことができなくなりました。
ステップ3：もし間違えてマスクしてしまったら？（解除方法）
「あ、必要なサービスまでうっかりマスクしちゃったかも……！」という時も焦る必要はありません。マスクは簡単に解除（アンマスク）できます。
# マスクを解除して、通常の状態に戻す
sudo systemctl unmask bluetooth.service
# 必要に応じて再度有効化する
sudo systemctl enable bluetooth.serviceこのように、いつでも元に戻せるのも systemd の優れたところです。安全性を確認しながら、少しずつ進めていきましょう。
—
4. 依存関係の最小化という考え方
サービスの不要な部分を削っていく上で、もう一つ意識してほしいのが「依存関係の最小化」です。
Linuxのサービスは、多くが他の小さなプログラム（ライブラリや他のサービス）に支えられています。
例えば、「便利なメール送信機能」を有効にすると、「データベース接続機能」や「古いログ管理機能」などが自動的にお供としてついてくることがあります。
主目的のアプリにとって本当にそのお供が必要なのか？
「この機能が動くためには、実はあの不要なサービスも動いていないといけない」という連鎖を断ち切るために、インストールするパッケージや有効にするサービスは、必要最小限（最小構成）に絞り込むことが、プロのインフラエンジニアの鉄則です。
—
まとめ：今日からできる小さな防犯
今回は、systemd を使った不要サービスの無効化と、攻撃対象領域を最小限にするアプローチについてお話ししました。
- 攻撃対象領域（Attack Surface）を減らすため、使わない機能は動かさない。
- ただ止めるだけでなく、
systemctl maskを使って勝手に起動しないよう「封印」する。 - 本当に必要なサービスと依存関係だけを見極めて、サーバーをスリムで強固な状態に保つ。
セキュリティ対策と聞くと、なんだか難解な暗号や、高価な専用ソフトを導入しなければならないイメージがあるかもしれません。しかし、「今ある環境の中で、不要なものを削ぎ落とす」という作業は、今日からでも、追加のコストをかけずに始められる最高の一歩です。
皆さんのサーバーが、泥棒（攻撃者）にとって「隙のない、堅牢な要塞」になるよう、ぜひ今日の帰り際にでも systemctl list-unit-files で不要なサービスを探してみてくださいね。
それでは、また次回のセキュリティ解説でお会いしましょう！安全な開発ライフを！
コメント