こんにちは！インフラやセキュリティの世界へようこそ。
初めてサーバーに触れるとき、「何から手をつけていいんだろう」「設定ファイルがいっぱいあって、どこを直せばいいか分からないよ…」と不安になりますよね。
今回は、Linuxサーバーの心臓部を守るための「ファイルシステム権限の最小化」と、最強の防犯グッズである「Immutable（イミュータブル）属性」について、身近な防犯の仕組みに例えながら、一歩ずつ優しく紐解いていきたいと思います。
セキュリティのプロである私と一緒に、今日から使える実践的なテクニックを学んでいきましょう！
—
1. サーバーを守る防犯の考え方：家の鍵とLinuxの権限
私たちが住む家には、玄関に鍵をかけたり、大切な通帳を金庫の奥にしまったりして、泥棒から財産を守りますよね。Linuxサーバーの世界も全く同じです。
攻撃者（ハッカーやマルウェア）がサーバーに侵入したとき、彼らが最初に狙うのは「設定ファイルの書き換え」や「権限の乗っ取り（権限昇格）」です。
「一般ユーザーとしてログインしたけれど、システム全体を操る管理者（root）の権限を奪いたい！」というのが攻撃者の常套手段なんですね。
これを防ぐための基本は、「必要最小限の人に、必要最小限の権限だけを渡す」という原則です。
「誰でも自由に出入りできる部屋」を作らないこと、そして「絶対に書き換えられたくない重要書類は、のり付けしてペンでも書けないようにする」こと。これが、今回学ぶハーデニング（要塞化）の核心です。
—
2. 攻撃者が好む「落とし穴」を知ろう
まずは、攻撃者がどのようにしてシステムを乗っ取ろうとするのか、その手口の裏側を少しだけ覗いてみましょう。
Linuxには、誰でも読み書きできる共有フォルダのような場所（例えば /tmp ディレクトリなど）が存在します。
もし、この共有フォルダの管理が甘いと、こんな恐ろしいことが起きます。
1. 攻撃者が適当なファイルを作成する。
2. そのファイルを、管理者（root）がうっかり実行してしまうような仕組みを作る。
3. ファイルの権限設定の不備をついて、一般ユーザーが管理者権限（root）に化けてしまう（権限昇格）。
「うわ、怖そう…」と思いましたか？大丈夫です。Linuxには、こうした不正なファイル操作や乗っ取りを防ぐための、強力で頼もしい仕組みがちゃんと用意されています。
—
3. 最強の防犯フック：ディレクトリを守る「スティッキービット」
まずは、複数人が利用する共有ディレクトリの安全性を高める「スティッキービット（Sticky Bit）」という機能を見ていきましょう。
スティッキービットってなに？
身近な例えで言うと、学校の「クラス全員の落とし物BOX」を想像してみてください。
クラスの全員がそこに物を入れられますが、「自分が置いた物しか取り出せない（または消せない）」、そして「他の人が入れたものは勝手に捨てたり持ち去ったりできない」というルールがあれば安心ですよね。
このルールをディレクトリに適用するのが、スティッキービットです。
実際に設定してみましょう
例えば、誰でも一時的にファイルを置ける /var/tmp というディレクトリがあったとします。ここにスティッキービットを安全に付与するコマンドは以下のようになります。
# /var/tmp ディレクトリに対して、スティッキービット（+t）を付与します
# これにより、自分が作成したファイル以外は、他の一般ユーザーに削除されなくなります
chmod +t /var/tmp
# 設定が正しく反映されているか確認してみましょう
ls -ld /var/tmp確認コマンドを実行した際、パーセンテージの表示の最後尾に t （例: drwxrwxrwt の最後の t）が見えたら、無事に防犯の鍵がしっかりとかかっている証拠です！
—
4. 絶対に書き換えられたくない！ chattr +i によるImmutable（不変）化
さて、ここからが今回のハイライトです。
サーバーの命運を握る重要な設定ファイル（例えば、ネットワーク設定やユーザー認証の設定ファイルなど）は、「普段は読むことしかできなくていい。絶対に、誰であっても書き換えや削除ができないようにしたい」ですよね。
通常、Linuxの管理者である root ユーザーであれば、どんなファイルでも自由に変更できてしまいます。しかし、万が一 root のパスワードが破られたり、管理者権限を悪用するマルウェアに感染したりした場合、すべての設定が書き換えられてしまいます。
そこで登場するのが、ファイルに「Immutable（変更不能・不変）」という最強の封印を施すコマンド、chattr +i です。
不変（Immutable）属性のすごさ
rootユーザーであっても、このファイルの内容を変更（上書き）できません。- ファイルを削除しようとしても、「Permission denied（許可されていません）」と言われて消せません。
- ファイルの名前を変えることもできません。
まさに、コンクリートでガチガチに固めた金庫の中に重要書類をしまうようなものです。
実践：設定ファイルを完全防衛する
それでは、重要な設定ファイル（例として /etc/important.conf とします）を封印する手順を見ていきましょう。
# 1. まず、ファイルが意図した正しい状態であることを確認し、chattrコマンドで「不変（Immutable）」属性を付与します
chattr +i /etc/important.conf
# 2. 属性が正しく付与されているか、lsattr（List Attribute）コマンドで確認します
lsattr /etc/important.conf
# 実行結果に「----i--------」のように「i」の文字が表示されていれば成功です！「ちょっと待って！設定を変えたくなったらどうするの？」
すごく良い疑問ですね！「不変」にしてしまったら、今後サーバーのメンテナンスで設定を変えたくなったときに困ってしまいますよね。
安心してください。封印はいつでも解除できます。ただし、「解除するには一度しっかりと考え、正しい手順を踏む必要がある」という一手間が入ることで、うっかりミスや不正な書き換えを防ぐことができるのです。
設定を変更したいときは、以下のように一時的に封印を解いてから作業を行います。
# 1. 一時的に「不変（Immutable）」の封印を解く
chattr -i /etc/important.conf
# 2. 好きなエディタで設定ファイルを安全に修正する
nano /etc/important.conf
# 3. 修正が終わったら、再び強力な封印をかけ直す！
chattr +i /etc/important.confこの「修正したらすぐに鍵をかけ直す」という習慣こそが、堅牢なインフラを守るエンジニアの第一歩になります。
—
5. まとめ：一歩ずつ、安全なサーバー環境を作ろうい
今回は、Linuxサーバーの要塞化における基本として、以下の2つを学びました。
1. スティッキービット（chmod +t）で、共有ディレクトリでの不正なファイル削除を防ぐ。
2. Immutable属性（chattr +i）で、重要な設定ファイルを改ざんや削除から完全に守り抜く。
最初は難しく感じるコマンドや専門用語も、一つひとつの意味を「身近な防犯」に置き換えてみると、すごく理にかなっていて面白いと感じていただけたのではないでしょうか。
セキュリティ対策に「完璧」はありませんが、こうした地道な「ファイルの鍵かけ」を一つずつ丁寧に行うことで、攻撃者にとって「攻略に手間がかかりすぎる、面倒なサーバー」を作り上げることができます。
焦らず、一歩ずつ、安全で強いインフラを作っていきましょう！それでは、次回のセキュリティ解説もお楽しみに！
コメント