サーバーOS（Linux/Windows）の要塞化（ハーデニング）と不要サービスの停止

コンテナ全盛の時代に、なぜあえて「chroot/jail」を語るのか「今の時代、Dockerがあるのにわざわざ chroot を手組みする意味はあるのか？」インシデント対応の現場で、若手エンジニアからよく聞かれる質問だ。確かに、コンテナ技術...

なぜ「使わない機能」を止めないのか？ PrintNightmareから学ぶ要塞化の極意現場でインシデント対応をしていると、決まって「なぜ、そこが動いていたのか？」という問いに突き当たる。特にWindowsサーバーの構築において、デフォルト設...

SSHは「安全な鍵」ではない？――踏み台を無効化する『AllowTcpForwarding』の鉄則エンジニア諸君、日々お疲れ様。本番環境の構築で「SSH接続さえ許可していれば、鍵認証だし大丈夫だろう」と高を括っていないだろうか。確かにSSH...

カーネルを乗っ取られたら「終わり」。署名検証によるLKM攻撃の封じ込め現場でインシデント対応をしていると、脆弱なWebアプリのパッチ当てに追われるエンジニアをよく見かける。だが、アプリ層の脆弱性はあくまで「入り口」の話だ。真の悪夢は、攻撃者...

現場のエンジニア諸君、今日も泥臭いインシデント対応に追われていないか？セキュリティの教科書には「OSを最新に保て」「アンチウイルスを入れろ」と書かれているが、そんなものは現代の標的型攻撃の前では「気休め」に過ぎない。特にWindows環境に...

侵入されても「詰まない」ための要塞術：SELinux/AppArmorによる強制アクセス制御（MAC）の実践エンジニア諸君、日々お疲れ様。「うちはFWで守っているから大丈夫」「AWSのセキュリティグループでIP制限しているから安心」……そん...

なぜ「デフォルトのログ」だけでは侵入を防げないのか？「イベントビューアーを見ています」という運用担当者の言葉ほど、インシデント対応の現場で不安を覚えるものはない。Windows標準のログ収集は、言うなれば「玄関のチャイムが鳴ったか」を記録す...

ログを消す攻撃者は「プロ」である。auditdで「見えない足跡」を可視化せよシステムに侵入した攻撃者がまず行うこと、それは rm -rf /var/log/* だ。初心者はログをファイルシステムに保存して安心するが、インシデント対応の現場に...

SMBv1という「亡霊」を叩き出す：現代のインフラ要塞化における最優先事項現場でインシデント対応をしていると、いまだに「なぜこんな古いプロトコルが生きているんだ？」と頭を抱える瞬間がある。その筆頭がSMBv1だ。2017年のWannaCry...

サーバーの「無駄」は攻撃者の「好物」だ：Windows Serverの徹底的な要塞化術現場で数々のインシデントを見てきたが、侵入されたサーバーの多くに共通するのは「なぜそんな機能が動いているのか？」という疑問だ。攻撃者は、開発者がテスト用に...