5.1セキュリティ管理業務の実施

セキュリティは「設定して終わり」ではなく定期点検の業務です。この節は監査の道具箱——危険なファイルを探す・アカウントの期限を管理する・開いている入口を数える・誰が入っているかを見る——を一通り揃えます。

5.1.1ファイル監査とパスワードエージング

• SUID／SGID 監査＝find / -perm -4000（SUID）・-perm -2000（SGID）。意図しない SUID ファイルは权限昇格の温床なので定期棚卸しする（2.1 の知識の応用）。
• パスワードエージング＝chage で有効期限を管理（chage -l user01＝現状表示・-M 90＝最長90日・-d 0＝次回ログインで強制変更）。passwd や usermod にも一部同等オプションがある。
• ログインの把握＝who（現在のログイン者）・w（＋何をしているか・負荷）・last（ログイン履歴。/var/log/wtmp 由来）。

5.1.2開放ポート・権限昇格・制限

• 開いているポート＝ss -tlnp／netstat（ローカルから）・nmap（外からスキャンして実際の見え方を確認）。ポートを掴んでいるプロセスの特定＝lsof -i:80・fuser。
• su＝別ユーザーに成り代わる（su -＝環境ごと root へ）。sudo＝コマンド単位で特権実行し、実行記録が残る。設定は /etc/sudoers（必ず visudo で編集＝文法エラーでロックアウトしない保護付き）。
• ulimit＝シェルとその子のリソース上限（-n ファイル数・-u プロセス数・-c core サイズ）。TMOUT＝無操作で自動ログアウトする秒数（放置端末対策・profile に設定）。