5.2ホストのセキュリティ設定

ホスト防御の第一原則は「動いていないものは攻撃できない」です。不要なサービスを止めて攻撃面を減らし、残った入口をファイアウォールで絞る——この2段構えの基礎を固めます。

5.2.1不要サービスの停止とログイン抑止

• 現行＝systemctl：systemctl stop（今止める）＋ systemctl disable（次回起動から無効） の2段。systemctl list-unit-files --state=enabled で有効サービスを棚卸し。
• レガシー＝service start/stop・chkconfig（RHEL 系の自動起動管理）・/etc/init.d/ のスクリプト。古い環境の問題ではこちらが正解になる。
• inetd／xinetd＝要求が来たときだけサービスを起動するスーパーサーバー（設定は /etc/inetd.conf・/etc/xinetd.d/）。現代では systemd ソケットに置き換わったが、無効化すべきレガシー入口として出題される。
• シャドウパスワード＝ハッシュを /etc/shadow（root のみ可読）へ分離する仕組み（3.1 の復習）。/etc/nologin＝このファイルが存在すると root 以外のログインを拒否（メンテナンス時の即席ゲート・中身は表示されるメッセージ）。

5.2.2ファイアウォールの概要

• iptables＝カーネルのパケットフィルタ（netfilter）をルールチェーン（INPUT/OUTPUT/FORWARD）で直接制御する伝統ツール。
• firewalld＝ゾーン（public・internal 等）とサービス名で管理する現行の高水準ツール（firewall-cmd --add-service=https --permanent → --reload）。--permanent を付けないと再起動で消える。
• 基本方針＝既定拒否＋必要な口だけ許可（デフォルト拒否）。1.10.1 の「内 ss・外 nmap」の差分確認とセットで運用する。