5.2ホストのセキュリティ設定

ホスト防御の第一原則は「動いていないものは攻撃できない」です。不要なサービスを止めて攻撃面を減らし、残った入口をファイアウォールで絞る——この2段構えの基礎を固めます。

5.2.1不要サービスの停止とログイン抑止

• 現行＝systemctl：systemctl stop（今止める）＋ systemctl disable（次回起動から無効） の2段。systemctl list-unit-files --state=enabled で有効サービスを棚卸し。
• レガシー＝service start/stop・chkconfig（RHEL 系の自動起動管理）・/etc/init.d/ のスクリプト。古い環境の問題ではこちらが正解になる。
• inetd／xinetd＝要求が来たときだけサービスを起動するスーパーサーバー（設定は /etc/inetd.conf・/etc/xinetd.d/）。現代では systemd ソケットに置き換わったが、無効化すべきレガシー入口として出題される。
• シャドウパスワード＝ハッシュを /etc/shadow（root のみ可読）へ分離する仕組み（3.1 の復習）。/etc/nologin＝このファイルが存在すると root 以外のログインを拒否（メンテナンス時の即席ゲート・中身は表示されるメッセージ）。

5.2.2ファイアウォールの概要

• iptables＝カーネルのパケットフィルタ（netfilter）をルールチェーン（INPUT/OUTPUT/FORWARD）で直接制御する伝統ツール。
• firewalld＝ゾーン（public・internal 等）とサービス名で管理する現行の高水準ツール（firewall-cmd --add-service=https --permanent → --reload）。--permanent を付けないと再起動で消える。
• 基本方針＝既定拒否＋必要な口だけ許可（デフォルト拒否）。1.10.1 の「内 ss・外 nmap」の差分確認とセットで運用する。

新規サーバーの堅牢化（ハードニング）を手順化しましょう。
①systemctl list-unit-files --state=enabled で有効サービスを棚卸し、要件に無いもの（例：使わない cups・avahi）を systemctl stop X && systemctl disable X で現在と将来の両方止めます。
②ss -tlnp で残った LISTEN を確認し、想定リスト（22/80/443 など）と一致するまで
①を繰り返します。
③firewalld で既定ゾーンを絞り、firewall-cmd --add-service=ssh --add-service=https --permanent && firewall-cmd --reload のように必要な口だけ開けます——ここで --permanent を忘れると「再起動したら閉じていた/開いていた」事故になります。
④計画メンテナンスの際は echo "メンテナンス中 03:00 まで" > /etc/nologin を置けば、root 以外の新規ログインを一時停止でき、終わったら削除するだけです。試験では「サービスを止めたのに再起動後に復活した」→ disable を忘れている、が最頻出のシナリオです。

5.2.3この節のまとめ

• 堅牢化＝棚卸し→stop＋disable→ss で確認→firewalld で既定拒否・必要な口だけ（--permanent）
• nologin＝存在すれば一般ログイン拒否（rootは可）・レガシー＝service/chkconfig/init.d・xinetd はオンデマンド起動