6.4セキュリティ業務

ファイアウォールやSSHを設定しただけでは終わりません。日々のセキュリティ運用には「攻撃面を自ら点検する」「侵入の兆候を検知する」「最新の脆弱性情報を追う」という継続的な業務があります。この節ではその現場で使われる道具立てを俯瞰します。

6.4.1疎通確認とポートスキャン

• netcat（nc／後継実装のncat）＝TCP/UDPの任意ポートへ手軽に接続・待受できる汎用ツール。ポートが開いているかの簡易確認や、簡易的なファイル転送・リスナーとして使われる。
• nmap＝本格的なポートスキャナ。対象ホストの開放ポート・稼働サービス・OS種別などを調べ、自組織の攻撃面を可視化する監査目的で使われる（無断で他組織に対して実行すると不正アクセス行為になりうる点に注意）。

6.4.2脆弱性情報源とIDS・スキャナ

• 脆弱性情報の速報源＝Bugtraq（セキュリティ研究者間のメーリングリスト由来の老舗情報源）・CERT（米カーネギーメロン大学発、インシデント対応の草分け的組織）・CIAC（米エネルギー省系のインシデント対応チーム）。日常的にこれらを追うのがセキュリティ担当の基本業務。
• fail2ban＝ログを監視し、一定回数の認証失敗を検知したIPアドレスを自動的に一時遮断（iptables/firewalldと連携）するツール。SSHへの総当たり攻撃対策の定番。
• snort＝代表的なオープンソースIDS（侵入検知システム）。ネットワークトラフィックをシグネチャと照合し、不審な通信を検知・記録する。OpenVAS・OpenSCAP＝既知の脆弱性やセキュリティ設定基準への準拠状況をスキャンする脆弱性/コンプライアンス評価ツール。

これらの道具を「攻撃を受ける前」と「攻撃を受けている最中・後」で整理すると位置づけが明確になります。事前の点検では、nmapで自組織のサーバーに対してスキャンを行い、意図せず開いているポートやサービスがないかを洗い出し、OpenVASやOpenSCAPでOS・ミドルウェアの既知脆弱性やセキュリティ設定基準（ベンチマーク）への準拠状況を確認します。これらは能動的にこちらから調べる「守りの健康診断」です。攻撃の検知・防御では、snortがネットワーク上を流れるパケットをシグネチャと照合し、既知の攻撃パターン（特定の脆弱性を突く通信など）を検知してアラートを上げます。SSHやWebアプリケーションへの総当たり攻撃にはfail2banが実践的で、/var/log/secureや/var/log/auth.logのようなログを監視し、短時間に何度も認証失敗した送信元IPを検知すると、iptablesやfirewalldのルールへ動的に追加して遮断します（一定時間後に自動解除する運用が一般的）。日常的な情報収集としては、BugtraqのメーリングリストやCERT・CIACが発行するアドバイザリを定期的に確認し、自組織で使っているソフトウェアに関わる新しい脆弱性が公表されていないかを追いかけます。単純な疎通確認にはnetcat（nc -zv host 80のようにポート開放を素早く確認）が便利ですが、本格的な棚卸しにはnmapを使う、という粒度の使い分けも実務的です。

6.4.3この節のまとめ

• 事前点検＝nmap（スキャン）・OpenVAS/OpenSCAP（脆弱性/準拠評価）。疎通確認はnetcat(nc/ncat)
• 検知＝snort（IDS）／防御＝fail2ban（自動遮断）。情報源はBugtraq・CERT・CIAC