Linux「はにゃ～ん♪」化計画
＜SAKURA Linux＞ これは、 Security Advancement Know-how Upon Readonly Approach for Linux （読み込み専用アプローチによる Linux セキュリティ強化ノウハウ）の頭文字として命名されました。 セキュリティを高めるには、ポリシーに基づく強制アクセス制御が効果的ですが、ポリシーの維持運用がシステム管理者にとって大きな負担であり、障壁となっていました。そこで、目的を「改ざん防止」に限定することで、ポリシーの維持運用を不要にできないかと考え、 Linux システムの大部分を物理的に改ざんできないメディアに記録することにより、ホームページ等の改ざんやバックドアの設置を防ぐことに成功し、 SAKURA Linux というコードネームが与えられました。 当初は読み込み専用で構わない部分と読み書きが必要な部分とを分離する為のノウハ
UbuntuとCentOSどっちがいいの？正しいサーバOSの選び方 - lamichの日記 - 海外でイラスト制作を行う社長のブログ
サーバOSを選定する上で一番大切なことは何か、それはもちろん安定性とセキュリティである。それも将来に渡ってのということになる。 セキュリティに関しては、万が一OSにセキュリティホールが見つかったとしても、それが世界で最も使われているOSでオープンソースであればすぐにパッチが用意され重要アップデートを自動更新する設定(Ubuntu においてもインストール後に設定するのが定石)によってすぐに適用される。 では将来にわたっての安定性とはなにか、これは今世界中の特にオープンソースコミッタ達の間で最も使われているものなのかどうか、世界中の企業のサーバで使われているものなのかどうか。これが将来にわたっての安定性を左右するということにつながる。OSのトレンドが変わればそのとき乗り換えばいいという人がいるかもしれない。 ただし、もしOSを乗り換えなければならない時にあなたのサービスが巨大なユーザーを抱えて
インフラエンジニアじゃなくても押さえておきたいSSHの基礎知識 - Qiita
最近はクラウド上のサーバーを利用する事も多くなってきた。 サーバーの用意やネットワーク周りの設定はインフラ部門がやってくれるけど、アプリのデプロイ／設定は開発者がする事が多いので、開発メインでやってるエンジニアでも最低限SSHの知識は必要になる。 また、Vagrant等でローカル環境にVMを作成する事もあるので、ローカル環境内でSSHを使用するケースも増えてきた。 というわけでインフラエンジニアじゃなくてもSSHクライアントの知識は必須になってきているので、改めてSSHの再学習をしてみることにした。 SSHとは 暗号や認証の技術を利用して、安全にリモートコンピュータと通信するためのプロトコル。 SSHでは以下の点で従来のTelnetより安全な通信が行える。1 パスワードやデータを暗号化して通信する。 クライアントがサーバーに接続する時に、接続先が意図しないサーバーに誘導されていないか厳密に
俺史上最強のiptablesをさらす - Qiita
#!/bin/bash ########################################################### # このスクリプトの特徴 # # 受信・通過については基本的に破棄し、ホワイトリストで許可するものを指定する。 # 送信については基本的に許可する。ただし、サーバが踏み台になり外部のサーバに迷惑をかける可能性があるので、 # 心配な場合は、送信も受信同様に基本破棄・ホワイトリストで許可するように書き換えると良い。 ########################################################### ########################################################### # 用語の統一 # わかりやすさのためルールとコメントの用語を以下に統一する # ACCEPT :
glibc の脆弱性 CVE-2015-0235（通称：GHOST）についてまとめてみた - piyolog
2015年1月27日(現地時間) Qualysはglibc(GNU C Library)に脆弱性を発見し、情報を公開しました。ここでは関連情報をまとめます。(暫定まとめなので精度低め、網羅性無しです。。) (1) 脆弱性関連情報 Qualysが公開した脆弱性情報 The GHOST Vulnerability Qualys Security Advisory CVE-2015-0235 注意喚起 IPA (注意) libc の脆弱性対策について(CVE-2015-0235) 脆弱性の概要 glibcの__nss_hostname_digits_dots() にヒープバッファオーバーフローの脆弱性。 当該関数はglibcのgethostbyname()とgethostbyname2()から呼ばれている。 アプリケーションによっては、DoS、またはリモートから任意のコードが実行可能となる可能性
アノニマスがOSをリリース -Anonymous OS- | Ubuntu通信
匿名のHacker集団で知られるAnonymous（アノニマス）がUbuntu11.10をベースにしたディストリビューションをリリースしました。 AnonymousといえばPlayStation Networkのハッキング問題が記憶に新しいですね。いったいどのような機能が搭載されたOSなのか見てみましょう。 Anonymous OS アプリケーション一覧 ParolaPass Password Generator Find Host IP Anonymous HOIC Ddosim Pyloris Slowloris TorsHammer Sqlmap Havij Sql Poison Admin Finder John the Ripper Hash Identifier Tor XChat IRC Pidgin Vidalia Polipo JonDo i2p Wireshark Z
パスワードのハッシュ値を保管するときのsaltの作り方
flat/京山和将@昼夢堂 @flat_ff パスワードハッシュ値のsaltって低品質の乱数由来でもいいんだろうか？ユーザーごとに分けろって話はあるけど、精度はあまり問題にならない？見つけた範囲では、/dev/urandomつかってるものから、平文パスのmd5を使ってるものまでさまざま。
mod_dosdetector改造版バージョン1.0公開 | へびにっき
mod_dosdetectorの改造版、mod_dosdetector-forkのバージョン1.0.0を公開します。 mod_dosdetector-fork-1.0.0.tar.gz （GitHubプロジェクトページ） プログラム本体は3ヶ月前とほぼ全く同じ状態ですが、より使いやすくするために以下のような追加・修正を行っています。 詳細な説明を含むREADMEを追加 サンプル設定ファイル（dosdetector-sample.conf）を追加 Makefileを修正（installターゲットでビルドオプションを指定できるようになった） READMEはとりあえず日本語で書いてみましたが、いずれ英訳するつもりです。またバージョンが1.0.0という切りの良い数字になっているのは、オリジナル（最新版0.2）との混乱を避けるためであって、特に深い意味はありません。 READMEにも含まれています
サーバにDoS耐性を付ける - stanaka's blog
ウェブサービスでは、アクセスが集中して、サイトが落ちる、というのは、よくある話です。純粋に人気が出てアクセス集中するなら、サーバ管理側の責任と言われても、しかたないと思います。しかし、botやF5アタックによる突発的な集中アクセスで、落ちてしまう、というのは、運営側としても、あまり納得がいくものではありません。 そのような突発的なアクセスに対応するために、大量のアクセスをしてくるクライアントを検出し、優先度を落すか、アクセス禁止にする方法などがあります。 というわけで、Apacheモジュールでそれを検出するためのmod_dosdetectorを開発しました。(ちなみにコア部分の開発期間は、Apacheモジュールって、どう書くんだっけ、という状態から、3日でした。) mod_dosdetectorは、Apacheモジュールとして動作し、クライアントのIPアドレスごとにアクセス頻度を測定し、設
不正アクセスのブロック - おやじまんのだめだこりゃ日記
不正アクセスをブロックする対策がうまくいったようなのでここに記載しておこう。 簡単に言うと、不正アクセスを検知したらそのIPアドレスからのアクセスを拒否してしまうのだ。今回はwebからのアタックだけの対策であるが、ポートスキャンや不正ログインチャレンジへも応用できるので、後々取り組んでいこうと思う。 VineLinux2.6を例にとって進めよう。 まずはapacheの設定ファイルを変更して、webに不正なアクセスがあったらブロックするcgiに制御を飛ばすよう設定する。 vi /etc/httpd/conf/httpd.conf ScriptAlias /cgi-bin/ /home/httpd/cgi-bin/ # # "/home/httpd/cgi-bin" should be changed to whatever your ScriptAliased # CGI directory
iptablesでできるDoS／DDoS対策
はじめに 今回はDoS／DDoS対策を紹介します。今回はiptablesを使った方法とともに、Linuxのカーネルパラメータを使った方法も紹介します。 関連リンク： →Linuxで作るファイアウォール［パケットフィルタリング設定編］ http://www.atmarkit.co.jp/flinux/rensai/security05/security05a.html →連載記事 「習うより慣れろ！ iptablesテンプレート集」 http://www.atmarkit.co.jp/flinux/index/indexfiles/iptablesindex.html →連載記事 「習うより慣れろ！ iptablesテンプレート集 改訂版」 http://www.atmarkit.co.jp/flinux/index/indexfiles/newiptablesindex.html DoS／
Apacheの設定を変更し、単一IPアドレス上で複数のSSLサイトを運用する - builder by ZDNet Japan
Apacheのバージョン2.2.12以降では、SNI（Server Name Indication）という、SSLプロトコルに対する拡張機能がサポートされているため、名前ベースのHTTPサイトを設定する場合と同じように名前ベースのHTTPSサイトを設定することが可能になっている。本記事では、Apacheのこの機能について紹介する。 Apache Webサーバがバージョンアップし、成熟していくに伴い、新機能の追加やバグの修正が行われてきている。そして、バージョン2.2.12で追加された機能のうち、最も重要なものはおそらく、単一IPアドレス上で複数のSSLサイトを運用できるようにするという、長らく持ち望まれていた機能だろう。 これまでは、特定のIPアドレスに対してSSL対応のWebサイトを割り当てた場合、そのサイト1つしかSSL対応のWebサイトを運用することができなかった。つまり、IPアドレ
UNIX系OSのサーバに対するイタズラ集 - yuyarinの日記
随時追加 ターミナルを立ち上げたまま席を離れるとマシンにイタズラされることがよくある．とはいえシャレにならないイタズラはしても笑えないので，基本的には教育的に効果があって被害の出ないものしか実際にはしない． じゃあ，たとえ root じゃなくてもどこまでえげつないことができるのか*1，今回はちょっと考えてみたユーザ権限でできる酷いイタズラを紹介する．対象はリモートログインする UNIX 系 OS を利用しているサーバ，主に Ubuntu である． ls が sl 方法 alias ls=sl sl を期待したという意見が多かったので掲載．掲載しなかったのは sl がインストールされていない環境が多く，インストールには root 権限が必要になるから．後述のバイナリを持ち込んでパスを通す方法を使えばできないことはないかも． エディターが全部 ed 方法 alias nano=ed alias
» セキュアなサーバを作るために最低限やっておくこと: エスキュービズム ラボ Blog
Recent Entries セキュアなサーバを作るために最低限やっておくこと Yahooキーワード抽出APIライブラリ テスト駆動開発 （test driven development: TDD） のすすめ GoogleAnalyticsAPI on EC-CUBE 土日で作るコンパイラ OPEN ERPに挑戦３ OPEN ERPに挑戦２ OPEN ERPに挑戦 ERPはたくさんあれど・・・ OpenGLで3D、やってみよう Recent Comments No Responses. Recent Trackbacks テスト駆動開発 （test driven development: TDD） のすすめ 06/11 » Yahooキーワード抽出... みなさんはサーバを管理するときに、何を一番気にしますか？ 人によって程度の差はあるのでしょうが、誰もが気になるのが「セキュリティ」でしょ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
x.com
sanonosa システム管理コラム集