はてなブックマーク

挿入するメディアの元となるイメージファイルは以下の物です。 CentOS5.1 32bitCPU向け 北陸先端科学技術大学院大学 DVDイメージ 理化学研究所 CDイメージ(Disc1) CentOS5.1 64bitCPU向け 北陸先端科学技術大学院大学 DVDイメージ 理化学研究所 CDイメージ(Disc1) インストール作業を行う前に、BIOSの設定を変更し、CD/DVD-ROMドライブから起動できるように変更する必要があります。作成したメディアをCD/DVD-ROMに挿入し、PCを起動します。 1.CD/DVD-ROMから起動が行われると、このような画面が表示されます。 Enterキーを押下して次に進みます。 2.メディアのチェックを行います。 [OK]が反転している事を確認し、Enterキーを押下して次に進みます。 チェックを行わない場合、[Skip]を選択し、6に進みます。 3

WebサーバがTRACEメソッドをサポートしている場合、XST(Cross Site Tracing)という攻撃を行われる可能性があります。TRACEメソッドはWebサーバに対してクライアントが送信した内容をそのまま返すメソッドです。ここでは、TRACEメソッドを無効にする方法を記載します。 「サポートしているメソッドを調べる」でTRACEメソッドが有効になっていたとしても、対策方法によってはTRACEメソッドの悪用はできなくなっています。具体的な方法は後述しますが、実際にTRACEメソッドを使用できるかどうかを確認します。 ※サーバの応答は青色と赤色。 # telnet 192.168.10.2 80 #telnetで192.168.10.2のTCPポート80番に接続 TRACE / HTTP/1.0 #TRACEでのHTTP/1.0のリクエスト(入力後に改行を1つ入れる) TEST:

Apacheでアクセスを制限するには、パスワードで制限する方法とクライアント証明書で制限する方法があります。 今回は以下のような条件で制限を行います。 Webの公開ディレクトリは/var/www/html 制限をかけるディレクトリは/var/www/html/access(http://localhost/access/) パスワードファイルを置く場所は/var/www/private .htaccessに記述する場合はhttpd.conf内で.htaccessによる制御を許可しておく まず、Basic認証でのパスワード制限です。httpd.confに記述する方法と、.htaccessに記述する方法があります。Basic認証では、ユーザー名/パスワードがBase64でエンコードされて送信されます。Base64でエンコードされた文字列は容易にデコード出来るため、Basic認証を利用する場合は

内部からの問い合わせに対して、外部のDNSに反復問い合わせを行うキャッシュサーバーを構築します。 ※BINDのインストールが完了している前提で書きます。 BINDのインストールで作成した設定ファイルの中身を記述します。 # vi /var/named/chroot/etc/named.conf ------------------------------ 次の行からnamed.confの中身 //アクセスを許可するIPアドレスやネットワークを記述する acl my-network { 192.168.10.0/24; //反復問い合わせを許可するネットワーク }; options { recursion yes; // 再帰クエリを行う version "unknown"; // バージョン情報を返さない directory "/var/named"; // ディレクトリの設定 //反復問

認証局(Certification Authority)が何を行うのかというと、第三者の公開鍵が、間違いなくその組織(や個人)のものだという事の証明を行います。この証明には[なりすまし]や[改ざん]を検知する仕組みが含まれています。 注意するべき点はここで構築するのが自前の認証局であり、他人からは第三者を証明するはずのこの認証局自体が信頼できない点です。その点を回避するためになんらかの安全なルートで自前の認証局の証明書をルート証明書として登録してもらう必要があります。ただしその場合、この認証局の秘密鍵の管理に責任を負う事を認識する必要があります。自前の認証局を利用するには、扱う情報の内容や利用範囲を考慮する必要があります。 認証局(CA)の作成用に、CentOS5ではシェルスクリプトが用意されています。これを使用することで容易に認証局を作成する事ができます。 # /bin/cp /etc/

私たちが普段Internet ExplorerやFirefoxを使ってWebサイトを閲覧できるのは、Webサーバーが稼動しているおかげです。ここではApacheをインストールして、自宅内にWebサーバーを構築します。 実は、インストールの通りにCentOS5(CentOS5.1)のインストールを行うと、すでにApacheがインストールされています。以下は、すでにApacheがインストールされているかどうかの確認と、インストールされていない場合にyumを使用してApacheをインストールする方法です。 # rpm -qa httpd #すでにApacheがインストールされていないかどうかを確認 httpd-2.2.3-11.el5_1.centos.3 #このようにhttpd-*.*.*-**.****と表示されれば、Apacheはインストールされています # yum -y install

GNOME端末を起動します。GNOME端末の起動は画面左上のメニュー[アプリケーション]->[アクセサリ]->[GNOME端末]を選択します。 iptablesでパケットフィルタリングの設定を行います。GNOME端末で[/usr/bin/system-config-securitylevel]コマンドを入力して起動するGUIツールや、[/usr/bin/system-config-securitylevel-tui]から簡易設定をする事ができます。しかし、これらの設定ツールでは細かい挙動の制御には向かないため、iptablesコマンドを使用してパケットフィルタリングの設定を制御します。設定の変更を容易にするため、スクリプトを作成します。 # touch /usr/local/sbin/iptables.sh # chmod 0700 /usr/local/sbin/iptables.sh

CentOS5での自宅サーバー構築時のメモです。 CentOS5～CentOS5.2で確認したことが多いですが、CentOS5.3でもほとんど変わらないと思います。 CentOSとは、Red Hat社が公開しているソースコードを元に、Red Hat Enterprise Linuxと互換を目指して作成されている「RHELクローン」と呼ばれる無料のLinuxディストリビューションです。Red Hat Enterprise Linuxと同等の安定性がある、魅力的なディストリビューションです。

DNSサーバーには以下の三種類があります。 キャッシュサーバー 名前解決要求を受けると、コンテンツサーバに対して反復問い合わせを行い、回答してくれるDNSサーバー。主に内部ネットワークからの問い合わせに使用します。…主にというよりも、外部に公開するべきではありません。キャッシュサーバーはDDos攻撃の踏み台にされたり、DNSポイゾニングを行われたりする可能性があります。 コンテンツサーバー 一つ以上のドメインの情報を管理し、管理しているドメインの情報への問合に対してのみ回答するDNSサーバー。主に外部のキャッシュサーバーに応答する目的で使用します。 兼用サーバー キャッシュサーバーとコンテンツサーバーのどちらの特性も併せ持つDNSサーバーです。管理しているドメインはもちろん、管理していないドメインの事も調べて回答してくれるDNSサーバー。主に内部ネットワークで使用します。内部ネットワークで

WebDavは、クライアントからサーバー上のファイルを操作できるようにHTTPの機能が拡張されたものです。この機能を利用してファイルサーバーとして使用します。 なお、WebDav自体にはアクセス制御の機能が無いため、「アクセスを制限する」の設定を用いてアクセスを制限することをおすすめします。 ※Apacheのインストールと設定が完了している前提で書きます。 WebDavの機能を利用するには、特に新しく何かをインストールする必要はありません。設定を変更するだけで使用できます。 # vi /etc/httpd/conf/httpd.conf ------------------------------ 次の行からhttpd.confの内容(一部) # 175行目と179行目のdav_moduleとdav_fs_moduleのコメントをはずし、有効にします LoadModule dav_modu

挿入するメディアの元となるイメージファイルは以下の物です。 CentOS5.1 32bitCPU向け 理化学研究所 CDイメージ(CentOS-5.1-i386-netinstall.iso) CentOS5.1 64bitCPU向け 理化学研究所 CDイメージ(CentOS-5.1-x86_64-netinstall.iso) ネットワークインストール作業を行う前に、BIOSの設定を変更し、CD/DVD-ROMドライブから起動できるように変更する必要があります。作成したメディア(*-netinstall.iso)をCD/DVD-ROMに挿入し、PCを起動します。 1.CD/DVD-ROMから起動が行われると、このような画面が表示されます。 Enterキーを押下して次に進みます。 2.インストール中に使用される言語を選択します。 Japaneseを選択します。 3.2でJapaneseを選

CentOS5 Webサーバーの構築[Apache] Apacheの通信をSSL/TLSで暗号化する - itochif.com Webサイトの利用ユーザーとApacheの稼動しているこのサーバー間の通信をSSL/TLSを使って暗号化します。この設定を行う上で、認証局(CA)から発行された証明書を使用します。サーバー証明書の発行は、認証局(CA)の構築で構築した認証局で行うか、VeriSign等の認証局から発行してもらいます。ここでは認証局(CA)の構築で構築した認証局を使ってサーバー証明書を発行します。 ※[Apacheのインストールと設定]と[認証局(CA)の構築]が完了している前提です。 認証局からサーバー証明書を発行してもらうには、CSR(Certificate Signing Request)と呼ばれる情報を認証局に提出し、署名をしてもらう必要があります。VeriSign等の認証

GNOME端末を起動します。GNOME端末の起動は画面左上のメニュー[アプリケーション]->[アクセサリ]->[GNOME端末]を選択します。 yumを使用してパッケージのインストールやアップデートを行う時には、自動的にパッケージの完全性や出所が正しいかどうかの確認が行われます。 確認を行うにはrpmデータベースにCentOS5のGngPG公開鍵を追加する必要があります。 # /bin/rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-5 # /bin/rpm -qa "gpg-pubkey*" # 取り込まれている公開鍵の確認 gpg-pubkey-e8562897-459f07a4 # /bin/rpm -qi "gpg-pubkey-e8562897-459f07a4" # gpg-pubkey-e8562897-459f07a4の詳細

何をするのかは決めていませんが、SecurityとかLinuxとかについて書くつもり。 2009年2月1日 レンタルサーバに移転。

CentOS5をインストールした直後には、必要のないと考えられるサービスが複数稼動しています。特に、脆弱性のあるネットワークサービスが稼動をしていると、そのサービスが原因で攻撃者にサーバーを乗っ取られてしまったり、他者への攻撃の踏み台として悪用されたりする恐れがあります。 「ファイアウォールで守られているから必要ない」と考える方がいるかもしれませんが、ファイアウォール内の別のサーバーが攻撃者によって乗っ取られたとき、そのサーバーからのアクセスをファイアウォールは防いでくれません。このプロセスを行う事によって、内部外部問わず、ネットワーク経由の攻撃者から、サーバーへの侵入の可能性を軽減することができます。 サーバーにインストールされているサービスを調べるにあたり、現時点ではSSH接続もファイアウォールで拒否しているため、GNOME端末を起動します。GNOME端末の起動は画面左上のメニュー[ア