Linuxユーザのためのチップス: 1月 2010

2010年1月3日日曜日

mysqlサーバをインストールするときに注意すべきセキュリティのチェックポイントをまとめる（Mysql 5.1のリファレンスマニュアルなどを参考にした）。

（初期状態で既にユーザが存在するので）パスワードが登録されていない全ユーザにパスワードを登録する。
パスワードを入力するときは、出きるだけコマンド中に入れるのではなく、pオプションを使う。
コマンド履歴は~/.mysql_hisotryに保存されているので、定期的に削除する。例えば、~/.bash_logoutにログアウトする度にこのファイルを削除するように記述する。
匿名ユーザは削除する。
特権を与えたら、flash pribileges;を実行するのを忘れない。
mysqlサーバを実行するユーザのログインシェルを/sbin/nologinに変更する。また所属グループもrootやwheelなどになっていないことを確認する。rootで実行しないこと。
テーブルへのシンボリックリンクをサポートしない。(これは --skip-symbolic-links オプションで無効にできる）。
mysqlサーバ実行する Unix アカウントだけに、データベースディレクトリ(--datadir=/var/lib/mysqlなど)の読み取り権限と書き込み権限があることを確認する。

root宛のメールを特定の一般ユーザ（hoge）に転送する設定

/etc/aliasに以下のように記述する。

root:   hoge

設定を反映させる。

# newaliases

サーバをルータなどとして使っていない場合、パケット転送は不要なので（もし有効にしていたら）停止する。そのために、起動時に読み込まれるスクリプト/etc/rc.d/rc.localに以下を記述する。

echo -n "Disabling packet forwarding..."
echo 0 > /proc/sys/net/ipv4/ip_forward
echo "done"

もし有効にしたいならば、0を1にする。

すべてのチェインを確認するには

# iptables -L

個別のチェインを確認するには（例：OUTPUT）

# iptables -L OUTPUT

# iptables -A INPUT -p icmp --icmp-type echo-request -j DROP

リモートホストがパケットを偽装して、ローカルホストになりすますのを防ぐには(CentOS)

/etc/sysctl.confのnet.ipv4.conf.all.rp_filterの値が1になっていれば、機能が有効になっているが、そうでないならば、以下の設定を追加する（デフォルトでは有効になっていた）。

システム起動時に読み込まれるファイル/etc/rc.d/rc.localに以下を記述する。

echo -n "Enabling source address verification..."
echo 1 > /proc/sys/net/ipv4/conf/default/rp_filter
echo "done"