LinuxはFTPサーバ

FTPはインターネットアプリケーションのベテランであり、企業ユーザファイルの共有を容易にします。ただし、セキュリティ問題は常にFTPに関連していました。攻撃者が不正な手段でFTPサーバーから重要な情報を盗むことを防ぐ方法、攻撃者がFTPサーバーを使ってトロイの木馬やウイルスを拡散させることを防ぐ方法。これらはすべてシステム管理者が注意を払う必要がある問題です。今回は、FTPサーバーのセキュリティーを向上させる方法について説明するための例として、Linuxオペレーティング・システム・プラットフォームで最も広範なVSFTPを使用しました。

1.システムレベルのユーザーがFTPサーバーにログインできないようにします。

FTPサーバーのセキュリティを向上させるためには、システムレベルのユーザーを一般ユーザーに割り当てるのではなく、システム管理者が従業員用に別のFTPアカウントを設定できるようにする必要があります。 VSFTPサーバーでは、ログインアカウントは設定ファイルvsftpd.ftpusersを通じて管理できます。ただし、このアカウントはブラックリストであり、このアカウントに記載されているユーザーは自分のアカウントを使用してFTPサーバーにログインすることはできません。 VSFTPサーバーをデプロイした後は、viコマンドを使用してこの構成ファイルを表示し、すでに多くのデフォルトアカウントがあることを確認できます。その中には、システムのスーパーユーザーrootも含まれています。セキュリティ上の理由から、VSFTPサーバーはデフォルトではrootアカウントによるFTPサーバーへのログインを禁止していることがわかります。システム管理者がrootなどのFTPサーバーにログインしたい場合は、この構成ファイル内のrootおよびその他の関連ユーザー名を削除する必要があります。しかし、システムアカウントにFTPサーバーへのログインを許可すると、そのセキュリティに悪影響が出るため、システム管理者にはお勧めしません。このファイル内の関連するシステムアカウント管理者が変更しないようにし、これらのアカウントの設定を保持することが最善です。

他の理由で他のアカウントを無効にする必要がある場合は、このファイルにアカウント名を追加できます。たとえば、FTPサーバーとデータベースサーバーを同時にサーバーに展開できます。そのため、セキュリティ上の理由から、このブラックリストにデータベース管理者のアカウントを含めることをお勧めします。

次に、匿名ユーザーの管理を強化します。

匿名ユーザーは、FTPサーバーで定義されていないアカウントです。管理を容易にするために、FTPシステム管理者はログインする必要があります。しかし、結局のところ、サーバーの承認を得ていないため、サーバーのセキュリティを向上させるためには、アクセス許可を制限する必要があります。 VSFTPサーバーには、匿名ユーザーのアクセス許可を制御するために使用できる多数のパラメーターもあります。システム管理者はFTPサーバのセキュリティレベルに応じて関連する設定作業を行う必要があります。匿名ユーザーの権限の管理が厳しくなればなるほど、FTPサーバーのセキュリティは高まりますが、ユーザーアクセスの利便性も低下します。したがって、システム管理者は依然としてサーバーのセキュリティと利便性のバランスをとる必要があります。

以下は匿名ユーザーに推奨される設定の一部ですが、設定方法がわからない場合は、これらの設定を参照できます。これらの設定では、サーバーのセキュリティとユーザーの利便性を考慮しています。

1つはパラメータanon_world_readable_onlyです。このパラメータは主に、匿名ユーザーがFTPサーバーから読み取り可能なファイルをダウンロードできるかどうかを制御するために使用されます。 FTPサーバーが企業内に配置され、主に内部の従業員によって使用されている場合は、このパラメーターをYESに設定するのが最善です。次に、従業員がこれらのファイルを匿名でダウンロードできるように、会社の一般的なフォームなどの公に利用可能なフォームをその上に置きます。これはFTPサーバーのセキュリティには影響しませんが、他の従業員の利便性も向上させます。

2番目のパラメータはanon_upload_enableです。このパラメータは、匿名ユーザーが匿名アクセスでFTPサーバーにファイルをアップロードできるかどうかを示します。通常、このパラメータはNoに設定します。つまり、ユーザーは匿名アクセス中にファイルをアップロードすることはできません。そうでなければ、誰かがファイルをアップロードすることができれば、相手方がウィルスファイルをアップロードすれば、企業は苦しむことはないでしょう。したがって、匿名ユーザーはファイルをアップロードできません。しかし、これには例外があります。たとえば、企業によっては、ファイルのバックアップにFTPプロトコルを使用しています。この時点で、エンタープライズネットワークのセキュリティが保証されている場合は、このパラメータをYESに設定できます。これにより、オペレーティングシステムはFTPコマンドを呼び出してFTPサーバー上のファイルをバックアップできます。この場合、バックアッププログラムの展開を単純化するために匿名アクセスがよく使用されます。したがって、匿名ユーザーはFTPサーバーにファイルをアップロードする必要があります。

3番目のパラメータはanon_other_write_enableとパラメータanon_mkdir_write_enableです。これら二つのパラメータは主に匿名ユーザーのより高度な許可のいくつかを含みます。たとえば、最初のパラメータは、FTPサーバー上のファイルの名前を変更するなど、匿名ユーザーがサブディレクトリをアップロードおよび作成する権限を持っていることを示します。 2番目のパラメータは、匿名ユーザーが特定の状況下でサブディレクトリを作成できることを意味します。これらの機能は、FTPサーバーのセキュリティとファイルのセキュリティに影響を与えます。このため、特別な必要性がない限り、これらの権限は無効にする必要があります。つまり、これらのパラメーターの値をNOに設定してください。 FTPサーバーがシステム管理者によって使用されていない限り、これらのパラメーターをオンにできると思います。それ以外の場合は、FTPサーバーのセキュリティーを向上させるために、これらのパラメーターをNOに設定してください。

一般に、匿名ユーザーの管理は最低限の権限の原則に従う必要があります。匿名ユーザーはFTPサーバーの権限のないユーザーであるため、詳細なアクセス制御は実行できません。この目的のために、これの制御はこれらの基本的なパラメータを通してのみ可能です。

第三に、ディレクトリ管理の良い仕事をする。

通常、システム管理者はユーザーごとに異なるルートディレクトリを設定する必要があります。セキュリティ上の理由から、異なるユーザー間の相互干渉を防ぐために、システム管理者はユーザーが他のユーザーにアクセスすることを許可しないルートディレクトリを設定する必要があります。たとえば、一部の企業では、各部門にドキュメントの交換を容易にするためにFTPアカウントを設定しています。次に、営業部Salesにルートディレクトリsalesがあり、倉庫部門にルートディレクトリWareがあります。営業員として、自分のルートディレクトリの下にある任意のサブディレクトリにアクセスできますが、ウェアハウスユーザのルートディレクトリウェアにはアクセスできません。この場合、営業部のスタッフは倉庫ユーザーのファイルにアクセスできません。ユーザがルートディレクトリ以外のディレクトリにアクセスすることを制限することによって、ＦＴＰサーバ上のファイルのセキュリティを向上させるように、異なるユーザ間の相互干渉を防ぐことが可能であることが分かる。これを行うには、パラメータchroot_local_userをNOに設定します。この設定では、ローカルにログインするすべてのユーザーが、ルートディレクトリ以外のディレクトリに入ることはできません。ただし、この制御を行うときは、誰でもアクセスできるディレクトリを設定していくつかのパブリックファイルを保存するのが最善です。私たちはサーバーのセキュリティを保護しなければなりません、そしてそれはファイルの通常の共有に影響を与えることはできません。

第四に、伝送速度が制限されています。

場合によっては、FTPサーバーの安定した動作を保証するために、ファイルのアップロードとダウンロードの速度を制限する必要があります。例えば、同一サーバ上に、ＦＴＰサーバ、メールサーバなどがそれぞれ配備されている。これらのアプリケーションサービスが平和的に共存するためには、最大伝送速度を制御する必要があります。同じサーバーの帯域幅が最大の制限だからです。アプリケーションサービスが比較的広い帯域幅を占有すると、他のアプリケーションサービスに悪影響を及ぼし、他のアプリケーションサービスが対応するユーザーのニーズを満たせなくなることさえあります。 FTPの使用方法が異なる場合がある場合は、最大レート制限も設定する必要があります。例えば、ファイルのバックアップおよびファイルのアップロードとダウンロードにFTPが使用されている場合、ファイルのバックアップの効率を向上させ、バックアップ時間を短縮するために、ファイルのアップロードとダウンロードの最大速度を制限する必要があります。

転送速度制限を達成するために、システム管理者はlocal_max_rateパラメータを設定できます。デフォルトでは、このパラメータは有効になっていません。つまり、最大レートに制限はありません。ただし、これらの理由から、FTPサーバーを運用環境に導入する前に、システム管理者がこのパラメーターを設定できることをお勧めします。アップロードとダウンロードは帯域幅を消費しすぎるため、他のアプリケーションサービスへの悪影響を防ぐことができます。システム管理者は、アプリケーションサービス間で帯域幅のバランスのとれた合理的な割り当てを達成する必要があります。少なくとも、各アプリケーションサービスがクライアントの要求に確実に応答するようにします。さらに、可能であれば、ピークツーピーク動作を実行する必要があります。たとえば、メールサーバーとFTPサーバーは同時に1台のホストに配置されます。 FTPサーバーは主にファイルのバックアップに使用されます。ファイルバックアップがメールの送受信に悪影響を及ぼさないようにするため（ファイルバックアップには比較的広い帯域幅が必要なため、メールの送受信速度が大幅に低下するため）、ファイルバックアップをメールの送受信のピーク期間から切り離すことが最善です。一般的な状況が朝のメール配信のピーク時である場合は、ファイルバックアップにFTPサービスを使用しないでください。正午に正午に休憩を取ると、通常は電子メールの送受信が少なくなります。この時点で、FTPを使用してファイルをバックアップできます。そのため、FTPサーバーや他のアプリケーションサービスが間違ったピーク時に実行されている場合は、FTPサービスの効率を向上させるためにこのレートを大きく設定することができます。もちろん、これはシステム管理者により高い要求を課します。システム管理者はさまざまなアプリケーションを分析してから、サーバーの展開を組み合わせて包括的な計画を立てる必要があります。より高い対策とより良い条件がない限り、最大レートをFTPサーバーに転送する必要があります。そうでなければ、企業内に展開されている他の情報サービスに非常に大きな悪影響を及ぼし、企業ネットワークをブロックすることになります。