Linuxサーバーの初期セキュリティ設定チェックリスト｜公開直後にやるべき10項目を実機で解説

この記事のポイント

・公開直後のLinuxサーバーに必須の10項目を網羅したチェックリスト
・SSH設定・firewalld・SELinux・sudoの4本柱が最重要
・「確認コマンド」と「設定コマンド」をセットで掲載
・1項目ずつ完了を確認しながら進める実践手順

# すべてのパッケージを最新化（カーネル含む）
dnf update -y

# アップデート後に再起動が必要か確認
needs-restarting -r
echo "終了コード 1 = 再起動が必要"

# パッケージリストを更新してから一括アップグレード
apt update && apt upgrade -y

# 再起動が必要なパッケージを確認
cat /var/run/reboot-required 2>/dev/null && echo "再起動が必要です"

# 設定ファイルを開く
vi /etc/ssh/sshd_config

# 以下の行を探して変更する
# 変更前: #PermitRootLogin prohibit-password
# 変更後:
PermitRootLogin no

# 設定ファイルの構文チェック（必ず実行すること）
sshd -t
echo "エラーが出なければ安全に再起動できます"

# sshdを再起動
systemctl restart sshd

# 状態確認
systemctl status sshd

# 自分のPC（接続元）で実行
ssh-keygen -t ed25519 -C "server-login"

# 生成されるファイル
# ~/.ssh/id_ed25519      ← 秘密鍵（絶対に外部へ漏らさない）
# ~/.ssh/id_ed25519.pub  ← 公開鍵（サーバーへ登録する）

# 自分のPCからサーバーへ公開鍵を転送
ssh-copy-id -i ~/.ssh/id_ed25519.pub username@サーバーIPアドレス

# または手動で登録する場合
# サーバー側で実行:
mkdir -p ~/.ssh
chmod 700 ~/.ssh
cat >> ~/.ssh/authorized_keys << 'EOF'
# 自分のPCで cat ~/.ssh/id_ed25519.pub の出力を貼り付ける
EOF
chmod 600 ~/.ssh/authorized_keys

# 鍵認証でログインできることを確認してから以下を実施すること
# /etc/ssh/sshd_config を編集
PasswordAuthentication no
ChallengeResponseAuthentication no

# 設定反映
sshd -t && systemctl restart sshd

# 現在のfirewalldの許可ルールを確認
firewall-cmd --list-all

# 出力例（Rocky Linux 9 最小インストール直後）
# public (active)
#   services: cockpit dhcpv6-client ssh
#   ports:

# cockpit（Web管理UI）が不要なら閉じる
firewall-cmd --permanent --remove-service=cockpit

# dhcpv6-clientが不要なら閉じる（固定IPで運用する場合）
firewall-cmd --permanent --remove-service=dhcpv6-client

# 設定を即座に反映
firewall-cmd --reload

# 最終確認
firewall-cmd --list-all

# HTTP(80) と HTTPS(443) を開放する
firewall-cmd --permanent --add-service=http
firewall-cmd --permanent --add-service=https
firewall-cmd --reload

# 確認（http, https, ssh のみが表示されれば正しい）
firewall-cmd --list-services

# SSHポートを22から49022へ変更した場合の例
firewall-cmd --permanent --add-port=49022/tcp
firewall-cmd --permanent --remove-service=ssh
firewall-cmd --reload

# SELinuxの状態を確認
getenforce
# Enforcing  ← 有効（推奨）
# Permissive ← ログのみ取得（一時的な確認作業用）
# Disabled   ← 無効（非推奨）

# 詳細情報を確認
sestatus

# 一時的に Enforcing へ変更（再起動で元に戻る）
setenforce 1

# 永続化する（再起動後も有効）
# /etc/selinux/config を確認
grep SELINUX /etc/selinux/config
# SELINUX=enforcing  ← この状態が正しい

# SELinuxによる拒否ログを確認
ausearch -m avc -ts recent

# または
journalctl -t audit | grep "avc:  denied"

# 自動的に許可ポリシーを生成（audit2allowコマンド）
ausearch -m avc -ts recent | audit2allow -M mypolicy
semodule -i mypolicy.pp

# 起動（active）状態のサービス一覧
systemctl list-units --type=service --state=active

# 自動起動（enabled）に設定されているサービス一覧
systemctl list-unit-files --type=service --state=enabled

# cockpit（WebUI）を停止して自動起動も無効化
systemctl stop cockpit.socket
systemctl disable cockpit.socket

# postfix（メール送信デーモン）が不要な場合
systemctl stop postfix
systemctl disable postfix

# avahi-daemon（mDNSサービス）が不要な場合
systemctl stop avahi-daemon
systemctl disable avahi-daemon

# sudoers ファイルを安全に編集する（必ず visudo を使う）
visudo

# sudo権限を持つユーザー・グループを確認
grep -E "^[^#]" /etc/sudoers
grep -rE "^[^#]" /etc/sudoers.d/

# /etc/sudoers.d/webadmin というファイルを作成して
# webadmin ユーザーに nginx の再起動だけを許可する例
visudo -f /etc/sudoers.d/webadmin

# 以下の内容を記述
# webadmin ALL=(ALL) NOPASSWD: /bin/systemctl restart nginx

# 設定確認
sudo -l -U webadmin

# sudo実行ログをsecure（または auth.log）で確認
journalctl _COMM=sudo | tail -20

# または
grep sudo /var/log/secure | tail -20

# パスワードポリシー設定ファイルを確認・編集
cat /etc/security/pwquality.conf

# 以下の設定を推奨値に変更する
# minlen = 12        ← 最小12文字
# dcredit = -1       ← 数字を1文字以上必須
# ucredit = -1       ← 大文字を1文字以上必須
# lcredit = -1       ← 小文字を1文字以上必須
# ocredit = -1       ← 特殊文字を1文字以上必須

# 設定後に確認
pwscore << 'EOF'
TestPassword123!
EOF

# システムデフォルトの有効期限を設定（/etc/login.defs）
grep PASS_MAX_DAYS /etc/login.defs

# 特定ユーザーのパスワード有効期限を確認
chage -l username

# 有効期限を90日に設定する例
chage -M 90 username

# journaldのストレージ設定を確認
grep Storage /etc/systemd/journald.conf

# "persistent" に設定すると再起動後もログが残る
# /etc/systemd/journald.conf を編集
# Storage=persistent

# 設定反映
systemctl restart systemd-journald

# ログが /var/log/journal/ に保存されているか確認
ls /var/log/journal/

# SSHへのブルートフォースアタック状況を確認
journalctl -u sshd | grep "Failed password" | tail -20

# 接続元IPアドレス別に集計
journalctl -u sshd | grep "Failed password" | awk '{print $NF}' | sort | uniq -c | sort -rn | head -10

# fail2banをインストール（RHEL/Rocky系の場合はEPEL必要）
dnf install epel-release -y
dnf install fail2ban -y

# または Ubuntu の場合
# apt install fail2ban -y

# 設定ファイルを作成（jail.conf は直接編集しない）
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# jail.local の [sshd] セクションを有効化
# [sshd]
# enabled = true
# maxretry = 5
# bantime = 3600

# 起動と自動起動設定
systemctl enable --now fail2ban

# ブロック状況を確認
fail2ban-client status sshd

# LISTEN状態のポートを確認（意図しないサービスが起動していないか）
ss -tlnp

# 実際の出力例（Rocky Linux 9 で Webサーバーのみ公開している場合）
# Netid  State   Recv-Q  Send-Q  Local Address:Port
# tcp    LISTEN  0       128           0.0.0.0:22    ... sshd
# tcp    LISTEN  0       511           0.0.0.0:80    ... httpd
# tcp    LISTEN  0       511           0.0.0.0:443   ... httpd
# tcp    LISTEN  0       128              [::]:22    ... sshd
# tcp    LISTEN  0       511              [::]:80    ... httpd
# tcp    LISTEN  0       511              [::]:443   ... httpd

# SELinuxが Enforcing になっていることを確認
getenforce
# Enforcing

# firewalldの許可ルールが意図通りか確認
firewall-cmd --list-all

# ~/.ssh ディレクトリのパーミッション確認
ls -la ~/.ssh/
# drwx------（700）が正しい

# authorized_keys のパーミッション確認
ls -la ~/.ssh/authorized_keys
# -rw-------（600）が正しい

# 修正コマンド
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

# SSHサービスが許可されているか確認
firewall-cmd --list-services

# SSHポートが許可されているか確認（ポート変更した場合）
firewall-cmd --list-ports

# ssh サービスを追加する（緊急時）
firewall-cmd --permanent --add-service=ssh
firewall-cmd --reload

# SELinuxの拒否ログを確認
ausearch -m avc -ts recent 2>/dev/null | tail -20

# 一時的に Permissive にして問題を切り分ける（本番環境では使わない）
setenforce 0
# アプリが動くようになれば SELinux の設定問題が原因

# ポリシーを修正後、Enforcing に戻す
setenforce 1