インフラエンジニアのための情報セキュリティ実装ガイド

# /etc/sysctl.conf セキュリティ設定例
# ネットワークセキュリティ
net.ipv4.ip_forward = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0

# メモリ保護
kernel.dmesg_restrict = 1
kernel.kptr_restrict = 2
kernel.yama.ptrace_scope = 1

# ファイルシステム保護
fs.protected_hardlinks = 1
fs.protected_symlinks = 1

ssh: connect to host $TARGET_HOST port 22: Connection refused
# または
Permission denied (publickey).

# 1. SSHサービス状態確認
sudo systemctl status sshd

# 2. SSH設定ファイル構文チェック
sudo sshd -t

# 3. SSH設定ファイル確認
sudo grep -E "(PermitRootLogin|PasswordAuthentication|PubkeyAuthentication)" /etc/ssh/sshd_config

# 4. ファイアウォール確認
sudo ufw status | grep 22
sudo iptables -L | grep 22

# 緊急時の対処（コンソールアクセス可能な場合）
# 1. SSH設定を一時的に緩和
sudo sed -i 's/PasswordAuthentication no/PasswordAuthentication yes/' /etc/ssh/sshd_config
sudo systemctl restart sshd

# 2. 設定ファイルのバックアップから復元
sudo cp /etc/ssh/sshd_config.backup /etc/ssh/sshd_config
sudo systemctl restart sshd

# 3. 段階的な設定適用
# まず基本設定のみ適用し、徐々に制限を強化

Failed to start [service_name]. See 'systemctl status [service_name]' for details.

# 1. サービス詳細状態確認
sudo systemctl status [service_name] -l

# 2. サービスログ確認
sudo journalctl -u [service_name] --since "1 hour ago"

# 3. 設定ファイル確認
sudo [service_name] -t  # 設定構文チェック（Apache, Nginxなど）

# 4. 依存関係確認
sudo systemctl list-dependencies [service_name]

# 1. 設定ファイルのバックアップ復元
sudo cp /etc/[service]/[config].backup /etc/[service]/[config]

# 2. サービス再起動とリロード
sudo systemctl daemon-reload
sudo systemctl restart [service_name]

# 3. 段階的設定適用
# 最小設定から開始し、徐々に機能を追加

audit: type=1400 audit(xxx): avc: denied { read } for pid=xxx...

# SELinuxの場合
sudo sealert -a /var/log/audit/audit.log
sudo ausearch -m AVC -ts recent

# AppArmorの場合
sudo aa-status
sudo grep DENIED /var/log/syslog

# SELinux一時的な対処
sudo setenforce 0  # 一時的に無効化（テスト用）
sudo setsebool -P [boolean_name] on  # 特定機能の有効化

# AppArmor対処
sudo aa-complain [profile_name]  # complain mode に設定
sudo aa-disable [profile_name]   # 一時的に無効化

#!/bin/bash
# os_hardening_check.sh - OSハードニング設定確認スクリプト

echo "=== OSハードニング設定検証 ==="

# 基本サービス状態確認
check_critical_services() {
    echo "1. 重要サービス状態確認"
    
    critical_services=("sshd" "rsyslog" "cron" "ntp")
    for service in "${critical_services[@]}"; do
        if systemctl is-active --quiet "$service"; then
            echo "✅ $service: 稼働中"
        else
            echo "❌ $service: 停止中 (sudo systemctl start $service)"
        fi
    done
}

# 不要サービス確認
check_unnecessary_services() {
    echo -e "\n2. 不要サービス停止確認"
    
    unnecessary_services=("telnet" "ftp" "rsh" "finger")
    for service in "${unnecessary_services[@]}"; do
        if systemctl is-active --quiet "$service" 2>/dev/null; then
            echo "⚠️  $service: 稼働中 (停止推奨)"
        else
            echo "✅ $service: 停止済み"
        fi
    done
}

# ファイル権限確認
check_file_permissions() {
    echo -e "\n3. 重要ファイル権限確認"
    
    declare -A important_files=(
        ["/etc/passwd"]="644"
        ["/etc/shadow"]="640"
        ["/etc/ssh/sshd_config"]="600"
        ["/etc/sudoers"]="440"
    )
    
    for file in "${!important_files[@]}"; do
        if [ -f "$file" ]; then
            actual_perm=$(stat -c %a "$file")
            expected_perm="${important_files[$file]}"
            if [ "$actual_perm" = "$expected_perm" ]; then
                echo "✅ $file: $actual_perm (OK)"
            else
                echo "⚠️  $file: $actual_perm (期待値: $expected_perm)"
            fi
        else
            echo "❓ $file: ファイルが存在しません"
        fi
    done
}

# カーネルパラメータ確認
check_kernel_parameters() {
    echo -e "\n4. セキュリティ関連カーネルパラメータ"
    
    declare -A security_params=(
        ["net.ipv4.ip_forward"]="0"
        ["net.ipv4.conf.all.send_redirects"]="0"
        ["kernel.dmesg_restrict"]="1"
        ["fs.protected_hardlinks"]="1"
    )
    
    for param in "${!security_params[@]}"; do
        actual_value=$(sysctl -n "$param" 2>/dev/null)
        expected_value="${security_params[$param]}"
        if [ "$actual_value" = "$expected_value" ]; then
            echo "✅ $param: $actual_value"
        else
            echo "⚠️  $param: $actual_value (期待値: $expected_value)"
        fi
    done
}

# 実行
check_critical_services
check_unnecessary_services  
check_file_permissions
check_kernel_parameters

echo -e "\n=== 検証完了 ==="
echo "⚠️  で表示された項目は設定の確認・修正を検討してください"

# 1. 設定ファイルのバックアップ作成
sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.backup.$(date +%Y%m%d_%H%M%S)

# 2. 現在の設定をドキュメント化
sudo sshd -T > current_ssh_config.txt

# 3. 緊急アクセス手段の確保
# - 別のSSHセッションを保持
# - コンソールアクセスの確認
# - 自動復旧スクリプトの準備

#!/bin/bash
# auto_rollback.sh - 設定変更の自動ロールバック

BACKUP_DIR="/root/config_backup"
ROLLBACK_LOG="/var/log/rollback.log"

rollback_ssh_config() {
    echo "$(date): SSH設定のロールバック開始" >> $ROLLBACK_LOG
    
    if [ -f "$BACKUP_DIR/sshd_config.backup" ]; then
        sudo cp "$BACKUP_DIR/sshd_config.backup" /etc/ssh/sshd_config
        sudo systemctl restart sshd
        echo "$(date): SSH設定ロールバック完了" >> $ROLLBACK_LOG
    else
        echo "$(date): バックアップファイルが見つかりません" >> $ROLLBACK_LOG
    fi
}

# 使用例: ssh接続失敗時の自動ロールバック
if ! ssh -o ConnectTimeout=5 user@localhost exit 2>/dev/null; then
    echo "SSH接続失敗を検知。自動ロールバックを実行..."
    rollback_ssh_config
fi

Error: Package: application-1.2.3 requires libssl1.0.0, but libssl1.1.1 is installed
# または
dpkg: dependency problems prevent configuration of package

# Linux（RPMベース）
sudo yum check-update
sudo yum deplist [package_name]
sudo rpm -qa | grep [library_name]

# Linux（DEBベース）  
sudo apt update
sudo apt-cache depends [package_name]
sudo dpkg -l | grep [library_name]

# Windows
Get-HotFix | Sort-Object InstalledOn
Get-WindowsUpdateLog

# Linux依存関係修正
sudo yum clean all && sudo yum makecache
sudo yum update --skip-broken
sudo package-cleanup --cleandupes

# Windows更新トラブルシューティング
sfc /scannow
DISM /Online /Cleanup-Image /RestoreHealth

# Linux緊急復旧
# 1. GRUBメニューで前のカーネルを選択
# 2. レスキューモードでブート
sudo grub2-set-default [previous_kernel_index]

# 3. パッケージのダウングレード
sudo yum downgrade [package_name]
sudo apt-get install [package_name]=[previous_version]

# Windows緊急復旧
# 1. セーフモードでブート
# 2. システム復元ポイントの利用
# 3. 更新プログラムのアンインストール

# Linux
Transaction check error:
  package conflicts with file from package

# Windows  
Installation hung at 35% for over 2 hours

# プロセス確認と安全な中断
ps aux | grep -E "(yum|apt|rpm|dpkg)"
sudo pkill -TERM yum  # 安全な終了シグナル

# ロックファイルの確認・削除
sudo rm -f /var/lib/rpm/.rpm.lock
sudo rm -f /var/lib/dpkg/lock*
sudo dpkg --configure -a  # 未完了設定の完了

#!/bin/bash
# patch_health_check.sh - パッチ適用前後の健全性チェック

LOG_FILE="/var/log/patch_health_check.log"
BACKUP_DIR="/backup/system_state"

pre_patch_check() {
    echo "$(date): パッチ適用前チェック開始" >> $LOG_FILE
    
    # システム状態のスナップショット
    systemctl list-units --failed > "$BACKUP_DIR/failed_services_pre.txt"
    df -h > "$BACKUP_DIR/disk_usage_pre.txt"  
    free -h > "$BACKUP_DIR/memory_usage_pre.txt"
    uptime > "$BACKUP_DIR/system_uptime_pre.txt"
    
    # 重要サービスの確認
    critical_services=("sshd" "nginx" "postgresql" "redis")
    for service in "${critical_services[@]}"; do
        if systemctl is-active --quiet "$service"; then
            echo "✅ $service: 稼働中" >> $LOG_FILE
        else
            echo "❌ $service: 停止中" >> $LOG_FILE
        fi
    done
}

post_patch_check() {
    echo "$(date): パッチ適用後チェック開始" >> $LOG_FILE
    
    # 適用後状態の取得
    systemctl list-units --failed > "$BACKUP_DIR/failed_services_post.txt"
    
    # 適用前後の比較
    if diff "$BACKUP_DIR/failed_services_pre.txt" "$BACKUP_DIR/failed_services_post.txt" > /dev/null; then
        echo "✅ サービス状態: 変化なし" >> $LOG_FILE
    else
        echo "⚠️  サービス状態: 変化検出" >> $LOG_FILE
        diff "$BACKUP_DIR/failed_services_pre.txt" "$BACKUP_DIR/failed_services_post.txt" >> $LOG_FILE
    fi
    
    # 接続性テスト
    if ping -c 3 google.com > /dev/null 2>&1; then
        echo "✅ ネットワーク接続: 正常" >> $LOG_FILE
    else
        echo "❌ ネットワーク接続: 異常" >> $LOG_FILE
    fi
}

rollback_if_needed() {
    local failed_services=$(systemctl list-units --failed --no-legend | wc -l)
    
    if [ $failed_services -gt 0 ]; then
        echo "$(date): 障害検出 - 自動ロールバック実行" >> $LOG_FILE
        
        # 最新のスナップショットに復元（VM環境の場合）
        if command -v virsh &> /dev/null; then
            virsh snapshot-revert [domain_name] --current
        fi
        
        # パッケージのダウングレード
        yum history undo last
    fi
}

# 使用例
case "$1" in
    "pre")   pre_patch_check ;;
    "post")  post_patch_check ;;
    "rollback") rollback_if_needed ;;
    *)       echo "Usage: $0 {pre|post|rollback}" ;;
esac

#!/bin/bash
# patch_status_report.sh - パッチ適用状況レポート生成

generate_patch_report() {
    local report_file="/tmp/patch_status_$(date +%Y%m%d).html"
    
    cat << EOF > $report_file
<!DOCTYPE html>
<html>
<head><title>パッチ適用状況レポート</title></head>
<body>
<h1>システムパッチ適用状況 - $(date)</h1>

<h2>システム情報</h2>
<pre>$(uname -a)</pre>

<h2>インストール済み更新プログラム（最新10件）</h2>
<table border="1">
<tr><th>日時</th><th>パッケージ</th><th>バージョン</th></tr>
EOF

    # Linux（RPMベース）
    if command -v rpm &> /dev/null; then
        rpm -qa --last | head -10 | while read package; do
            echo "<tr><td>$(echo $package | awk '{print $2,$3,$4,$5,$6}')</td><td>$(echo $package | awk '{print $1}')</td><td>Latest</td></tr>" >> $report_file
        done
    fi
    
    # Linux（DEBベース）
    if command -v dpkg &> /dev/null; then
        grep " install " /var/log/dpkg.log | tail -10 | while read line; do
            date=$(echo $line | awk '{print $1,$2}')
            package=$(echo $line | awk '{print $4}')
            version=$(echo $line | awk '{print $5}')
            echo "<tr><td>$date</td><td>$package</td><td>$version</td></tr>" >> $report_file
        done
    fi
    
    cat << EOF >> $report_file
</table>

<h2>利用可能な更新プログラム</h2>
<pre>
EOF
    
    # 利用可能な更新確認
    if command -v yum &> /dev/null; then
        yum check-update 2>/dev/null | grep -v "Loaded plugins" >> $report_file
    elif command -v apt &> /dev/null; then
        apt list --upgradable 2>/dev/null >> $report_file
    fi
    
    cat << EOF >> $report_file
</pre>

<h2>セキュリティ更新要約</h2>
<pre>
EOF
    
    if command -v yum &> /dev/null; then
        yum updateinfo summary 2>/dev/null >> $report_file
    fi
    
    cat << EOF >> $report_file
</pre>
</body>
</html>
EOF
    
    echo "レポートを生成しました: $report_file"
}

# パッチ適用失敗時の判断フローチャート
show_troubleshooting_flow() {
    echo "=== パッチ適用トラブルシューティング フロー ==="
    echo ""
    echo "1. エラーメッセージの確認"
    echo "   ├─ 依存関係エラー → 依存パッケージの確認・更新"
    echo "   ├─ 容量不足エラー   → ディスク容量の確保"
    echo "   ├─ 権限エラー       → 管理者権限での実行確認"
    echo "   └─ ネットワークエラー → プロキシ・DNS設定確認"
    echo ""
    echo "2. システム状態の確認"
    echo "   ├─ ログファイルの確認: /var/log/yum.log, /var/log/apt/"
    echo "   ├─ プロセス確認: ps aux | grep -E 'yum|apt|rpm'"
    echo "   └─ ロックファイル確認: /var/lib/rpm/.rpm.lock"
    echo ""
    echo "3. 修復・回復手順"
    echo "   ├─ 軽微なエラー → 再実行・依存関係修正"
    echo "   ├─ 深刻なエラー → バックアップからの復元"
    echo "   └─ システム起動不可 → レスキューモード・スナップショット復元"
}

# 実行
case "$1" in
    "report") generate_patch_report ;;
    "flow")   show_troubleshooting_flow ;;
    *)        echo "Usage: $0 {report|flow}" ;;
esac

# /etc/sudoers 設定例
# データベース管理者用の制限された権限
db_admin ALL=(postgres) NOPASSWD: /usr/bin/psql, /usr/bin/pg_dump, /usr/bin/pg_restore

# Web管理者用の制限された権限
web_admin ALL=(www-data) NOPASSWD: /bin/systemctl restart apache2, /bin/systemctl reload apache2

# ログ読み取り専用権限
log_viewer ALL=(root) NOPASSWD: /bin/tail /var/log/*, /bin/grep * /var/log/*

# セキュリティ設定
Defaults    timestamp_timeout=5
Defaults    logfile=/var/log/sudo.log
Defaults    log_input, log_output