セキュリティ」タグアーカイブ

Apache での TLS1.0 と TLS1.1 の無効化と確認方法メモ

2018年6月6日  カテゴリー:WEB  タグ: ,

Yahoo! Japan が、2018年6月1日から TLS1.0 と TLS1.1 のサポートを順次終了して TLS1.2 のみのサポートに切り替えています。ここ数年、各社ウェブサービスでも TLS1.0 と TLS1.1 を無効化する動きもあり、今後 SSL/TLS のプロトコルは TLS1.2 以上に設定することが標準になるでしょう。そこで今回は、Apache httpd サーバーで TLS1.0 と TLS1.1 を無効にし、設定を確認する方法をメモしておきました。

▷続きを読む

OpenSCAP(脆弱性スキャン)のインストールと使い方メモ

2018年5月19日  カテゴリー:Linux  タグ: ,

OpenSCAP(オープンエスキャップ)は、システムの脆弱性や問題のある設定をチェックしてくれるオープンソースのツールです。アメリカ国立標準技術研究所(NIST)が維持管理している SCAP 1.2(情報セキュリティ対策の自動化と標準化を実現する技術仕様)の認定を取得しています。OpenSCAP を使えば、サーバーの脆弱性管理を自動化することもできるそうです。そこで今回は、CentOS7 に OpenSCAP をインストールして脆弱性スキャンをするまでの手順をメモしておきました。

▷続きを読む

macOS High Sierra の root(ルート)ユーザーにパスワードを設定する方法

2017年11月30日  カテゴリー:その他  タグ: ,

macOS High Sierra 10.13.1 に root(ルート)ユーザーでパスワード無しでログインできるとんでもない不具合が発見されました。手元の macOS 10.13.1 で実際にためしてみたら、しっかり root パスワード無しでログインできます(^^;) とりあえずの対策として root ユーザーにパスワードを設定する方法をメモしておきました。

▷続きを読む

5分でわかる!プライベート認証局(CA)の構築とサーバー証明書の発行方法

2017年11月8日  カテゴリー:Linux  タグ: ,

プライベート認証局(「プライベートCA」や「オレオレ認証局」とも呼ばれます)は、会社など限られた組織内でのみ運用する認証局です。WEBブラウザにプライベート認証局のルート証明書をインストールする手間がありますが、自由に証明書を発行できるというメリットがあります。そこで今回は、CentOS7.4にプライベート認証局を構築してサーバー証明書を発行する手順をまとめてみました。

▷続きを読む

Google App Engine 無料の自動更新 SSL 証明書の設定メモ

2017年9月16日  カテゴリー:WEB  タグ: , , , ,

2017年9月14日 Google App Engine(GAE)にマネージドSSL証明書(β版)という仕組みが導入されました。この仕組みにより、GAE にカスタムドメイン(独自ドメインとも言います)を設定すると、無料の SSL証明書(Let's Encrypt)を GAE が自動的に取得と設定をしてくれて、しかも証明書更新の面倒までみてくれるのです! さっそく、Google App Engine の無料の自動更新 SSL 証明書を試してみたので、カスタムドメインの設定方法などをメモしておきました。

▷続きを読む

安全な SSL/TLS 設定にするための10のポイント(Apache httpd 2.4)

2017年9月6日  カテゴリー:Linux  タグ: , ,

Apache httpd をパッケージやソースからインストールしたときに配置される初期状態の SSL/TLS 設定ファイルでは、古いブラウザも含め幅広いクライアントに対応できるように SSL/TLS の設定をしてくれています。しかし、ここ近年 SSL/TLS に対する攻撃手法が多く見つかっているため、ある程度セキュリティに配慮した SSL/TLS の設定が求められています。そこで今回は、Apache httpd バージョン2.4 を安全かつパフォーマンスにも配慮した SSL/TLS の設定にするためのポイントをまとめてみました。

▷続きを読む

Apache 2.4 の DoS攻撃対策 mod_dosdetector 設定メモ

2017年5月17日  カテゴリー:Linux  タグ: , ,

mod_dosdetector は、DoS攻撃を検出することができる Apache httpd のモジュールです。mod_dosdetector で検出したDoS攻撃のアクセスを mod_rewrite でエラーページなどにリダイレクトさせることで、DoS攻撃対策をすることもできます。そこで今回は、mod_dosdetector のインストール方法と設定手順をまとめてみました。

▷続きを読む

Chrome「保護されていない通信」と Firefox「鍵マークの赤斜線」はなにが危険なのか?

2017年2月1日  カテゴリー:WEB  タグ:

2017年1月下旬にアップデートされた「Google Chrome 56(グーグル クローム)」と「Mozilla Firefox 51(モジラ ファイアフォックス)」から、安全な通信をできないWEBサイトのページにパスワードの入力フォームがあると、Chrome はアドレスバーに「保護されていない通信」と表示し、Firefox は「赤斜線の入った鍵マーク」を表示して、安全な通信でないことを警告するようになりました。そこで今回は、この警告表示があるWEBサイトはなにが危険なのかを簡単にまとめてみました。

▷続きを読む

Amazon Inspector で CentOS7 の脆弱性診断をやってみた

2017年1月5日  カテゴリー:WEB  タグ: , , ,

Amazon Inspector は、EC2インタンスの脆弱性診断を簡単に行うことができる、自動化されたセキュリティ評価サービスです。使い方もいたってシンプルで、AWSエージェントをインストールして、診断対象のEC2をタグで指定するだけで、脆弱性診断ができてしまいます。そこで今回は、Amazon Inspector で CentOS7.3 (1611) の脆弱性診断を行ってみましたので、設定手順などをメモしておきました。

▷続きを読む

WordPress 認証画面を IPアドレスで制限する方法(Apache)

2016年11月3日  カテゴリー:WEB  タグ: , ,

先日、IPAセキュリティセンターから「CMSを用いたウェブサイトにおける情報セキュリティ対策のポイント」が公開されました。WordPress や MovableType など、CMS のセキュリティ対策ガイドラインとして活用できそうですね。このガイドラインの中で「CMS認証画面への攻撃」の対策として、認証画面へのアクセスを、許可されたIPアドレスのみに制限することがあげられていました。そこで今回は、Apache httpd で、WordPress の認証画面を IPアドレスで制限する設定方法をご紹介したいと思います。

▷続きを読む