UbuntuでSSHサーバーを安全にするための5つの効果的なヒント
この記事では、Ubuntu で SSH アクセスを強化してセキュリティを確保し、サーバーを脅威から安全に保つための 5 つの効果的なソリューションについて説明します。.

UbuntuでSSHサーバーを安全にするための5つの効果的なヒント

  • 5分の読み物
この記事では、UbuntuでSSHサーバーを強化するための5つの効果的な方法を紹介します。これらのヒントを実践することで、サーバーのセキュリティを強化し、不正アクセスを防ぐことができます。具体的には、SSHキーによる認証、アクセス制限、Fail2Banなどの保護ツールの使用などが挙げられます。.
エラヘ
  • 2025年12月24日
0 株式
0
0
0
0
0
株式
0
0
0
0
  1. Ubuntu サーバーの SSH アクセスは十分に安全ですか?
  2. 概要と目的
  3. 1) 強力なSSHキーを使用し、パスワードを無効にする
    1. GPUノードシナリオの例（AI）
  4. 2) アクセス制限: ポート、ユーザー、アドレス、AllowUsers/AllowGroups
  5. 3) ブルートフォース攻撃の防止と攻撃管理: Fail2Ban、UFW、Anti-DDoS
    1. 場所とセキュリティへの影響の比較
  6. 4) 監視、監査、侵入検知
  7. 5) 2要素認証、Bastion、アクセス管理（PAM、2FA）
    1. キーとコースを管理するための実用的なヒント
  8. 推奨されるsshd_config設定例
  9. 特定のシナリオに関する追加の実用的なヒント
  10. サービスとインフラストラクチャの情報
  11. 概要と簡単な実装チェックリスト
  12. よくある質問

Ubuntu サーバーの SSH アクセスは十分に安全ですか?

SSHアクセスのセキュリティ確保は、Linuxサーバーにとって最も基本的かつ不可欠なステップの一つです。特に、ウェブサイト、データベース、トレーディングサーバー、GPUノードといった重要なサービスをホストしている場合はなおさらです。このガイドでは、5つの実用的かつ技術的な解決策を紹介します。 UbuntuでのSSH強化 実用的な手順、構成例、取引、ゲーム、AI、Web ホスティングのシナリオに適応できるヒントが含まれています。.

概要と目的

このガイドの目的は、以下の原則を組み合わせた5つの重要なポイントを提供することです。 機密保持、 攻撃範囲の縮小、 侵入検知と対応 増加 持続可能性 カバー。.

  • 認証を置き換える SSHキー パスワードの代わりに
  • アクセス制限（ポート、ユーザー、IPアドレス）
  • 次のような保護ツールの実装 フェイル 2 バン そして UFW/iptables
  • 監視と監査（ログ、 sshd -T、レビューツール）
  • 2要素認証またはBastion/Jumphost方式を使用する

1) 強力なSSHキーを使用し、パスワードを無効にする

の使用 SSHキー パスワードの代わりに、ブルートフォース攻撃への耐性とアクセス管理の容易さを提供します。 ed25519 古いシステムとの互換性が必要な場合に特に推奨されます。 RSA 4096 使用。.

クライアント上で安全なキーを作成する:

ssh-keygen -t ed25519 -a 100 -o -f ~/.ssh/id_ed25519 -C "user@host"

または（互換性のため）：

ssh-keygen -t rsa -b 4096 -o -a 100 -f ~/.ssh/id_rsa -C "user@host"

キーをサーバーに転送します。

ssh-copy-id -i ~/.ssh/id_ed25519.pub user@server

/etc/ssh/sshd_config の重要な設定の例:

PermitRootLogin no
PasswordAuthentication no
ChallengeResponseAuthentication no
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

SSH 構成をアップロードします:

sudo systemctl reload sshd

GPUノードシナリオの例（AI）

ML/AIチームが使用するGPUサーバーに推奨 アクセスグループ 各ユーザーに固有のキーを作成して発行します。キーフォルダには暗号化されたファイルシステムを使用し、 アプリアーマー (または、利用可能な場合は SELinux) も推奨されます。.

2) アクセス制限: ポート、ユーザー、アドレス、AllowUsers/AllowGroups

アクセスレベルを下げるか、 攻撃対象領域 侵入の試みを減らします。一般的な方法としては、ポートの変更、ユーザー制限、IPアドレスに基づく制限などがあります。.

デフォルトポートを変更する:

Port 2222

ユーザーまたはグループを制限する:

AllowUsers deploy [email protected]/24
# or
AllowGroups sshusers

UFW による IP ベースの制限:

sudo ufw allow from 203.0.113.5 to any port 2222 proto tcp

高リスク機能の無効化:

AllowTcpForwarding no
X11Forwarding no
PermitTunnel no

ログイン失敗にかかる時間と労力を削減:

LoginGraceTime 30
MaxAuthTries 3
MaxSessions 2

3) ブルートフォース攻撃の防止と攻撃管理: Fail2Ban、UFW、Anti-DDoS

自動化されたブルートフォース攻撃は一般的であり、次のようなツールが使用される。 フェイル 2 バン ホストレベルのファイアウォールは悪意のあるトラフィックをブロックできます。また、レイヤー4およびレイヤー7への攻撃に対抗するには、アンチDDoSサービスも活用してください。.

Fail2Banのインストールと設定:

sudo apt install fail2ban
# create /etc/fail2ban/jail.d/sshd.local with:
[sshd]
enabled = true
port = 2222
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 3600

UFW を使用した基本的なファイアウォール構成:

sudo apt install ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 2222/tcp
sudo ufw allow 80,443/tcp
sudo ufw enable

ネットワーク層からのより強力な保護が必要な場合は、 DDoS対策サービス 当社をご利用ください。当社のDDoS対策サーバーは、BGP/AnycastおよびCDNネットワークと組み合わせることで、ネットワークエッジで悪意のあるトラフィックを阻止できます。.

場所とセキュリティへの影響の比較

同社の世界85か所以上の拠点には、エッジファイアウォール、BGP、ハードウェアベースのアンチDDoSなどのネットワーク機能を備えたデータセンターもあります。取引やセキュリティが重要なサーバーの場合、アンチDDoSサポートを備え、金融市場へのネットワークパスが短い拠点（例：ロンドン、フランクフルト、ニューヨーク、シンガポール、東京）を選択することが重要です。.

4) 監視、監査、侵入検知

誰がサーバーに接続し、どの試行が失敗したかを把握することは不可欠です。ログと監査ツールは、侵入を迅速に検出するのに役立ちます。.

確認するのに便利なコマンド:

sshd -T
ss -tulpn | grep ssh
sudo tail -n 200 /var/log/auth.log
last -a

ログを分析するには、 rsyslog、 ログウォッチ または、集中ログサービス（Elasticsearch/Graylogなど）を使用することもできます。その他の便利なツールとしては、 ssh監査 そして リニス IDS/IPSのような オセック または ミーアキャット 彼らです。.

5) 2要素認証、Bastion、アクセス管理（PAM、2FA）

2層目の認証を追加することで、キーが盗まれたりアカウントが侵害されたりした場合でも、攻撃者によるアクセスを阻止できます。Google Authenticator（PAM）、エンタープライズMFAサービス、Bastion/Jumphostなどのオプションがあります。.

Google Authenticator PAM をインストールします。

sudo apt install libpam-google-authenticator
# then run for each user:
google-authenticator

PAM と sshd の設定:

# add to /etc/pam.d/sshd
auth required pam_google_authenticator.so

# in /etc/ssh/sshd_config
ChallengeResponseAuthentication yes
UsePAM yes

組織では、次のようなMFAサービスを使用することで、 デュオ または オクタ また、 バスティオンホスト 2FA、集中ログ、統合 IAM ポリシーを備えたこのアプローチは、大規模なチームに最適です。.

キーとコースを管理するための実用的なヒント

セキュリティを維持するためには、定期的なキーのローテーション、非アクティブなキーの削除、集中管理のための ID 管理 (LDAP/AD/SSO) の使用が不可欠です。.

推奨されるsshd_config設定例

次の例は推奨設定を示しています (特定のニーズに応じてさらに調整が必要になる場合があります)。

Protocol 2
Port 2222
PermitRootLogin no
PasswordAuthentication no
ChallengeResponseAuthentication no
UsePAM yes
X11Forwarding no
AllowTcpForwarding no
ClientAliveInterval 300
ClientAliveCountMax 2
LogLevel VERBOSE
AllowUsers deploy [email protected]

特定のシナリオに関する追加の実用的なヒント

トレーダー: 取引所に近い場所にある専用の取引VPSを使用し、ネットワークツールで応答時間を測定し、特定のIPアドレスからのSSHアクセスのみを許可します。DDoS対策とBGPネットワークも活用しましょう。.

ゲーム： VPSゲームでは、低pingロケーションとプライベートネットワークを活用しましょう。Bastionを介して管理アクセスを制御します。.

AIとレンダリング: AI 固有の場所で GPU サーバーを選択し、キーと 2FA を使用して SSH アクセスを制限し、異なるチームに AllowGroups を使用します。.

Web サーバーと WordPress: 管理者には SSH キーを使用し、コンテンツのアップロードには安全な SFTP を使用し、SSH デプロイ キーを使用した CI/CD を使用します。.

サービスとインフラストラクチャの情報

サービス会社 世界85か所 提供内容: トレーディングおよびゲーム用のさまざまな種類の VPS サーバー、高性能クラウド サーバー、グラフィック サーバー (GPU)、アンチ DDoS サーバー、ホスティングおよびドメイン サービス、CDN、BGP 対応ネットワーク。.

  • 公共サービスの場合は、Anti-DDoS が備わった場所を使用してください。.
  • 安全なアクセスのために、Bastion はプライベート ネットワーク上で使用し、VPN または静的 IP 経由でアクセスすることをお勧めします。.
  • レイテンシを最小限に抑えるには、AI 固有の場所にある GPU サーバーを選択します。.
  • アプリケーション層を保護するには、他のセキュリティ対策に加えて CDN と WAF を組み込みます。.

概要と簡単な実装チェックリスト

上記を実施するための 10 ステップのチェックリスト:

  1. 安全なSSHキーの作成と使用（ed25519 または RSA4096)
  2. 非アクティブ化 パスワード認証 そして ルートログイン許可
  3. デフォルトのSSHポートを変更し、追加の権限を制限する
  4. インストール フェイル 2 バン および構成 UFW/iptables
  5. IP制限と使用 ユーザーを許可/グループを許可
  6. ログ記録を有効にし、中央サービスにログを送信する
  7. 機密性の高いアクセスには2FAまたはMFAを実装する
  8. リモートアクセスにBastion/Jumphostを使用する
  9. 設定を確認する sshd -T 監査ツール
  10. 定期的にキーをチェックし、古いキーを削除し、キーをローテーションする

よくある質問

この記事の内容:
,
投稿者:
フォローする
前の記事
次の記事
あなたも気に入るかもしれない