悪質なアップデートやハッカーから PC を守る 3 つの簡単な Linux ツール

Linux では十分な制御が可能ですが、ユーザーが自分のシステムを管理することも期待されています。ほとんどのハードコア ユーザーはそうしますが、よりクローズドな OS を使用している場合は、最初は気が遠くなるかもしれません。これら 3 つのツールは、壊れたアップデート、悪意のあるログイン試行、パッチの欠落など、最も一般的なトラブルの原因に対処します。

タイムシフト

スナップショットは壊滅的なアップデートを軽微な、元に戻せる不便に変える

アップデート後に Linux システムが起動しなくなることほど、午後を台無しにするものはほとんどありません。そこにいた、それをやった。そして、Timeshift は、そのシナリオを大惨事ではなく、小さな不便なものにします。システム ファイルのスナップショットを取得するため、Windows のシステム復元や macOS の Time Machine と同様に、既知の動作状態に数分でロールバックできます。デフォルトでは、個人のドキュメント、写真、ダウンロードはそのまま残ります。これにより、スナップショットが小さく保たれ、ロールバックによって最近の作業が消去されるのを防ぎます。

タイムシフトには 2 つのスナップショット タイプが用意されています。 Rsync は事実上あらゆるファイルシステムで動作し、ハードリンクを使用して変更されていないファイルの重複を回避します。 Btrfs モードは、ファイル システムのネイティブ スナップショット機能に依存しているため、スナップショットはほぼ瞬時に作成され、スペース効率が非常に高くなります。一般的なデフォルトである ext4 を使用してディストリビューションをインストールした場合は、rsync が正しい選択です。ほとんどのディストリビューションでは、インストールは 1 つのコマンドで実行できます。 Ubuntu と Debian ユーザーはこれを実行でき、Fedora のリポジトリにもこれが含まれています。

sudo apt install timeshift

セットアップには数分しかかかりません。初回実行ウィザードでは、スナップショットのタイプ、宛先、スケジュールを尋ねられます。同じディスクに保存されているスナップショットは、そのディスクに障害が発生した場合に役に立たないため、可能であれば別のドライブを選択してください。賢明なスケジュールでは、いくつかの日次、週次、月次のスナップショットとブート スナップショットを保持し、回復オプションとストレージの使用量のバランスをとります。カーネルのアップグレードやデスクトップ環境の切り替えなど、大きな変更を行う前に、手動スナップショットを作成し、後で見つけやすいように明確な説明を付けます。

復元も同様に簡単です。デスクトップがまだ読み込まれる場合は、タイムシフトを開き、スナップショットを選択し、プロンプトに従います。そうでない場合は、ライブ USB から起動し、そこに Timeshift をインストールし、バックアップ ドライブから復元します。 Timeshift は個人ファイルの完全バックアップ ソリューションではないため、Deja Dup や Borg などのツールと組み合わせてください。ただし、不適切なアップデートや設定ミスに対する保険としては、これに勝るものはありません。

フェイル2バン

繰り返し失敗するログインを自動的に禁止することで、サーバーの静かさと安全性を保ちます。

これは、サーバーを持っている場合にのみ有効です。通常の Linux PC しか持っていない場合は、これをスキップできますが、サーバーを持っている場合、これは絶対的な救命手段となる可能性があります。ご存知かと思いますが、インターネットに公開されたマシンは常に調査されるからです。 SSH、Web サーバー、またはメール サービスを実行している場合、自動ボットは何千ものユーザー名とパスワードの組み合わせを試行し、すべての試行がログに記録されます。 Linux 上の Fail2ban は、これらのログを監視して反応します。設定された期間内で IP アドレスの試行失敗が多すぎる場合、ツールは設定可能な期間、ファイアウォールでその IP アドレスをブロックします。ボットはアクセスできなくなり、ログがノイズで埋め尽くされなくなります。

取り付けは簡​​単です。 Debian ベースのシステムでは、 sudo apt install fail2ban それだけで十分であり、サービスは適切なデフォルトで開始されます。覚えておくべき 1 つのルールは、パッケージの更新によりメイン構成ファイルが上書きされる可能性があるため、メイン構成ファイルを直接編集しないでください。代わりに、jail.conf をjail.local にコピーし、そこで変更を加えます。このファイル内で最も重要な設定は、アドレスがブロックされる期間を制御する禁止時間です。 findtime は、失敗がカウントされるウィンドウを定義します。 maxretry は、禁止されるまでに許可される失敗の数を設定します。

保護したいサービスごとに独自の刑務所が設定されます。 SSH ジェイルは通常、すぐに有効になっていますが、Nginx、Apache、Postfix、およびその他の多くのサービスのジェイルを追加できます。禁止時間は 1 時間とするのが妥当な開始点であり、再犯者にはさらに長い時間禁止する再犯刑務所で対処できます。

一つ覚えておいてください。自分の IP アドレスまたはホーム ネットワークの範囲をignoreip 設定に追加して、数回の入力ミスでロックアウトされないようにしてください。アクティブなjailと現在禁止されているアドレスをリストするfail2ban-clientステータスでいつでもツールの動作を確認できます。構成が完了すると、Fail2ban はバックグラウンドで静かに実行されるため、注意を払う必要はほとんどありません。

無人アップグレード

ユーザーなしでシステムにセキュリティ パッチをインストールできるようにする

Linux セキュリティ パッチは、インストールした場合にのみ保護されます。ほとんどの人は、何か問題が発生するまで更新を忘れたり、延期したりします。無人アップグレードは、バックグラウンドで更新を自動的に適用することでこの問題を解決します。これは Debian と Ubuntu で利用でき、Fedora は dnf-automatic を通じて同等の機能を提供します。目標は、攻撃者が積極的に探す危険な機会を残すのではなく、修正が公開されたらすぐに既知の脆弱性を閉じることです。

セットアップは次から始まります sudo apt install unattended-upgrades、 に続く sudo dpkg-reconfigure --priority=低無人アップグレード それを有効にするために。動作は設定ファイルによって制御されます。 /etc/apt/apt.conf.dここで、どの更新ソースを許可するかを選択します。デフォルトでは、セキュリティ更新プログラムのみがインストールされます。これは、ソフトウェアの動作を変える可能性のある機能変更の導入を避けるため、ほとんどのユーザーにとって最も安全なオプションです。定期的な更新を含めるように範囲を広げることもできますが、運用マシン上でそれを行うことは、よく検討する価値があります。

価値があるものとして、いくつかの設定によりさらに便利になります。電子メール通知を構成して、各実行後にレポートを受信したり、未使用の依存関係を削除するようにシステムを設定したり、カーネルの更新が必要なときに自動的に再起動するかどうかを選択したりできます。自動再起動を有効にする場合は、作業の中断を避けるために、早朝の特定の時刻を設定してください。継続的な稼働時間が必要なサーバーの場合は、手動で再起動し、スケジュールされたメンテナンス期間を設けたほうがよい場合があります。

すべてが動作することを確認できます sudo unattended-upgrade --dry-run、変更を加えずにインストールされるものを示します。ログイン /var/log/無人アップグレード 実行ごとに何が起こったかを記録します。 Timeshift と組み合わせると、スナップショットを使用すると問題の原因となる更新を元に戻すことができるため、このツールのリスクは非常に低くなります。

Linux の大きな悩みを防ぐ 3 つの小さな習慣

タイムシフトは不正なアップデートからユーザーを保護し、Fail2ban は執拗な侵入者をシャットアウトし、無人アップグレードはパッチを最新の状態に保ちます。ありがたいことに、これらはそれぞれセットアップに数分かかります。これらを組み合わせることで、Linux システムが直面する最も一般的な障害をカバーできるため、後で数時間を節約できます。