サーバーを守る。すべての攻撃と変更を1つのダッシュボードで。

Fail2ban はサービスのログを読み取り、認証に失敗したアドレスを banします。パネルはすべての jail を1画面に表示します。現在ブロック中のアドレス数、サービス起動以降の累計、どの jail が検知したかがわかります。まったく何も検知していない jail も、稼働中のものと同じくらい明確に見えます。多くの場合、それは誤ったログファイルを読んでいることを意味します。

IPSUM は、他サーバーへの攻撃で検知されたアドレスを毎日更新するリストです。ipset はこれをカーネルメモリに保持するため、数十万件のアドレス照合でもファイアウォールに負荷をかけません。ダッシュボードにはリストのサイズと最終更新時刻が表示されます。これは最初の試行より前の防御であり、アドレスはサービスに到達する前に遮断されます。

Lynis は数百件の設定チェックを実行し、hardening index（100点満点の評価）を算出します。ダッシュボードはレポートを解析し、警告や推奨事項をテスト識別子とともに表示するため、それぞれの意味を確認できます。100点満点が目標ではありません。推奨事項の一部は、お使いのサーバーには存在しないシナリオを想定したものです。

ModSecurity は OWASP CRS ルールセットで HTTP リクエストを Web サーバー内部でフィルタリングします。復号後、リクエストの内容が見える段階での処理です。パネルは監査ログを読み取り、どのリクエストがブロックされたか、どのルールが作動したか、異常スコアはいくつだったか、リクエストの発信元はどこかを表示します。ここを見る主な目的は誤検知の確認です。同じルールが自分のフォームを何度も繰り返し捕捉するようなケースです。

Suricata はネットワークトラフィックをシグネチャで解析し、検出結果を eve.json に書き込みます。ダッシュボードはこのファイルをサーバー上で直接読み取り、直近24時間のアラートをカテゴリ別にまとめて表示します。Elasticsearch や Kibana は不要です。これらは 1 台の VPS では監視対象マシンよりも重くなりがちだからです。インストール直後は、suricata-update を少なくとも一度実行するまで何も表示されません。ルールがまだ存在しないためです。

CrowdSec はシナリオに沿ってログを解析し、他のネットワーク参加者から報告されたアドレスも参照してブロックを判断します。攻撃者はすでに既知として現れることが多いのです。パネルには有効な判断がシナリオと残り時間とともに表示され、その隣にはそれらの判断を実行する登録済みの bouncer が並びます。2番目のリストが空の場合、CrowdSec は通知するだけで何もブロックしません。

Falco はシステムコールを監視し、プロセスが本来関与しないはずの動作をした際にアラートを発します。たとえば Web サーバーからのシェル起動、システムバイナリのディレクトリへの書き込み、予期しない外向き接続の確立などです。ダッシュボードでは、優先度、発動したルール、プロセスのコマンドラインとともにアラートを表示します。これに Kubernetes は不要で、通常のサーバーでも Falco は同様に動作します。

Linux 上のアンチウイルスが守るのは自身のバイナリではなく、外部からサーバーに入り込むもの——アップロードフォームを経由した Web シェル、メールサーバー経由の添付ファイル、一時ディレクトリ内のペイロードです。ダッシュボードには最終チェックの時刻、検出内容、そして最重要項目であるシグネチャデータベースの経過日数が表示されます。シグネチャが週単位で古い ClamAV は、保護されているように見せかけるだけで、それ以上の意味はありません。

AIDE はファイルシステムの暗号学的スナップショットを取得し、前回のチェックから何が変化したかを報告します。他のツールが避けて通る「何に手を加えたか」という問いに答えるのです。ダッシュボードには追加・変更・削除されたファイルと、食い違う属性の3つのリストが表示されます。朝によく見かけるレポートのほとんどは夜間のパッケージ更新が原因です。時刻を照合し、データベースを再構築してください。

監査デーモンは、指定されたイベントだけを正確に記録します。/etc/passwd と /etc/shadow の変更、sshd_config の編集、権限昇格バイナリの実行などです。ダッシュボードには、現在読み込まれているルール、監視対象のパス、そしてプロセスと結果を含む最新イベントが表示されます。ルールを確認することは、イベントと同じくらい重要です。ルールが空であることは、auditd が動作しているように見えても価値ある記録が残らない最も一般的な原因です。

UFW は iptables の構文から解放してくれますが、数か月後にルールセットを読み解く助けにはなりません。パネルはアクション、ポート、プロトコル、送信元とともにルールを表示し、受信・送信トラフィックのデフォルトポリシーを先頭に配置します。忘れられがちなのはまさにこれです。デフォルトポリシーが allow のままなら、一見厳格なルールセットも意味を持ちません。

ポートスキャンを行う相手はログイン失敗の痕跡を一切残さないため、Fail2ban では検知できません。PSAD はこの隙間を埋めます。ファイアウォールが記録した破棄トラフィックのログを読み取り、その内容を評価します。パネルにはフラグの付いたアドレス、1〜5 の危険度、パケット数、ポートが表示されます。ファイアウォールにログ記録のルールがないと PSAD は何も出力しません。これがインストール後にページが空になるよくある原因です。

自動更新は問題の大部分を解決しましたが、より静かな別の問題を生み出しました。証明書は自ら更新を続けます——更新が止まるその日までは。そして最初にそれに気づくのは訪問者です。ダッシュボードにはサーバーが提示する証明書が一覧表示されます。発行者、有効期限、残り日数です。自動更新付きの証明書で残り 30 日を切っている場合、更新はすでにしばらく前から静かに失敗しているということです。

このマップは、あなた自身のサーバーがブロックしたアドレスを国単位で解決し、ヒット数に応じて拡大表示します。外部から購入した脅威データのフィードではありません。各点は、実際にこのマシンへ到達したトラフィックです。マップが真価を発揮するのは時間をかけたとき。1つのネットワークに集中していれば、通常はリストを順にたどる単独の実行者を意味し、均等に散らばっていれば、ごく普通のインターネットノイズです。

Logwatch は 1 日分のログを 1 通のレポートにまとめてメールで送信しますが、そのメールは数週間もすれば誰も開かないフォルダーに埋もれてしまいます。問題は情報ではなく、常に配信の方にありました。ダッシュボードはレポートをサーバー上に保持し、過去の日々のアーカイブとともにページ単位で表示します。1 日分は何が起きたかを、1 週間分は何が変わったかを教えてくれます。

Monit はプロセス、ファイル、ファイルシステム、ノードを監視し、故障を検知したものを再起動します。ダッシュボードには各チェックが、現在の状態、監視対象、介入回数とともに表示されます。再起動カウンターは最も正直なフィールドです。40 回再起動されたサービスは健全ではなく、何度も落ちており、再起動がそれを覆い隠しているのです。

ハードウェアキーや Touch ID、Face ID でパネルにログインでき、二つ目のパスワードは不要です。キーはプロトコルレベルでドメインを検証するため、似たアドレスに作られたログインページの複製は機能せず、フィッシングが盗み取れるものはありません。キーは複数登録でき、それぞれに名前と最終使用日時が記録され、いずれも個別に取り消せます。

このマシンで外部から到達できるものは何か——これはセキュリティで最も有用な問いですが、ss の出力は毎回目視で読み解く必要があります。パネルはリッスン中のソケットをポート、プロトコル、バインドアドレス、プロセスとともに表示し、その下に確立済みの接続を表示します。まず読むべきはバインドアドレスです。127.0.0.1 のサービスはそのマシンからのみアクセスでき、同じサービスでも 0.0.0.0 ならインターネット全体に公開されます。

top コマンドは「今この瞬間」の状態しか答えませんが、知りたいのはたいてい「昨夜どうだったか」です。コレクターは5分ごとにデータベースへ1行追記し、ページはそれをもとに直近24時間を描画します。表示するのは load average、CPU と I/O wait を分けたもの、メモリと swap、ネットワーク、ディスク、TCP 接続、ファイルディスクリプタです。グラフはペアで読むのがコツです。CPU が落ち着いているのに I/O wait が高い場合は、サーバーがディスク待ちをしている状態であり、CPU コアを増やしても意味がありません。

ディスクの障害は2種類あり、性質はまったく異なります。故障し始めるドライブと、いっぱいになってサービスを道連れにするファイルシステムです。ダッシュボードはその両方をカバーし、パーティションの使用量、SMART 属性、温度を確認できます。故障の予兆となる属性は3つ――代替処理済みセクタ、代替処理待ちセクタ、オフラインで回復不能なセクタです。inode は別途表示します。空き容量より先に枯渇し、空きがあるのに書き込みが通らない原因を説明してくれます。

強制アクセス制御は、プログラムを起動したユーザーの権限とは無関係に、そのプログラムに何が許可されるかを決めます。AppArmor はほとんどの Ubuntu・Debian サーバーに導入されていますが、その多くではほぼ何も制限していません。パネルには、モード付きの読み込み済みプロファイル、制限下のプロセス、そして——より興味深い後者——プロファイルがまったく付いていないプロセスが表示されます。complain モードのプロファイルはブロックするはずだった内容を記録するだけで、実際に制限するのは enforce のみです。