今日の戯言　by maa

_ [Debian][セキュリティ] セキュリティ対策

最近 AI を利用したクラッキングによる情報漏洩が頻発しているようなので、研究室のサーバーについても改めてセキュリティを見直すことにした。

まずは sshd を標準の 22 Port から他に移した。もともと接続許可クライアントの限定、ユーザーの限定、パスワード認証の禁止、高強度の公開鍵暗号を用いたデジタル署名アルゴリズムによる認証を行っていたので大きな問題はないのだが、標準ポートを使っていたので探りにくる輩を接続拒否したログがそれなりの記録されており、鬱陶しいといえばいえるので、待ち受けポートの変更を行った。効果は覿面（てきめん）で、これ以降、今のところ一切覗きにきたログは記録されていない。

そして今日は Web サーバーの方をちょっと追加対策した。HTTP レスポンスヘッダー（画面には見えないやり取り）でのバージョン非表示、クリックジャッキング、およびクロスサイト・スクリプティング対策、MIMEスニッフィング抑止のためのヘッダーの追加をした。

その他、tdiary や PukiWiki がフッターに Ruby や PHP のバージョンを表示していたのを非表示にした。

#/etc/apache2/conf-enabled/security.conf

ServerTokens ProductOnly

<IfModule mod_headers.c>
       Header set X-Content-Type-Options: "nosniff"
       Header set Content-Security-Policy: "frame-ancestors 'self'; reflected-xss block;"
       Header set X-XSS-Protection "1; mode=block"
</IfModule>