強化されたCGIセキュリティと認証のソースを表示

== 強化されたCGIセキュリティと認証 ==

<STRONG><U>イントロダクション</U></STRONG>

<P>
これはより強い認証と、CGIウェブインタフェースの周りで集中しているサーバセキュリティ
の実現のための序論であることを意図します。
</P>

<P>
あなたの監視サーバとNagios環境のセキュリティを高める多くの方法があります。
これを、セキュリティへの全てのアプローチの終わりとしてみなすべきではありません。
代わりに、あなたがあなたのシステムのセキュリティをきびしくするのに使用できるテクニックのいくつかへの序論としてそれを考えてください。
いつものように、あなたはあなたの研究をして、利用可能な最も良いテクニックを使用するべきです。
あなたの監視サーバをあなたのネットワークで最も重要なサーバとして扱ってください。そうすればあなたは報いられます。
</P>

<STRONG><U>追加テクニック</U></STRONG>

<LI><STRONG>ダイジェスト認証を使用するより強い認証</STRONG>
  もしあなたが[http://nagios.sourceforge.net/docs/3_0/quickstart.html クイックスタートガイド]
  に沿って設定を進めたなら、Apacheの
  [href="http://httpd.apache.org/docs/2.2/mod/mod_auth_basic.html"|BASIC認証]
  を使っているでしょう。
  Basic認証はIDとパスワードを「プレーンテキスト」で送ります。
  IDとパスワードのMD5 Hashを作るDigest認証のような、より安全な方法を使うよう検討してください。
  <BR><BR>

<LI><STRONG>全てのWebアクセスでTLS/SSLを強制する</STRONG>
  Apacheは
  [href="http://httpd.apache.org/docs/2.2/mod/mod_ssl.html"|mod_ssl]
  モジュールによって
  [href="http://en.wikipedia.org/wiki/Transport_Layer_Security"|TLS/SSL]
  を提供します。
  TLS/SSLは公開鍵/秘密鍵による暗号を使ってクライアントとサーバ間で安全なトンネルを張ることにより、
  トラフィックの盗聴による不正アクセスを防ぎます。
  <BR><BR>
<LI><STRONG>Apacheのアクセス制御で制限する</STRONG>
  IPアドレス、IPアドレス範囲またはIPサブネットでNagiosへのアクセスを制限することを検討してください。
  外部からアクセスする必要があるのなら、VPNかSSHトンネルを使ってアクセスすることができます。
  これはHTTP/HTTPSでのシステムへのアクセスに於いて、設定が簡単でなおかつ強固なアクセス制限です。
  <BR>

<STRONG><U>Digest認証を使う</U></STRONG>

<P>Digest認証を使うのは簡単です。
[href="http://httpd.apache.org/docs/2.2/programs/htdigest.html"|'htdigest']
ツールを使って新しいパスワードファイルを作成し、Nagios用のApacheの設定(一般に/etc/httpd/conf.d/nagios.conf)
を修正すればよいのです。
</P>
<P>
[href="http://httpd.apache.org/docs/2.2/programs/htdigest.html"|'htdigest']ツールを
使って新しいパスワードファイルを作成してください。
[href="http://httpd.apache.org/docs/2.2/programs/htpasswd.html"|'htpasswd'] ツールを
よく知っているのなら、htdigestではレルム引数を指定する必要があるという違いに気付くでしょう。
レルムはApacheの設定の'AuthName'ディレクティブの値に相当します。
</P>

<PRE>
htdigest -c /usr/local/nagios/etc/.digest_pw "Nagios Access" nagiosadmin
</PRE>

<P>次に、Nagios用のApacheの設定ファイル(通常 /etc/httpd/conf.d/nagios.conf)
の例をあげます。
</P>

<PRE>
## BEGIN APACHE CONFIG SNIPPET - NAGIOS.CONF

ScriptAlias /nagios/cgi-bin "/usr/local/nagios/sbin"

&lt;Directory "/usr/local/nagios/sbin"&gt;

   Options ExecCGI

   AllowOverride None

   Order allow,deny

   Allow from all

   AuthType Digest

   AuthName "Nagios Access"

   AuthUserFile /usr/local/nagios/etc/.digest_pw

   Require valid-user

&lt;/Directory&gt;



Alias /nagios "/usr/local/nagios/share"

&lt;Directory "/usr/local/nagios/share"&gt;

   Options None

   AllowOverride None

   Order allow,deny

   Allow from all

   AuthType Digest

   AuthName "Nagios Access"

   AuthUserFile /usr/local/nagios/etc/.digest_pw

   Require valid-user

&lt;/Directory&gt;

## END APACHE CONFIG SNIPPETS

</PRE>

<P>そして、Apacheを再起動して新しい設定を反映させてください。</P>

<PRE>
/etc/init.d/httpd restart
</PRE><BR>

<STRONG><U>強制的にTLS/SSLを使わせる</U></STRONG>
<P>必ずApacheとOpenSSLをインストールしてください。デフォルトで
[href="http://httpd.apache.org/docs/2.2/mod/mod_ssl.html"|mod_ssl]を使用するように
設定する必要があり、もし設定方法がわからなければ
[href="http://httpd.apache.org/docs/2.0/ssl"|TLS/SSL Encryption Documentation]
が役に立つかもしれません。
</P>

<P>次に、Nagiosのウェブインターフェース(https://your.domain/nagios)を見て、TLS/SSLが有効になっている
ことを確認してください。HTTPSの使用を強制して、HTTPでのアクセスをブロックできれば次のステップに進むことが
できます。もし設定につまずいているのなら
[href="http://httpd.apache.org/docs/2.0/ssl"|TLS/SSL Encryption Documentation]を見るか
ググって(googleで検索すること)ください。
</P>

<P>次に、Nagios用のApacheの設定ファイル(通常 /etc/httpd/conf.d/nagios.conf)の
'SSLRequireSSL'ディレクティブに'sbin'と'share'ディレクトリを追加してください。
</P>

<PRE>
## BEGIN APACHE CONFIG SNIPPET - NAGIOS.CONF

ScriptAlias /nagios/cgi-bin "/usr/local/nagios/sbin"

&lt;Directory "/usr/local/nagios/sbin"&gt;

   ...

   SSLRequireSSL

   ...

&lt;/Directory&gt;



Alias /nagios "/usr/local/nagios/share"

&lt;Directory "/usr/local/nagios/share"&gt;

   ...

   SSLRequireSSL

   ...

&lt;/Directory&gt;

## END APACHE CONFIG SNIPPETS

</PRE>
<P>新しい設定を反映させるためにApacheを再起動してください。</P>

<PRE>
/etc/init.d/httpd restart
</PRE><BR>

<STRONG><U>IPサブネットでの制限</U></STRONG>

<P>以下はApacheの
[href="http://httpd.apache.org/docs/2.2/howto/access.html"|アクセス制御]
を使って、特定のIPアドレス、IPアドレスの範囲、IPサブネットでNagiosのCGIに制限を
かける例です。
</P>

<P>以下はNagios用のApacheの設定ファイル(通常 /etc/httpd/conf.d/nagios.conf)に
'Allow'、'Deny'そして'Order'ディレクティブを追加する例です。
</p>

<PRE>
## BEGIN APACHE CONFIG SNIPPET - NAGIOS.CONF

ScriptAlias /nagios/cgi-bin "/usr/local/nagios/sbin"

&lt;Directory "/usr/local/nagios/sbin"&gt;

   ...

   AllowOverride None

   Order deny,allow

   Deny from all

   Allow from 127.0.0.1 10.0.0.25		# Allow single IP addresses

   Allow from 10.0.0.0/255.255.255.0		# Allow network/netmask pair

   Allow from 10.0.0.0/24			# Allow network/nnn CIDR spec

   ...

&lt;/Directory&gt;



Alias /nagios "/usr/local/nagios/share"

&lt;Directory "/usr/local/nagios/share"&gt;

   ...

   AllowOverride None

   Order deny,allow

   Deny from all

   Allow from 127.0.0.1 10.0.0.25		# Allow single IP addresses

   Allow from 10.0.0.0/255.255.255.0		# Allow network/netmask pair

   Allow from 10.0.0.0/24			# Allow network/nnn CIDR spec

   ...

&lt;/Directory&gt;

## END APACHE CONFIG SNIPPET
</PRE><BR>

<STRONG><U>重要</U></STRONG>
<UL>
  <LI><STRONG>Digest認証はプレーンテキストのIDとパスワードを扱わない。
  <BR><BR>
  <LI><STRONG>Digest認証はBasic認証と比べて一般的に使われていない。
  <BR><BR>
  <LI><STRONG>TLS/SSLは本来
  "[href="http://ja.wikipedia.org/wiki/%E4%B8%AD%E9%96%93%E8%80%85%E6%94%BB%E6%92%83"|中間者攻撃]"
  のためにある。</STRONG>例えば攻撃者がサーバとクライアントの間でフィッシング攻撃、ISPモニタリング、
  もしくは社内FW証明書破棄をでできるなら中間者攻撃に対して脆弱です。
  だから証明書確認を研究してください!
  <BR><BR>
  <LI><STRONG>Apacheのアクセス制御はHTTP/HTTPSのみに有効である。</STRONG>
  強固なシステムにするべく広範囲にわたり制限をかけたいなら
  [href="http://www.netfilter.org/projects/iptables/index.html"|IPtables]
  を使うべし。
  <BR><BR>
  <LI><STRONG>もっとも重要なのは、常日頃セキュリティの動向について探求する事です!
  "[href="http://www.grc.com/securitynow.htm"|Security Now!]"
  などがよいですよ。
  <BR><BR>
</UL>