2020 年度 OSS リテラシー 3 : セキュリティ対策 (ポート)

開いているポートの確認

開いているポートを確認するには, netstat コマンドや nmap コマンドを用いる. なお, nmap コマンドはクラッキングの前段階として行われることが多いので, 無用の誤解を与えないために localhost 以外のホストに対して実行しないこと.

netstat

netstat コマンドは net-tools パッケージに含まれているので, それをインストールする.

$ sudo apt-get update

$ sudo apt-get install net-tools

netstat とても強力かつ有用なツールであり, 多くのオプションが存在する. 詳細は man netstat コマンドを実行するとオンラインマニュアルが表示されるのでそれを参照して欲しいが, 以下に代表的なものを挙げる.

-A : 接続状態を表示するアドレスファミリを指定する
-I : 指定したNICの情報のみ表示する（ex. -Ieth0）
-a : 全てのアクティブなソケットを表示する
-c : 1秒ごとに更新しつつ表示する
-e : 詳細情報を表示する
-g : IPv4とIPv6のマルチキャストグループメンバーシップ情報を表示する
-i : 全てのNICの状態テーブルを表示する
-l : 接続待ち（LISTEN）状態にあるソケットのみ表示する
-n : ホストやユーザーの名前解決を行わず数字のまま出力する
-o : ネットワーキングタイマーの情報を出力する
-p : ソケットが属すプログラムのPIDとプロセス名を表示する
-r : ルーティングテーブルを表示する
-s : 各プロトコルの統計情報を表示する
-t : TCPソケットを表示する
-u : UDPソケットを表示する
-v : 詳細な情報を表示する

例えば, netstat -ntlp コマンドを実行するとポート一覧が表示される. 最初の文字列が tcp は IP v4 を意味し, tcp6 は IPv6 を意味する.

$ netstat -ntl

  稼働中のインターネット接続 (サーバのみ)
  Proto 受信-Q 送信-Q 内部アドレス            外部アドレス            状態       
  tcp        0      0 127.0.0.1:3306          0.0.0.0:*               LISTEN     
  tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN     
  tcp6       0      0 :::80                   :::*                    LISTEN     
  tcp6       0      0 :::22                   :::*                    LISTEN     
  tcp6       0      0 :::3000                 :::*                    LISTEN

上記の例では, ポート 22, 10050, 10051 が全ての IP アドレス (0.0.0.0) に対して開いており, ポート 25, 3306 が自ホスト (127.0.0.1) に対してのみ開かれていることがわかる. なぜか上記の例ではポート 80 と 3000 が IP v6 でのみ開かれているように書かれているが, 実際には IP v4 に対して 80, 3000 ポートは開かれている(プログラムのバグか?)

ここでポート番号とサービス名との対応が問題になるが, 基本的なポートについては /etc/services ファイルにその対応が書かれている. less などのページャーで /etc/services の中身を確認すると良い. なお, /etc/services に書かれているのはあくまで「代表的」なものであり, ポート番号 3000 や 3006 は載っていない.

実際のところ, 権限やオプションをつけることでポート番号と対応するサービスやプログラム名を一度に表示することができる. 試してみよ.

$ netstat -tl

  稼働中のインターネット接続 (サーバのみ)
  Proto 受信-Q 送信-Q 内部アドレス            外部アドレス            状態       
  tcp        0      0 0.0.0.0:ssh             0.0.0.0:*               LISTEN     
  tcp        0      0 localhost:mysql         0.0.0.0:*               LISTEN     
  tcp6       0      0 [::]:http               [::]:*                  LISTEN     
  tcp6       0      0 [::]:ssh                [::]:*                  LISTEN     
  tcp6       0      0 [::]:3000               [::]:*                  LISTEN     


$ sudo netstat -ntlp

  稼働中のインターネット接続 (サーバのみ)
  Proto 受信-Q 送信-Q 内部アドレス            外部アドレス            状態        PID/Program name    
  tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      574/sshd            
  tcp        0      0 127.0.0.1:3306          0.0.0.0:*               LISTEN      619/mysqld          
  tcp6       0      0 :::22                   :::*                    LISTEN      574/sshd            
  tcp6       0      0 :::3000                 :::*                    LISTEN      910/grafana-server  
  tcp6       0      0 :::80                   :::*                    LISTEN      605/apache2

nmap

次に nmap を使って開いているポートを確認する. まずは nmap のインストールを行う.

$ sudo apt-get update

$ sudo apt-get install nmap

nmap は netstat と異なり, ホスト名もしくは IP アドレスを引数に与えることになる. 自ホストを意味する localhost (もしくは 127.0.0.1) を引数に与えた場合には, 以下のように開いているポートが一覧される. 22, 80, 3000, 3006 が開いていることがわかる.

$ nmap localhost

  PORT     STATE SERVICE
  22/tcp   open  ssh
  80/tcp   open  http
  3000/tcp open  ppp
  3306/tcp open  mysql

イーサネットの口 (ens192) に割り当てた IP アドレス (10.176.0.XXX, XXX は自分のに変更すること) を指定することもでき, その場合は以下のようになる.

$ nmap  10.176.0.XXX

  PORT     STATE SERVICE
  22/tcp   open  ssh
  80/tcp   open  http
  3000/tcp open  ppp

上記を見比べると, localhost では 3306 が表示されるが 10.176.0.XX ではそれが表示されていない. これはポート 3306 (mysql (DB)) には自ホストからのみアクセスできることを意味する (= ネットワーク経由でのアクセスはできない). 加えて, nmap コマンドの出力は前述の netstat -ntlp の出力と整合的であることがわかる.

ポートを閉じる

/etc/init.c/ 以下のスクリプトを用いてポートを閉める

サービス単位でポートを閉めることができる. /etc/init.d 以下にサービスをスタート/ストップするためのスクリプトが置かれているので, それを使えば良い.

例えば HTTP (80 ポート) を閉じる場合を考える. まず始めに 80 番ポートの支配しているプログラム名を netstat で調べる. プログラム名が apache2 であることがわかる.

$ sudo netstat -ntlp| grep 80

  tcp6       0      0 :::80                   :::*                    LISTEN      605/apache2

次に, /etc/init.d 以下を眺めると, apache2 が存在することがわかる.

$ ls /etc/init.d/

  apache-htcacheclean  cron            hwclock.sh         networking  screen-cleanup  udev          zabbix-server
  apache2              dbus            keyboard-setup.sh  procps      snmpd           vmware-tools
  apparmor             exim4           kmod               rsync       ssh             x11-common
  console-setup.sh     grafana-server  mysql              rsyslog     sudo            zabbix-agent

通常, プログラム名とスクリプト名は一致するので, 今回は /etc/init.d/apache2 を使えば良い. 結果的に 80 番ポートを閉める (サービスを止める) には以下のようにする.

$ sudo /etc/init.d/apache2 stop

  [ ok ] Stopping apache2 (via systemctl): apache2.service.

改めて netstat もしくは nmap コマンドを実行すると, 80 番ポートが閉まった (= 80 ポートを使う apache2 が停止した) ことがわかる.

$ nmap 10.176.0.XXX   (自分の IP)

  PORT     STATE SERVICE
  22/tcp   open  ssh
  3000/tcp open  ppp

再びサービスを開始する場合はスクリプトの引数に start を与える.

$ sudo /etc/init.d/apache2 start

  [ ok ] Starting apache2 (via systemctl): apache2.service.

再び netstat もしくは nmap を使うと 80 ポートが再び開いたことがわかる.

$ nmap 10.176.0.XXX   (自分の IP)

  PORT     STATE SERVICE
  22/tcp   open  ssh
  80/tcp   open  http
  3000/tcp open  ppp

課題

自ホストにおいて開放されているポートとそのポートを使うサービスの一覧を wbt のオンラインテキストにまとめよ. さらに, そのポートがインターネット上の他ホストからアクセス可能か否かもまとめよ.