セキュリティ/権限強化の用語集（25語）

プログラムごとに「許可する動作」を記述したプロファイルを適用し、それを越える振る舞いを禁じる強制アクセス制御。パスではなくラベルで管理する SELinux と異なり、ファイルパスを基準に制御するため比較的設定が分かりやすい。Ubuntu/SUSE系で標準採用される。

last・lastbなどが「誰がログインしたか」を扱うのに対し、auditdは「どのファイルが読み書きされたか」「どのシステムコールが呼ばれたか」まで細かく監視・記録できる仕組み。設定次第で記録量が膨大になるため、必要な範囲を絞って運用するのが一般的。

Common Vulnerabilities and Exposuresの略で、ソフトウェアの脆弱性1件ごとに一意な番号を割り当てる仕組み。CVE番号自体は識別子であり深刻度を表さない点に注意が必要で、深刻度は別途CVSSといった指標で示されることが多い。ニュースやパッケージの更新情報でよく登場する。

認証失敗などのログを監視し、一定時間内に閾値を超えた送信元IPを自動的にファイアウォールで遮断する侵入防止ツール。SSHへの総当たり攻撃対策として広く使われ、ブロックの回数・時間を設定で調整できる。

sudoersのルールでコマンドの前にNOPASSWD:と書くと、そのコマンドに限りパスワード確認なしでsudoが通るようになる。自動化スクリプトの無人実行に便利な一方、全コマンドに適用するとなりすまし時のリスクが大きくなるため、対象コマンドを絞って使うのが基本になる。

Security-Enhanced Linux。ファイルやプロセスにラベル（コンテキスト）を付与し、ポリシーで許可された操作しか行えないようにする強制アクセス制御（MAC）。Enforcing・Permissive・Disabled の3モードがあり、通常のパーミッションを越えてシステムを守る。

Secure Shell の略。通信を暗号化してリモートのサーバにログインし、コマンドを実行できる。サーバ側では sshd が22番ポートで待ち受け、ssh ユーザ名@ホスト で接続する。

SSH Daemon の略。リモートからの接続要求を待ち受け、認証して安全な通信路を確立するサーバ側プロセス。設定ファイル /etc/ssh/sshd_config で、rootログイン禁止やパスワード認証の無効化などの堅牢化を行う。

ディレクトリに立てる特殊権限の一つで、代表例は/tmp。書き込み権限を持つ全員が使えるディレクトリでも、sticky bitが立っていれば、ファイルの所有者・ディレクトリの所有者・root以外は他人のファイルを削除できなくなり、共有スペースでの誤削除や悪意ある削除を防げる。

superuser do の略。root に直接ログインせず、自分のパスワードで一時的に管理者権限を借りてコマンドを実行する。権限は /etc/sudoers で細かく制御でき、実行内容はログに残るため監査もしやすい。

sudoコマンドの許可ルールを一元管理するファイルで、ユーザーやグループごとに、実行を許すコマンド・実行する権限（多くはroot）・パスワード要否などを1行ずつ定義する。直接編集は文法エラーで壊れる危険があるため、専用コマンドvisudo経由での編集が推奨される。

suid（set user id）が立った実行ファイルは、誰が実行しても所有者の権限で動作する。代表例はpasswdコマンドで、一般ユーザーが実行してもroot権限でパスワードファイルを書き換えられる。sgid（set group id）をディレクトリに立てると、その中に新規作成されるファイルが親ディレクトリのグループを自動継承し、共有ディレクトリの運用に使われる。

ファイルの理論上の最大権限（ファイルは666、ディレクトリは777）から、umaskに設定された値を差し引いた結果が、新規作成時の実際の権限になる。既存ファイルの権限には影響せず、これから作られるものにだけ適用される点が特徴。

決まったタイミングで自動的にパッケージの更新確認を行い、セキュリティ関連の更新に絞って自動でインストールしてくれる仕組み。設定ファイルは/etc/apt/apt.conf.d/配下にあり、対象リポジトリの範囲や自動再起動の可否などを調整できる。手動更新を忘れがちな運用のリスクを下げる。

読み(r)・書き(w)・実行(x)を、所有者・グループ・その他に分けて設定する。

任意の長さのデータを入力すると、決まった長さの文字列を出力する計算の結果。同じ入力からは常に同じ値が出て、データが少しでも変わればまったく別の値になる性質を利用し、ファイルの改ざんや破損の検知に使われる。SHA-256などの計算方式があり、値から元データを復元することはできない。

あらかじめ決めたルールに従い、通信の許可・拒否を判断する仕組み。必要なポートだけを開けて攻撃の入口を減らす。RHEL/MiracleLinux系では firewalld が標準で、内部的に nftables を用いてルールを適用する。

外部との通信をルールに基づいて通す・しゃ断する防壁。RHEL/MiracleLinux系では firewalld が既定で、firewall-cmd コマンドで操作する。初期状態では多くの通信が遮断されている。

1台のホスト上で複数のサービスを区別するための番号（0〜65535）。IPアドレスが「建物」なら、ポートは「部屋番号」にあたる。ファイアウォールでは、どのポートを開けるか閉じるかを通信制御の基本単位として扱う。

サービスを起動しても、ファイアウォールがそのポートを通さなければ外部からは届かない。firewall-cmd --add-service や --add-port で許可し、--reload で反映する操作を指す。

共通鍵暗号は、暗号化と復号に同じ鍵（パスフレーズなど）を使う方式で、鍵の受け渡しを安全に行う必要がある。公開鍵暗号は、暗号化用の公開鍵と復号用の秘密鍵がペアになっており、公開鍵は誰と共有してもよいが、対応する秘密鍵を持つ人だけが復号できる。gpgコマンドは両方の方式を扱える。

Mandatory Access Control（MAC）。ファイル所有者が自由に権限を変えられる通常方式（任意アクセス制御＝DAC）と異なり、システム全体のポリシーで強制的にアクセスを制御する。SELinux や AppArmor がこれにあたり、侵入されても被害を封じ込めやすい。

手元に秘密鍵、サーバ側に公開鍵を置き、対応するペアを持つことで本人を証明する方式。秘密鍵はネットワークに流れないため総当たり攻撃に強い。秘密鍵の厳重な保管と、必要に応じたパスフレーズ設定が前提となる。

Principle of Least Privilege（最小権限の原則）。ユーザ・プロセス・サービスに、業務に必要な最小限の権限だけを付与する考え方。常時 root で作業せず、権限を広げすぎないことで、操作ミスや侵入時の被害範囲を小さく抑える。

Debian/Ubuntu系では/var/log/auth.logにテキストとして記録されることが多く、systemd採用環境ではjournalctlコマンドで横断的に確認できる。ログイン成功・失敗、sudoの使用などが時系列で残るため、不正アクセスの痕跡を追う際の一次情報になる。