脱 PPAPへの挑戦　EDRを守る三つのセキュリティインフラ構築の実践(2)UFW「Uncomplicated Firewall」編

UFW「Uncomplicated Firewall」

Firewallの設定について解説します。このFireWall 「Uncomplicated Firewall」はUbuntuにデフォルトで導入されているため導入が比較的簡単だと思われます。
この章ではUFWのブラックリスト登録・ホワイトリスト登録の方法について説明していきたいと思います。

ブラックリスト登録・ホワイトリスト登録の方法

まずFW(ufw)は先述した通りデフォルトで導入されているためinstallする必要はありません。
FWのホワイトリスト・ブラックリスト登録の設定の前に起動方法や状態の確認方法について記述します。

FWの有効化

#sudo ufw enable

FWの状態を確認するコマンド

#sudo ufw status verbose

FWの無効化

#sudo ufw disable

上述の「FWの状態を確認するコマンド」を実行し、
ホワイトリストの場合には
default:deny
と表示されていれば問題ありません。
ブラックリストの場合には
default:allow
と表示されていれば問題ありません。

次にホワイトリスト、ブラックリストについてです。
ホワイトリスト・ブラックリストの設定方法の前にこの二つの違いについて説明したいと思います。

アクセスを許可するコマンド「ホワイトリスト」の設定

続いてホワイトリストの設定です。
UFWはデフォルトでは全てのIPからのアクセスをブロックしています。
そのためホワイトリスト方式を使用する場合には許可したいＩＰアドレスやポート番号を設定することで完了します。

注意点：ルールの順番について

ホワイトリストではルールを追加する順番がとても大事です。
UFWではデフォルトですべてのリクエストをブロックした後で追加で許可するIPやポート番号を指定します。

1．IPアドレスによるホワイトリストの登録方法

#sudo allow from ＜IPアドレス＞

2．サブネットによるホワイトリストの登録方法

#sudo allow from ＜IPアドレス/サブネット＞

3．IPアドレスとポートによるホワイトリストの登録方法

#sudo allow from ＜IPアドレス＞ to any port ＜ポート＞

4．IPアドレスとポートとプロトコルによるホワイトリストの登録方法

#sudo allow from ＜IPアドレス＞ to any port ＜ポート＞ proto ＜TCP/UDP＞

特定のIPからのアクセスを禁止する「ブラックリスト」の設定

ブラックリストの設定は上記で上げた通り最初全てのIPからのアクセスがブロックされているためすべてのIPのアクセスを許可した後にアクセスをブロックする特定のIPを設定する必要が有ります。
ですので、まずは以下のコマンドで全てのIPを許可します。

#ufw default allow

1．IPアドレスによるブラックリストの登録方法

特定のIPからのアクセスをブロックします。

#sudo deny from ＜IPアドレス＞

2．IPアドレスとポートによるブラックリストの登録方法

特定のIPとポートへのアクセスをブロックします。

#sudo deny from ＜IPアドレス＞ to any port ＜ポート＞

3．FWルールを表示するコマンド

FWが動いているかを確認します。

#sudo ufw status numbered

4．FWルールを削除するコマンド

ブラックリストに追加したIPやポートの設定を削除して通信が行える状態にします。

#sudo ufw delete ＜ルール番号＞

ICMPレスポンスを無効にするコマンド

Icmp(ping)を無効化することでホストとして発見されなくなるため、攻撃者によるPortScanを防ぐ効果があります。
まずはicmpの設定ファイルを開きます。開くと以下のような記述になっています。

次に以下のような記述がされいる部分を書き換えることでpingをブロックすることができます。

変更前

# ok icmp codes for INPUT
-A ufw-before-input -p icmp --icmp-type destination-unreachable -j ACCEPT
-A ufw-before-input -p icmp --icmp-type time-exceeded -j ACCEPT
-A ufw-before-input -p icmp --icmp-type parameter-problem -j ACCEPT
-A ufw-before-input -p icmp --icmp-type echo-request -j ACCEPT

変更後

# ok icmp codes for INPUT
-A ufw-before-input -p icmp --icmp-type destination-unreachable -j DROP
-A ufw-before-input -p icmp --icmp-type time-exceeded -j DROP
-A ufw-before-input -p icmp --icmp-type parameter-problem -j DROP
-A ufw-before-input -p icmp --icmp-type echo-request -j DROP

ログについて

ネットワークに何か攻撃を受けた際はFirewallのログを確認する必要があります。ログは以下のディレクトリに保存されます。
ログは他のアクセスロガーにインポートできます。
/etc/ufw.log

例

Feb  4 23:33:37 hostname kernel: [ 3529.289825] [UFW BLOCK] IN=eth0 OUT= MAC=00:11:22:33:44:55:66:77:88:99:aa:bb:cc:dd SRC=444.333.222.111 DST=111.222.333.444 LEN=103 TOS=0x00 PREC=0x00 TTL=52 ID=0 DF PROTO=UDP SPT=53 DPT=36427 LEN=83

このログは他のアクセスロガーにインポートできます。