VPSにはどんなセキュリティリスクがある？その対策は？

VPSは、自由度が高いという大きなメリットがある反面、その運用はユーザーが自分で行う必要があります。

セキュリティ対策についてもユーザー自身が行う必要があり、サーバー運用の技術的な知識が必要というところはVPSのデメリットといえるかもしれません。

共用サーバーと比較しても、セキュリティ対策の難易度はVPSの方が高いといえます。

というわけで今回は「VPSにはどんなセキュリティリスクがある？その対策は？」についてお伝えします。

VPSのセキュリティリスクとその対策について知りたいという方は記事を読んでみてくださいね。

※この記事は約6分で読めます。

●VPSのセキュリティ対策

サーバー管理者権限（root権限）の乗っ取りの対策
OSの脆弱性を狙った攻撃の対策
開放ポートからの不正アクセス対策
ネットワークからのDos攻撃/DDo攻撃の対策
SQLインジェクション攻撃の対策

VPSのセキュリティリスクとは？
VPSのセキュリティ対策は何をやっておくべきか
関連記事
VPSにはどんなセキュリティリスクがある？その対策は？　まとめ

VPSのセキュリティリスクとは？

VPSのセキュリティリスクとは、いわゆるサイバー攻撃に対するリスクとも言えます。

具体的には以下のようなリスクが考えられます。

サーバー管理者権限（root権限）の乗っ取りのリスク
OSの脆弱性を狙った攻撃のリスク
開放ポートからの不正アクセスのリスク
ネットワークからのDos攻撃/DDo攻撃のリスク
SQLインジェクション攻撃のリスク

サーバー管理者権限（root権限）の乗っ取りのリスク

VPSサービスでは、デフォルトでroot権限によるリモートログインができるようになっていることが多いです。

rootアカウントのパスワードが漏洩したり破られた場合、VPSを乗っ取られてしまうリスクがあります。

管理者権限が乗っ取られてしまうことでVPS（サーバー）自体が乗っ取られてしまいます。

OSの脆弱性を狙った攻撃のリスク

VPSでは利用したいサーバーOSを選択することができます。

いわゆるサイバー攻撃は、WebサイトやOSの脆弱性を狙って攻撃を仕掛けてきます。

例えば、OSのバージョンが最新でない場合、OSの既知の脆弱性がそのままになっていることがあります。

この脆弱性を狙って攻撃されるリスクがあります。

開放ポートからの不正アクセスのリスク

VPSによっては余分なポートが閉鎖されている場合もありますが、不要であってもポートが開放されている場合があります。

こういった開放ポートが不正アクセスの侵入経路になることがあります。

また、SSH接続の標準ポート番号である22番ポートは通常の正常な接続以外に、不正アクセスの侵入経路としても狙われることがあります。

こういったポートからの不正アクセスによってサーバー乗っ取りのリスクがあります。

ポート番号とは

ポート番号とは、コンピュータの通信でも出入口の番号などと説明されます。

具体的には、通信において複数の相手と複数の接続を行うためのIPアドレスの下のサブアドレスのことになります。

一般に、IPアドレスは住所に例えられますが、ポート番号は「扉」に例えられます。

マンションでいうと、IPアドレスはマンションの住所でポート番号は部屋番号という感じになります。

Dos攻撃/DDo攻撃のリスク

Dos攻撃とは、サーバーへ大量のデータやリクエストを送りシステムダウンさせる攻撃のことです。

Dos攻撃とDDos攻撃の違いは、

Dos攻撃：一台のコンピュータから攻撃してくる
DDos攻撃：複数のコンピュータから一斉に攻撃してくる

ということで、DDos攻撃の方がサーバーへの負担は大きくなります。

SQLインジェクション攻撃のリスク

SQLインジェクションとは、SQL文に変なコードを埋め込み意図しない動作をさせる攻撃のことです。

※インジェクション（injection）とは「注入」という意味です。

SQLインジェクションの攻撃を受けると、データベースに登録されたデータが閲覧されたり、勝手に書き換えられてしまったりします。

最悪の場合、データベースそのものが削除されてしまうこともあります。

つまりSQLインジェクションとは、データベースを不正に操作する攻撃になります。

他にも脆弱性を狙ったサイバー攻撃には以下のようなものがあります。

クロスサイトスクリプティング
OSコマンドインジェクション
ディレクトリトラバーサル
バッファオーバーフロー

Webサイトの脆弱性を狙った５つの攻撃とは　

VPSのセキュリティ対策は何をやっておくべきか

上記のセキュリティリスクについての対策には以下があります。

サーバー管理者権限（root権限）の乗っ取りの対策

管理者権限（root権限）によるリモートログインによる乗っ取りへの対策としては

rootのリモートログイン設定を無効化して、新しいユーザーをrootユーザーとしてログインできるようにする

ということになります。

元のrootユーザーのSSH接続の無効化を行い新しく作成したユーザーをrootユーザーとしてログインできるようにします。

これにより管理者権限の乗っ取りによるVPSの乗っ取りを防ぎます。

※ちなみに上記はLinux系OSの場合で、Windows系OSの場合はリモートデスクトップ接続を制限することで対応します。RDPを拒否するユーザーを指定することでリモートログインできるユーザーを制限します。

RDPは、Windowsでのリモートデスクトップ接続を目的としたプロトコル。

OSの脆弱性を狙った攻撃の対策

OSの既知の脆弱性については、OSのバージョンを最新の状態にアップデートすることで対応します。

OSのアップデートは速やかに行うようにしましょう。

開放ポートからの不正アクセス対策

前述しているように、不要な開放ポートは不正アクセスの侵入経路になり得ます。

開放されているポートを確認して不要なポートを閉鎖します。

これにより不正アクセスによる侵入を防止します。

必要な場合（ソフトを利用する場合など）はその都度ポートを開放するようにします。

ネットワークからのDos攻撃/DDo攻撃の対策

Dos攻撃/DDos攻撃に対する対策は、他のサイバー攻撃と比べて難しいといわれています。

一般的なサイバー攻撃では、攻撃元のIPアドレスを制限することで対策できる場合もあります。

DDos攻撃の場合、攻撃元が膨大になるので現実的ではないんですね。

有効な対策としては

WAFを導入する

こととされています。

WAFとは

WAFは、Webアプリの通信を監視するセキュリティシステムのこと。

不審なIPアドレスのアクセス制限だけでなく、サイバー攻撃を防いだりWebアプリケーションの脆弱性を補う機能も備わっています。

DDos攻撃への対策ツールとしても有効です。

WAF機能があるVPSサービス

●ConoHa VPS　※WAF機能は月額2541円～。

●さくらのVPS　※EGセキュアソリューションズ株式会社が開発する純国産のホスト型WAF製品「SiteGuard Server Edition」を無料提供

エックスサーバーやロリポップ！など共用サーバーではWAF機能は標準で装備されていることが多いです。

SQLインジェクション攻撃の対策

SQLインジェクション攻撃への対策としては

データベースサーバーのログを監視・解析する　※攻撃用に注入されたSQL文の発見　権限昇格によるシステムログへの攻撃を察知
入力フォームに想定されている文字以外を入力禁止にする　選択式にする
脆弱性診断をする
セキュリティソフトの導入

があります。

Webサイトの脆弱性を狙った５つの攻撃とは　

セキュリティチェックツール3選！サイトの脆弱性を確認しよう！

今回の記事の関連記事になります。

気になる記事があったら読んでみてくださいね。