Linuxサーバ対策：ディレクトリトラバーサル攻撃からWebインターフェースを保護する
ディレクトリトラバーサル攻撃は、攻撃者がサーバ上の機密ファイルやディレクトリを取得するのに悪用する一般的なWebアプリケーションの脆弱性です。カタログトラバーサル攻撃からWebインターフェイスを保護するためにとれる対策を以下に示します。
- 入力検証： ユーザーの入力を受け取る前に、入力を厳密に検証・フィルタリングします。ユーザーの入力が許可される文字のみと、指定されたフォーマット（例：英数字およびスラッシュのみ）を含むパスを確実にします。
- ファイルパスのセキュリティー：URLにファイルパスを直接使用してはいけません。代わりに、フロントコントローラまたはルーターを使用してURLを解析し、サーバー上の正しいファイルパスにマッピングします。これにより、サーバー上のファイル構造が直接公開されるのを防ぐことができます。
- ファイルの権限：サーバ上のファイルとディレクトリの権限が適切に設定されていることを確認してください。必要なユーザとプロセスにのみアクセス権を付与し、外部からのアクセスを制限してください。機密性の高いファイルやディレクトリを公開可能な状態で設定することは避けてください。
- 安全なファイルのアップロード：サイトでユーザーがファイルのアップロードを許可している場合、アップロードされるファイルの検証とフィルターを厳しく行う。ファイルの種類、サイズ、内容を確認し、サーバー上でファイルを安全な場所に保管する。
- ファイルの安全なダウンロード: Web サイトがファイルのダウンロード機能を提供する場合、ダウンロードされるファイルの厳格な検証とフィルタリングを確実に実施します。ユーザーから要求されたファイルのパスをサーバーに直接公開するのではなく、安全な方法を使用してファイルのダウンロードを提供します。
- ログモニタリング: サーバのアクセスログを定期的に監視し、異常なファイルアクセスを検出します。疑わしいディレクトリトラバーサルが見つかった場合は、該当するIPアドレスまたはユーザーへのアクセスを拒否するなどの対応を直ちに行います。
- ファイアウォールと侵入検知システム：ファイアウォールと侵入検知システムを設定し、悪意のあるディレクトリトラバーサル攻撃を監視してブロックします。攻撃の特徴やパターンに合わせて適切なルールとフィルタを設定し、攻撃行為をタイムリーに防御して遮断します。
ウェブインターフェースをディレクトリトラバーサル攻撃から守るには、入力検証、ファイルパスの安全性、ファイルパーミッション、ファイルアップロード・ダウンロードに関するセキュリティ、ログ監視、ファイアウォールと侵入検知システムなどの方策を総合的に考慮する必要があります。こうした方策を講じることでLinuxサーバに対するディレクトリトラバーサル攻撃の脅威を大幅に低減できます。
