webサーバーのセキュリティーに関して

Question

freeBSDのwebサーバーを管理しております。
ただいま、セキュリティーの一環としてサーバーへウイルス対策ソフトの導入を検討しております。
しかしその経験や、そもそも【Linuxにウイルス対策ソフト不要説】などがあり、デファクトスタンダードを教えていただきたくお願い致します。

ちなみに導入するとしたら【Clam Antivirus】を予定しております。
定時チェックで夜間にのみ検査すればいいのか、リアルタイム監視させたほうがいいのか？ その両方か？
【Clam Antivirus】がどのくらいリソースを使うかもわかっておりません。

その辺、誠に恐縮ですがトータル的なアドバイスを頂けたらと思います。

Answer 1

まず、ユーザーが適当にプログラムを立ち上げるようなクライアントマシンと違って、基本的には決まったプログラムを動かすだけのサーバの場合、ウイルス対策ソフトの優先順位はそこまで高くありません（第三者が外部から持ち込んだプログラムを実行できるとしたら、その段階ですでに大問題です）。

とはいえ、負荷的に問題ないなら入れておいて損はないと思います。メールとかユーザーからのアップロードのように頻繁に書き換わる領域だけ毎日チェック、ディスク全体は週1～月1程度でチェック、という程度でいいかなと思います。

Comments

[LineLine]

FTPにてファイルをアップロードするのでクライアントPCから混入する恐れがあります。
どのソフトが高負荷になるかも切り分けができていない状態でして、もしおすすめの対策ソフトがありましたらご教授いただければと思います。

[maisumakun]

それは、「第三者も」FTPでアクセスするようなサーバを構築するということでしょうか。

[LineLine]

はい。業者にコーディングを依頼することもあり、現状はそうなっています。
なので恐ろしく、対策が必要かと考えています。

Answer 2

利用者がFTPなどでファイルをアップロードする昔ながらのWebサーバだと見受けました。ユーザーが任意のファイルを置けるということはすなわち管理者がサーバ内のファイルに責任を持てないということで、この場合、ウイルス対策はしておいた方がいいです。アカウント情報を知っている人が多いので漏洩リスクも高く、漏洩したアカウントを用いて不正ファイルをアップロードされ、配信サーバとして利用されるということもあり得ます。不正ファイルと言ってもウイルス対策ソフトですべてが検出されるわけではありませんが、第三者への配信に利用されると加害者の立場になってしまいますので、対策はしておいた方がよいです。

アップロードのタイミングでチェックしておけばたいていはよいのですが、いわゆるパターンファイルの対応のタイムラグみたいなものもありますので、リアルタイム検索にしておいた方がよいでしょう。よっぽど高負荷のサーバで無い限り今どきウイルス対策ソフトの負荷なんて誤差の範囲です。

Windows用のウイルス対策ソフトはWindows用のウイルスしか検出しない、○○OS用のウイルス対策ソフトは○○OS用のウイルスしか検出しない、というわけではありませんので、そこはあまり気にする必要はありません。

ただ、このような利用形態だとユーザーが誤って公開してはいけないファイルを公開するような事故がまま起きますので、ウイルス対策以前にアップロードのログと実際のファイルを確認することも検討した方がよいです。それができるのであれば、ウイルス対策ソフトの必要性は下がってきます。

(ところでFTPと書いてあるのですがインターネット経由でのアクセスならFTPは止めましょう)

Comments

[LineLine]

的確な回答をありがとうございます。
ご認識の通りです。
プラスで質問なのですが、常駐監視とcronで定期的なチェックを行おうと考えています。
定期的なチェックの頻度はどの程度（週一？　月一？）で、どの領域（web領域？　全体？）まで見ればベストでしょうか？
所感でも構いませんのでご教授いただければと思います。

[suzukis]

正しくは「ファイルの容量とアップロード頻度を勘案して適切に設定します」という答えになりますが、まぁ大した負荷でもないですしバカみたいに大きなストレージで何時間もかかりますと言うので無い限り毎日深夜にやっておけばいいんじゃないでしょうか。

[LineLine]

ありがとうございます。

Answer 3

FTPにてファイルをアップロードするのでクライアントPCから混入する恐れがあります

どういう利用形態でしょうか？例えば、第三者がWindowsPCからアップロード・ダウンロード可能なら、「Linuxのウイルス」の検知よりも「Windowsのウイルス」の検知の方が重要かもしれません。
Aさんがウイルス入りファイルをアップロードして、アンチウイルスソフトを入れていないBさんがそれをダウンロードした場合、Bさんから責任を問われる可能性はありますか？あるなら、「Windowsのウイルス」や「Macのウイルス」等の検知が必要ですね。
社内システムとかで、利用者がクライアントにアンチウイルスソフトを入れてないことがあり得ないとかであれば、その必要は無いです。

Comments

[LineLine]

利用用途はHPなどのサーバーでFTPで実ファイルを置きます。
基本的には社内からのアップ／ダウンですが、まれにサーバーを返して業者とのやり取りがあります。社内のウイルス対策ソフトはリアルタイム監視と定時検査を行うので問題ないと考えています。
しかしウィルス対策ソフトでも最新のウイルスの見落としや業者のセキュリティー状態もあり、サーバーでも対策をと考えています。
また、ドライバーの更新や、各システムのアップデートでウィルスやマルウェアが混入しないとも言い切れないと考えています。
それでもサーバーのウイルス対策は不要なのでしょうか？

[otn]

> それでもサーバーのウイルス対策は不要なのでしょうか？
Windows/Macのウイルスチェックの話ですか？Linuxのウイルスの話ですか？両者は全く別目的です。
アンチウイルスソフトで防御されたPCとしかファイルをやりとりしないのなら、Windows/Macのウイルスチェックはサーバーでは不要でしょう。
Linuxのウイルス稼働を懸念しないといけない環境では、Linuxのウイルスチェックは必要でしょう。

[LineLine]

クライアントPC（Windows/Mac）はウイルス対策ソフトを導入の上、デイリーでスキャンをかけています。しかし協力会社もUNIXサーバーにアクセス（FTP）します。向こうには向こうのポリシーがあるとは思いますが、弊社として万全を期さないと、と思っております。
【Clam Antivirus】の導入を予定しているのですが、そのソフトの所感などありますでしょうか？

Answer 4

単純にWEBサーバと書かれておりますが、
どのような用途となりますでしょうか？

たとえばファイルサーバ的（DropBox的サービス、ownCloudとか、、、）な用途として運用されている場合は、誰かがウィルス付きのファイルを持ち込む可能性が否定できません。
これが、サーバに感染する、という可能性を考えることもありますが、
それよりも、ウィルス付きのファイルが、ほかのユーザにも、ばらまかれる可能性、こちらが怖いです。
このような場合には、ウィルス検知ソフトをサーバに入れ、アップロードされたファイルを除外するようにすることを考えます。

ただし、基本としては、どのような経路でそのサーバにアクセスできるようにしているのか？
という点が、まずは基本的な考えでは、と思います。
メンテナンス用にＳＳＨがあいているとか、ＦＴＰがあいているとか・・・
さまざまな状況あるかと思いますが・・・。

どちらかというと、ウィルス云々よりも、乗っ取られるという問題の方が怖いかと思います。

先の回答の方もかかれていますが、サーバ用途において、通常の運用領域（ＷＥＢサービスで公開されていな部分）に、そもそも外部侵入されて、ウィルスを置かれる・・・
というのは、管理上の設定（ＳＳＨとかＦＴＰとか）の問題であると、考えるのが普通です。これは、ウィルス検知ソフトの仕事ではありません。

よって、ウィルス検知ソフトよりも、ファイアーウォールなどの経路関連をきっちりする、という事がよくいわれているのかと思います。

Comments

[LineLine]

Apacheサーバーという方が正確でした。すみません。
ファイルサーバーではないのですが、FTPでファイルを配置するという意味では近いかもしれません。
社内クライアントPCはリアルタイム監視と一日一回の定時検査をしています。
またDMZではなく、サーバーでポート制限（http,https,ftp）をかけています。
ただFTPアカウントが流出してしまうと、inet.confなどのファイルを上書きされて結局ポート制限なども無意味かなぁ、と思ったり。無論、ftpアカウントの権限は制限しております。
しかし、ドライバーの更新や、各システムのアップデートでウィルスやマルウェアが混入しないとも言い切れない、とも考えています。
ので業界的にはどうゆうのが一般的かと思って質問した次第です。