ハードニング とは？

システムの設定を見直して、攻撃されにくい状態にすることだよ。たとえば家のセキュリティで言うと、使わない窓は板で塞いで、鍵を二重にして、暗証番号をデフォルトから変更する、みたいなイメージだね。

けっこう危険だよ。OSやソフトウェアの初期設定は「使いやすさ」を優先しているから、不要なサービスが動いていたり、デフォルトのパスワードのままだったりするんだ。攻撃者はまずそういう甘い設定を狙ってくるよ。

レイヤーごとに対策するよ。OSレイヤーなら不要なサービスの停止やファイアウォール設定、ネットワークなら不要ポートの閉鎖、アプリケーションならデフォルトアカウントの削除やエラーメッセージの抑制だね。全部で数十〜数百項目になることもあるよ。

CISベンチマークという業界標準のチェックリストがあるよ。Windows、Linux、AWS、Dockerなど技術ごとに具体的な設定項目がまとまっていて、「この設定をこう変えなさい」と手順まで書いてあるんだ。まずはこれに沿って進めるのが定石だね。

いい質問だね。ハードニングは一度やって終わりじゃなくて、継続的に見直す必要があるよ。新しい脆弱性が見つかったり、ソフトウェアをアップデートしたりすると設定が変わることがあるからね。定期的な監査も大事だよ。

むしろクラウドこそ重要だよ。S3バケットの公開設定ミスで情報漏洩する事件が後を絶たないんだ。IAMの最小権限設定、セキュリティグループの制限、暗号化の有効化など、クラウド特有のハードニング項目もたくさんあるよ。

そうだね。ちなみに日本では「Hardening競技会」というセキュリティイベントがあって、チーム対抗でサーバーのハードニングを競うんだ。攻撃チームが侵入を試みる中、制限時間内にどれだけ堅牢にできるかを競うんだよ。実践的なスキルが身につくから、セキュリティに興味がある人にはおすすめだね。