さかなでブログ

Nessusを使ってFedoraのセキュリティ診断を行ったらhttpd（apache)に警告が見つかった。内容は「HTTP TRACE / TRACK Methods 」。説明を読むとどうやらapacheのトレースとやらが有効になっており、クロスサイトトレーシングという攻撃を受ける可能性があるらしい。クロスサイトトレーシングとはクロスサイトスクリプティングの仲間か？どうやらapacheはトレースがデフォルトで有効になっているらしい。

必要ないものは止めてしまおう。やり方は簡単。コンフィグ(httpd.conf)に

TraceEnable off

と記述するだけ。これで一つ安心が増えた。

同じくNessusのセキュリティ診断でbindにも警告が見つかった。そのうちの一つに「DNS AXFR」というものがあった。内容を読むとどうやらゾーン転送の設定が甘いらしいから制限しろと書いてある。ネットでゾーン転送の制限について調べる。問題がある場合、

＞ nslookup

・・・

＞ server 調査するサーバーのIP

・・・

＞ ls -d 調査するサーバーのIP

と入力すると登録されているレコードが丸見えになるらしい。ためしに自分のサーバーでやってみた・・・

・・・・わお！丸見え!!　これはまずい・・・。

早速ゾーン転送を制限する。コンフィグファイル(named.conf)の「options」のところに

allow-transfer { 許可するIP;｝;

と追加する。再度確認してみると今度は表示されなくなった。しかしこれに気づいていなかったとは恐ろしいなぁ。