境界防御の設計 iptables
Pro会員限定上級約49分8レッスン
iptables のルールを読み解き、必要な通信だけを許可する境界防御を点検します。DROP ログから誤って塞いだ通信と偵察を読み分け、必要な許可の追加・外向き（egress）通信の制限・iptables-save による保存まで、検知と防御の観点でファイアウォールを是正します。
対象者: ファイアウォールのルールを読み、検知と防御の観点で点検・是正したい方
前提知識: Linux 上級の iptables（lxadv-firewall）修了程度。本講座は検知・防御設計の観点を扱います
この教材を終えると、できるようになること
- iptables -L に -v を付けてルールを読み、条件を取り違えずに許可されている通信を把握できるようになる。
- iptables -S で、ルールを投入コマンドの形（保存・再現向き）で読めるようになる。
- カーネルログの DROP 記録から、攻撃の偵察と正常通信の巻き添えを読み分けられるようになる。
- OUTPUT チェーンのポリシーとルールを確認し、egress 制限の重要性を説明できるようになる。
- 許可されている宛先ポートを抽出し、最小許可とデフォルト拒否になっているかを点検できるようになる。
- 必要な通信の許可を、送信元を絞って正しい位置に挿入し、iptables-save で永続化できるようになる。
…ほか 1 項目（レッスン一覧をご覧ください）
修了後の姿: 攻撃を痕跡から理解し、検知・防御・ハードニングを設計して、インシデントを根本原因から再発防止まで導けるセキュリティエンジニアへ。
Chapter 1ファイアウォールを点検し是正する
ルール・DROP ログ・デフォルトポリシー・egress の観点で境界防御を点検し、許可の追加と egress の制限を行います。
- 許可ルールを読むどの通信が許可されているかを番号付き・カウンタ付きで読む約6分（有料会員限定）
- ルールを再現可能な形で読むiptables -S でルール仕様を確認する約5分（有料会員限定）
- DROP ログを読む落とされた通信から偵察と巻き添えを読み分ける約6分（有料会員限定）
- 外向き通信（egress）を点検するOUTPUT が野放しだと C2 通信を許してしまう約5分（有料会員限定）
- 最小許可を確かめる許可されている宛先ポートが必要最小限か約5分（有料会員限定）
- 巻き添えを直して許可を足す監視サーバーの 9100 番を送信元を絞って LOG より前に挿入し、保存する約8分（有料会員限定）
- 外向き通信を制限するOUTPUT に必要な通信だけを許可し、既定を DROP にして保存する約9分（有料会員限定）
- 確認クイズ: 境界防御の設計 iptablesルールの読み方・DROP ログ・許可の追加・egress・保存約5分（有料会員限定）