本来、別の用途で作っていたこれがはからずも役立ちました。
上述したredmine、
スケジュールの他に「プロジェクト」に分け、様々なことを記録。Webアクセスできる環境ならばメモができる仕組みを整えていたのが幸いしました。
ここに、以下のようにして、今回の療養について記録をしています。
「2022/07/11の記録」といったようにチケットを発行し、
を記していくという次第。
これなら、後で検索を行えますし、症状の改善/悪化を追うことができます。
なにより、この「療養」も立派なプロジェクトの一つ。成功と完遂を祈るばかりです。
Mod Securityを導入して一昼夜――
公表していないURLであるにも関わらず、しっかりと攻撃の予兆がログに現れました。
※この方法で、サーバにアクセスすることなく、redmineへのログを一元管理しています。
この、不正アクセスの予兆を示したアクセス元を調べると
Torから来ている望ましくないものまであり、昨今の驚異を嫌でも感じずにいられません。
そこで、Apacheの設定ファイルではなくMod Securityの機能を用いてIPアドレスを遮断していきます。
参考：
Apache×Mod SecurityでカンタンWAF構築
https://qiita.com/m0nch1/items/ac7255399366fb113a82
すべて管理者権限で実施しています。
vi /etc/apache2/sites-available/VIRTUALHOST.conf
# 使っているバーチャルファイルに読み替えます## Negativelist
SecRule REMOTE_ADDR "@pmFromFile negativelist.txt" "phase:1,id:2,deny,msg:'Negativelisted IP address'"vi /etc/etc/apache2/sites-available/negativelist.txtXXX.XXX.XXX.XXX
YYY.YYY.YYY.YYY
#ブロックしたいIPアドレスを記入していきます
# 設定確認のため、自分自身のアクセス元を記入しましたcd /etc/apache2/site-enabled
ln -s ../sites-available/negativelist.txt negativelist.txt
# 設定ファイルの位置を明示していないのでシンボリックリンクを張りますapache2ctl configtest
#Syntax OK を確認します
systemctl restart apache2上記手順で、「自分自身をブロックする」設定を入れ、redmineにアクセスして「403」が返ってくることとエラーログにその旨が記録されていることを確認。(その後、このアドレスは削除しています)
などが必要になってきます。
インターネット環境に構築したredmineに不正アクセスが飛んでくるというエントリーを投稿したところ、
「Mod Security導入も一つの手」
というコメントをいただき、早速導入することにしました。
全て管理者権限で実施しました。
aptitude update
aptitude upgradeaptitude install libapache2-mod-security2
systemctl restart apache2cp -pi /etc/modsecurity/modsecurity.conf-recommended /etc/modsecurity/modsecurity.conf
cd /tmp
git clone https://github.com/SpiderLabs/owasp-modsecurity-crs.git
cd /owasp-modsecurity-crs
cp -pi crs-setup.conf.example /etc/modsecurity/crs-setup.conf
cp -pir rules/ /etc/modsecurity/vi /etc/apache2/mods-available/security2.conf<IfModule security2_module>
# Default Debian dir for modsecurity's persistent data
SecDataDir /var/cache/modsecurity
# Include all the *.conf files in /etc/modsecurity.
# Keeping your local configuration in that directory
# will allow for an easy upgrade of THIS file and
# make your life easier
IncludeOptional /etc/modsecurity/*.conf
Include /etc/modsecurity/rules/*.conf
</IfModule>systemctl restart apache2vi /etc/apache2/sites-available/VIRTUALHOST.conf
# 各自のバーチャルホストファイルに読み替えます# Mod Security
SecRuleEngine On
## ModSecurity有効化
SecRequestBodyInMemoryLimit 524288000
SecRequestBodyLimit 524288000
## ファイルのアップロードをできるようにします。
SecRuleRemoveById 949110
SecRuleRemoveById 941310
SecRuleRemoveById 980130
SecRuleRemoveById 911100
SecRuleRemoveById 200002
SecRuleRemoveById 200003
## 上記を無効化しないとチケット更新時にエラーとなりました(偽陽性)ため、上記ルールを除外します。
SecRule ARGS:modsecparam "@contains test" "id:4321,deny,status:403,msg:'ModSecurity test rule has triggered'"
## テスト用の検知パラメータを付け加えます。systemctl restart apache2ブラウザから
http://your-site-domain/redmine/?modsecparam=test
にアクセスし、「Forbidden」が表示されることを確認します。
また、
をそれぞれ確認しました。
「ありそうでなかった」というよりも「導入後、これなしでは考えられない」レベルに達したいいプラグインを手に入れました。
タイトルにあるように、Redmineにキーボードショートカットを追加するプラグインです。
cd /var/lib/redmine/plugins
# 各自のplugin配置ディレクトリに読み替えてください
sudo -u www-data git clone https://github.com/davidegiacometti/redmine_shortcuts.git
systemctl restart apache2特にありません。導入後、redmineのトップページに
Redmine shortcuts
と表示されます。こちらをクリックすると
と、ショートカットのサマリーが表示されます。
特に便利だと思ったのがMarkdown記述をするときのショートカット。
強調したい文章を囲み、「Ctrl + B」すると
自動的にMarkdownを補完してくれます。さながら、redmineが高機能エディタとして使えるわけです。
redmineはプラグインによる機能追加が最大の魅力。ですが、導入後、
により、画像のようなエラーが多々発生して全てのページが閲覧できない事象が発生します。
今回、それらを解消する方法をメモとして記載します。
全て管理者権限で実施しました。
cd /var/lib/redmine/plugins
# 各自のplugin配置ディレクトリに読み替えてください
bundle exec rake redmine:plugins:migrate NAME=[プラグイン名] VERSION=0 RAILS_ENV=productioncd /var/lib/redmine/plugins
# 各自のplugin配置ディレクトリに読み替えてください
rm -rf [プラグイン格納ディレクトリ]
systemctl restart apache2redmineのトップページにアクセスし、上記のエラー画像がないことを確認します。
AWS Lightsailを利用して外部公開しているredmine。(Apache2.4/redmine 4.2)
アクセスログを確認すると以下の不審なIPからログインを試みている痕跡がありました。
これは無差別攻撃を仕掛けられているのでは？ と思い、対処を行いました。
こちらのサイトを利用して、アクセス元のIPアドレスが攻撃を意図しているものかを確認します。
ものの見事に「Confidence of Abuse is 100%」と出ました。
ドメイン等を公称していなくても、この手の不正アクセスはついて回ります。
（自分が当初ローカルでredmineを構築したのは、これを避けるためだという明確な理由がありました）
本来なら「指定したIPのみ許可する」ポジティブリストにすべきですが、出先からでもアクセスしたいのでこの方法は使えません。
そこで、今回は対処療法と承知していても「不審なアクセスがあった元をブロックする」ネガティブリスト型で実施します。
参考：
https://notepad-blog.com/content/196/
今回、以下の環境で動作確認をしました。
/etc/apache2/sites-available
mkdir ../old
cp -pi redmine.conf ../old/redmine.conf.yyyymmdd
# バーチャルファイルは適宜読み替えてください<Location /redmine>
PassengerBaseURI /redmine
PassengerAppRoot /var/lib/redmine
Require all granted
</Location><Location /redmine>
PassengerBaseURI /redmine
PassengerAppRoot /var/lib/redmine
<RequireAll>
Require all granted
# 2022/05/23 from hoge
Require not ip xxx.xxx.xxx.xxx
</RequireAll>
</Location> PassengerBaseURI /redmine
PassengerAppRoot /var/lib/redmine
+<RequireAll>
Require all granted
+# 2022/05/23 from hoge
+Require not ip xxx.xxx.xxx.xxx/xx
# ブロックしたいIPを指定
# 後のメンテナンスを考えて、NWアドレス単位で指定します
+</RequireAll>
</Location>
apache2ctl configtest
# syntaxOK を確認します
systemctl restart apache2サービス再起動後、正常に表示されることを確認します。
（最初は自分がアクセスしているIPを指定して「redmineにアクセスできないこと」を確認した方が確実です）
AWSのACLならGUIでの設定は用意ですが、上述したように、今回の処置は対処療法にすぎません。また、ネガティブリスト型のブロックには限界があります。
他の効率的な方法や、アクセスされても被害の拡大を防ぐ手段を考えていくのが目下の課題です。
など、50音順で参照して確認したい情報は多々あります。その情報を確認するため、以下のプラグインを導入しました。
このように、「用語集」を追加できるプラグインです。
cd /var/lib/redmine/plugins
# 各自のplugin配置ディレクトリに読み替えてください
sudo -u wwww-data git clone https://github.com/torutk/redmine_glossary.git
# オリジナルからForkした4.2環境でも動くバージョンですcd ../
bundle install
bundle exec rake redmine:plugins:migrate RAILS_ENV=production
systemctl restart apache2
AWSによって外部環境からアクセスできるようになったredmine。思った以上に威力を発揮してくれました。
「1案件に付き1つのチケット」を発行しています。
例えば：ボドゲ会を執り行うスケジュールがあるとすれば
概要に主だった物（見切れているところに日時や場所）を記載し、
過程を書いておくことで「なぜその結論に至ったか」のフィードバックを行えます。
何より、外出先でも見られる/編集できるのは心理的な安心感ももたらしてくれました。
これらチケット管理に特に役立っているのがこの「かんばん」プラグイン。
などを一瞥できるのはとても便利。
また、
リマインダーメールはこちらでも設定したので、「適切な期日を設定していれば」漏れることもありません。
この手のプロジェクト管理ツール、使い方次第で個人用途のツールとなると実感です。
チケットに添付する添付ファイル。関連するものを放り込んでいくうちにどれがどれだか分からなくなるパターンが多々発生します。
それを解消するために添付ファイルそのものをカテゴライズします。
cd /var/lib/redmine/plugins
# 各自のplugin配置ディレクトリに読み替えてください
sudo -u wwww-data git clone https://github.com/HugoHasenbein/redmine_attachment_categories.git
cd ../
bundle install
bundle exec rake redmine:plugins:migrate RAILS_ENV=production
systemctl restart apache2
ファイルの添付時、カテゴリーごとにラベルを貼ることができます。
ローカル環境で大いに役立っているredmine。
「いっそのこと、スケジュール管理をこっちに一任してしまおう」
と決めたはいいのですが、自宅からしかアクセスできないのがネックとなります。
そこで採用した手段がこちらです。
AWSの従量課金が怖いなと思ったところで知ったLightsail。
と、言うことなしの環境でした。
以下のようにしました。
無事、QualysのSSL強度チェックでも最高評価「A+」を撮ることが出来たので一安心。（この方法は別途記事に起こす予定です）
Powered by WordPress & Theme by Anders Norén