はじめに
この記事では、インターネットにWebサーバを公開する際に必要な具体的なセキュリティ対策を、やさしく丁寧に解説します。
目的
自宅や社内で運用する自前サーバやVPSを安全に公開するための全体像と、現場ですぐ使える実践的なポイントを提供します。専門書のように難しい理論に偏らず、日常的に役立つ手順や注意点を中心にまとめます。
想定読者
エンジニア、情シス担当者、個人開発者など、これから公開を検討する方を想定しています。基本的な操作が分かる方を前提としますが、専門用語は最小限にし、具体例で補足します。
本記事で得られること
- 公開リスクの把握と対策の優先順位
- 実務で必要な設定や運用の考え方
- 次章以降で扱う具体的手順（公開ディレクトリの扱い、サーバ設定の必須項目など）への導線
読み進めることで、漫然と公開するのではなく、安全に配慮した運用ができるようになります。
なぜWebサーバ公開には強固なセキュリティが必要なのか
はじめに
インターネットにWebサーバを公開すると、世界中から常にアクセス対象になります。見えない相手から狙われるリスクを理解することが第一歩です。
全世界からのスキャンと攻撃
攻撃者や悪意ある自動ツールはポートや脆弱性を常時スキャンします。たとえば未更新のFTPや古いCMSプラグインは、誰でも簡単に見つかりやすい弱点です。
侵入されると何が起きるか
一度侵入されると、サーバは踏み台にされ社内ネットワークへ横展開される恐れがあります。ファイルの改ざん、情報漏えい、マルウェア設置といった被害が発生します。
脆弱性と更新の重要性
OSやミドルウェア、CMSの脆弱性は日々発見されます。公開後も定期的にアップデートやパッチ適用を続けることで、既知の攻撃を防げます。
継続的な対策の必要性
対策は公開時だけで完結しません。ログ監視やバックアップ、アクセス制御の見直しを継続し、異常を早期に検知して対応する体制を整えてください。
Webサーバに求められる基本セキュリティ対策の全体像
レイヤ構成と全体像
Webサーバの安全対策は層ごとに整えると効率的です。OSやミドルウェア、ネットワーク、アプリケーション、公開ファイル、監視・運用の6つの視点で考えます。それぞれに具体的な対策を組み合わせると全体の強度が上がります。
サーバOS・ミドルウェアレベル
まずOSやWebサーバ、PHPは常に最新の安定版に更新してください。不要なサービス（例: 古いFTP）は停止し、ユーザー権限は必要最小限にします。SSHはパスワードログインを止めて鍵認証に切り替えると安全性が格段に上がります。
ネットワーク・周辺機器レベル
ファイアウォールで不要なポートを閉じ、HTTP(80)とHTTPS(443)だけを開くようにするのが基本です。管理画面はIP制限や別ポートで公開し、IDS/IPSやUTMで攻撃を検出・遮断する運用を取り入れてください。
Webアプリケーションレベル
入力は必ず検証します。SQLにはプレースホルダ、画面出力は適切なエスケープでXSSを防ぎます。ファイルアップロードは拡張子とサイズを制限し、保存場所も工夫してください。管理画面は多要素認証やアカウントロックを導入しましょう。
公開コンテンツ・ファイル配置レベル
機密情報（設定ファイルや鍵）は公開ディレクトリの外に置きます。アクセス制御や.htaccessによる制限、ファイル名の検証でディレクトリトラバーサルを防ぎます。
監視・運用レベル
ログを定期的に確認し、不正なアクセスや改ざんの兆候を検知します。バックアップを自動化し、定期的な脆弱性診断で弱点を早めに見つけて対処してください。
公開ディレクトリに機密データを置かないという大原則
公開領域とは
公開領域（ドキュメントルート）は、ブラウザから直接アクセスできるフォルダです。ここに置いたファイルは原則として誰でも閲覧可能になります。
なぜ置いてはいけないのか
誤って機密情報が公開されると顧客情報や営業資料が外部に漏れ、信頼と損害につながります。バックアップや旧版の設定ファイルも同様に危険です。
置いてはいけない具体例
- 顧客リスト、社内資料（CSV、XLSXなど）
- データベースのバックアップ（.sql、.bak）
- 設定ファイル（.env、config.php など）
- .git ディレクトリや旧版ファイル
安全な保管場所と対処方法
公開領域の外に移動してください（例: /var/private や専用ストレージ）。不要ならサーバから削除します。クラウドを使う場合は適切なアクセス制御を設定してください。
誤配置時の防止と緩和策
- ファイル権限を見直し、最小権限にします（例: 600、所有者のみ読み書き）。
- Webサーバで当該拡張子を拒否する設定を行います（.htaccess やサーバ設定）。
- パスの正規化と検証を行い、”..” のような入力を拒否します。realpath を使ってドキュメントルート外か確認します。
- ディレクトリ一覧表示を無効にします。
簡単チェックリスト
- 機密ファイルはドキュメントルート外にあるか
- 不要ファイルは削除済みか
- 権限とサーバ設定で直接参照を防いでいるか
以上を定期的に点検し、安全を保ってください。
サーバの基本セキュリティ設定 7つの必須項目
この章では、公開サーバに最低限必要な7つの設定を具体例を交えてわかりやすく説明します。初期設定と日常の運用で必ず確認してください。
1. 管理者アカウント名の変更
初期の「admin」や「root」は攻撃者に狙われやすいです。推測されにくい名称に変更し、普段は権限の少ないアカウントで作業します。例：admin123ではなくweb_mgr_2025のようにします。
2. セキュリティパッチの適用・最新状態の維持
OS、Webサーバ、PHP、CMSなどの更新を定期実行します。週次でパッチを確認し、自動更新を利用できる部分は有効にします。具体例：aptやyumでの更新スクリプトをスケジュールします。
3. 安全なパスワード設定と使い回し防止
長いパスワードやフレーズを使い、サービスごとに使い回さないでください。パスワードマネージャを活用し、多要素認証（TOTPや物理キー）を導入します。目安：12文字以上のフレーズ。
4. ログ管理と不審な動きの検知
ログを集中管理し保存期間を定めます。不審なログインやアクセス集中を自動で検知する仕組みを入れます。例：ログを別サーバへ転送し、失敗ログが一定回数を超えたら通知します。
5. 不要なサービス・アプリケーションの停止・削除
使わないサービス（例：FTPや古いデーモン）は停止か削除して攻撃対象を減らします。インストール済みのサンプルアプリやデフォルト設定も削除してください。
6. 不要なアカウントの削除
退職者やテスト用アカウントは速やかに無効化・削除します。定期的にアカウントの棚卸しを行い、不要な権限を削減します。
7. ネットワークアクセス制御による不正閲覧防止
ファイアウォールやセグメントで管理画面や非公開データのアクセスを制限します。管理画面は特定IPやVPN経由のみ許可するなどネットワークレベルで守ります。
これら7項目は、初期設定と日常運用で必ず押さえるべき基本対策です。チェックリスト化して定期点検を行ってください。
