16時58分お世話になっております。ネットワークセキュリティの考え方について質問です。理解不足の点もあるかと思いますが、ご協力のほどお願いいたします。G3を用いて製品開発を実施しており、ネットワークセキュリティをどう担保するかを検討しております。不要ポートを閉じたり、不要なサービスを起動しない、といった対策が必要なことは理解しているのですが、どういった状態が対策できているとみなされるのかを具体的に把握したいです。1以下の認識があっていますでしょうか。-L”の実行結果では以下のようにsshポートはACCEPTになっています。これはssh(22)ポートは開放されていることを示すと認識しております。-a"の実行結果では以下のようにsshは表示されていないことからサービスとして立ち上がっていない(使用されていない)と認識しています。established)--------------以下略-----------------"nmap"の実行結果も同様にsshはopenになっていないことから通信不可の状態であることを示していると認識しております。セキュリティのリスク状態つまり、以下のような考え方です。上記のブログの例の場合、「sshはポートは開放状態だが、サービスは未起動なのでリスク中であり、リスクが高い状態ではない」といった考え方は一般的でしょうか?もちろんアプリケーションや使われ方にも依るので一概には言えないとは思いますが、、、ご参考程度でもいいのでご教示お願いいたします。抽象的な質問でもうしわけありませんが、何か参考になる情報等ご存知でしたらご教示のほどお願いいたします。dpt:ssh>ここでsshについて抜粋するのであれば、tcpの方が主として使われるので抜粋箇所がtcpではないのが気になりますが、1の理解は正しいです。2セキュリティ対策の考え方としては一般的に以下の考え方であっていますでしょうか?というより、最終的なソフトウェアの把握と運用が確定しているのであれば、iptablesでdropするのも、サービスが立ち上がっていないのも通信できないことに変わり無いため基本的には同程度です。完全に管理されているのであれば中も低も同じ状態ではあります。iptablesは一元的に通信の可否を設定できるため、運用ミスによる「うっかりサービスを有効にしてしまった。「アプリケーションの実装ミスで意図せずポートをacceptしていた」という状況を一括で拒否・許可できる上に、第三者からもポリシーが一覧して確認できるので、明確に説明できるメリットがあります。特定の条件でしか起動しないソフトウェアだと、netstatしても気づかないことは多々あると思います。いう条件で、まず第一にiptablesで厳密にdrop/acceptを決めて自社の運用ポリシーを確定したほうがリスク管理しやすいです。抽象的な質問でもうしわけありませんが、何か参考になる情報等ご存知でしたらご教示のほどお願いいたします。当社の採用しているLTEモジュールについては内部のファイヤウォール(というかNAT)の設定で、外部からのセッションをデフォルトで拒否しているので、インターネット側からの接続要求はできません。(一部製品については特別な設定をすることでファイヤウォールを開放することもできます。)つまり、LTE側についてはLTEモジュールの機構によってiptablesのINPUTがdropと等価いうことになり、特に何もしなくても比較的安全です。iptablesにdropルールを設定する意味は無いと思います。Armadillo側から開始したセッションは通るので、Armadilloでhttp(wgetするとか)、ssh等は開始できます。これについては、そういったアプリケーションを実行するかどうかの問題です。誰でもArmadilloにログインして自由にアプリケーションを起動して良い。いう運用であれば、iptablesでoutput側にも制約すると良いのですがあまり、そういう運用をする装置はArmadilloでは作らないとは思います。上記で回答いただいた内容を元にiptablesの設定を以下のように考えております。上記の目的を達成するためのiptablesの設定として考えているのが以下です。セキュリティ向上のためのFirewall設定として問題ないでしょうか?抜けている観点などありましたらご教示お願いいたします。組織のNW運用ポリシー等あるとは思いますが、提示された要件を満たした設定だと思います。上記で回答いただいた内容を元にiptablesの設定を以下のように考えております。塞いだところで経路情報はtcpでも取れるのでDoSの標的になりづらい程度の意味あいです。考慮された結果だとお見受けします。(※)デバイス側からクラウドに対してMQTT接続した際、確率した対象クラウドからの通信は許可これもとくに強く推奨するものでもないのですが、汎用的なサーバーと異なり機能を限定した装置としてArmadilloを運用するはずなので、OUTPUTを明示の上意図しないパケット送出はしない。いう運用ポリシーを明確に設定に反映するという考え方もあると思います。特権を取られる事態であれば、OUTPUTの制限は無意味です。一方で、確実に使うものだけ出ていくように設定した上で、ネットワーク内を別途監視している場合は、意図しないパケットが出てるという状況を確認しやすくなるメリットはあります。明示しておくと意図が明確になる。