Proxmox Home Lab のセキュリティ対策：ステップバイステップガイド

Proxmoxの機能や性能をより深く理解するために、新規ユーザーは”Proxmoxホームラボ”と呼ばれるProxmoxホストを使用してテスト環境を構築することを好みます。Proxmoxホームラボのセットアップにおいては、適切なセキュリティ対策を講じることが不可欠です。このブログ記事では、データ損失を防ぎ、サイバー脅威から保護するために実施すべきProxmoxのセキュリティに関するベストプラクティスについて解説します。

Proxmox向けNAKIVOバックアップ

Proxmox VE 向けのエージェントレスでアプリケーションを認識するバックアップ機能。不変のクラウドバックアップを含む複数の保存先に対応しています。インスタントな粒度別復元や完全復元など、複数の復元オプションを用意しています。

ソリューションをご覧ください

Proxmox Home Labのセキュリティ対策が不可欠な理由

適切なセキュリティ対策が講じられていない場合、Proxmox環境はサイバー脅威、データ漏洩、不正アクセスに対して脆弱になる可能性があります。Proxmoxホームラボのセキュリティは、個人利用・業務利用のいずれにおいても極めて重要です。Proxmoxホストに不正なユーザーがアクセスすると、ホストや仮想マシンが脅威にさらされる恐れがあり、 NASデバイス およびネットワークに接続されているその他のホスト。不正アクセスは、マルウェアやランサムウェアへの感染につながり、データの漏洩や損失を引き起こす可能性があります。Proxmoxホストは通常、物理ハードウェア上で動作するため、攻撃者はこれらのハードウェアリソースを利用して、仮想通貨のマイニング、その他のサイバー犯罪活動、Proxmoxホストをボットネットの一部に組み込むこと、悪意のあるスクリプトの実行などを行う可能性があります。これらの要因により、ホストや仮想マシンのパフォーマンスが著しく低下する恐れがあります。

Proxmox の必須セキュリティ対策

Proxmoxのホームラボへの不正アクセスリスクを軽減するためには、Proxmox環境のセキュリティ対策方法を理解し、必須のセキュリティ対策を実施する必要があります。

強力なパスワードを設定し、2段階認証を有効にしてください

管理者アカウントには強固なパスワードを設定することが、最初の防衛線となります。8文字以上の固有のパスワードを使用してください。パスワードには、小文字、大文字、数字、特殊文字を含める必要があります。覚えやすいように、これらの要件を満たすパスフレーズを使用することもできます。複雑性の要件を満たす強固なパスワードは、ブルートフォース攻撃では容易に破ることができないため、攻撃者に対する障壁となります。セキュリティをさらに強化するには、二要素認証を設定することができます(多要素認証(MFA または 2FA)。Proxmox では、時間ベースのワンタイムパスワード(TOTP)や YubiKey OTP を使用するなど、さまざまな方法で二要素認証を設定できます。認証設定は、 権限 > 二要素認証 Proxmox VEのWebインターフェースで。

SSHアクセスのセキュリティ強化

Proxmoxの管理はグラフィカルなWebユーザーインターフェースを介して行われますが、最も詳細な設定はSSH接続を介してコマンドラインで行うことができます。 Proxmox ホストには、Linux マシンでのホスト管理と同様に、SSH サーバーが利用可能です。攻撃者がホストへの SSH アクセス権を取得できれば、完全なアクセス権を得てマルウェアを実行することが可能になります。不正アクセスのリスクを軽減するために、追加のセキュリティ対策を実施することができます。例えば、標準の SSH ポート(22)をカスタムポート(9522)に変更したり、root ログインを無効にして、 sudo 管理者権限を取得するためです。SSH経由でログインする際、パスワードの代わりに公開鍵を使用するには、より複雑な設定が必要ですが、セキュリティを向上させることができます。

ネットワークのセグメンテーションのためにVLANを導入する

以下の設定を検討することをお勧めします。 VLAN ProxmoxホストやVMに接続されたネットワーク上で、セキュリティ上の脆弱性がある可能性のあるデバイスを接続したい場合。VLANは、OSIモデルの第2層におけるネットワークのセグメンテーションに使用され、同じ物理ネットワーク上のデバイスを論理的に分離することができます。ホームラボでProxmox VEにVLANを使用する例としては、次のようなものがあります:

• 管理用VLAN: ProxmoxのGUI、SSH、および管理ツールのみに限定されます。
• VM VLAN: Webサーバー、データベース、開発環境などの特定のワークロード向け。
• ストレージVLAN: NAS、NFS、iSCSI、またはProxmoxバックアップサーバー専用です。
• IoT VLAN: スマートホーム機器を重要インフラから分離する。

VLAN を使用することで、攻撃対象領域を最小限に抑え、次のような利点があります。

• 異なるVLAN間でのマルウェアの拡散を抑制します。
• セキュリティ侵害を受けたVMがProxmoxの管理機能にアクセスするのを防止します。
• サービス間の厳格なアクセス制御を実施します。

たとえば、VLAN 20 に接続された仮想マシンがマルウェアに感染し、ネットワーク上で拡散した場合でも、VLAN 10 に接続された Proxmox ホストの管理インターフェースにはアクセスできません。OSI モデルの第 2 層で VLAN を設定するだけでなく、OSI モデルの第 3 層で Proxmox のファイアウォールおよびファイアウォールルールを設定することをお勧めします。

• ProxmoxへのSSHアクセスは、管理用VLAN 10(192.168.10.0/24)からのみ許可してください。
• ゲストVLAN 30 (192.168.30.0/24) と Proxmox 管理VLAN 間のすべての通信を拒否する。
• ネットワーク全体ではなく、NASへのアクセスを必要とするVMのみにアクセスを許可してください。

Proxmox ホームラボ向けの VLAN アーキテクチャの例を、以下の表に示します。

マネージドスイッチを使用して、VLANを作成し、Proxmoxに接続されているポートにタグを付けます。VLANは、Proxmoxのネットワーク設定で以下を編集することで作成できます。 /etc/network/interfaces以下は、ブリッジ接続されたインターフェース上でVLANを作成するための設定ファイルの内容例です:auto vmbr0iface vmbr0 inet manual bridge-ports eno1 bridge-stp off bridge-fd 0 # 管理用VLAN(ID 10)auto vmbr0.10iface vmbr0.10 inet static アドレス 192.168.10.2/24 vlan-raw-device vmbr0 # VM VLAN(ID 20)auto vmbr0.20iface vmbr0.20 inet static アドレス 192.168.20.2/24 vlan-raw-device vmbr0

試してみてください NAKIVO Backup & Replication Proxmox VE用

15日間の無料トライアルをご利用いただくと、ネイティブな変更追跡機能、不変ストレージ、および即時フル復元・詳細復元オプションを備えた、エージェントレスで増分方式のProxmox VMバックアップを実行できます。

無料でお試しください

不要なポートへのアクセスを制限する

攻撃者は、さまざまなサービス用の開いているポートを悪用し、既存の脆弱性を突いてProxmoxホストにアクセスする可能性があります。ファイアウォールを使用して不要なポートへのアクセスを遮断するか、ProxmoxのIPアドレスおよび特定のポートへのアクセスを制限し、手動で定義した信頼できるIPアドレスからのみアクセスを許可するようにしてください。Proxmoxは Linuxベースの Proxmox VE では、iptables ベースの強力なファイアウォールが採用されています。Proxmox クラスタを使用している場合、ファイアウォールは設定を保存し、各クラスタノード上で動作します。Proxmox VE の Web インターフェースで Proxmox ファイアウォールの設定にアクセスするには、次の場所に移動してください。 データセンター > ファイアウォール > セキュリティルール そして、カスタムファイアウォールルールが設定された新しいグループを追加します。

ファイアウォールまたはルーターの仮想マシンをセットアップする

Proxmoxホストまたはクラスター上でファイアウォールを実行することで、Proxmoxホームラボ内のProxmoxホストだけでなく、それ以外のデバイスも保護することができます。 ファイアウォール専用に設定したVMを構築することで、ネットワーク全体および接続されたすべてのデバイスを保護できます。この構成は、一般に” “仮想ファイアウォール” “または” “ファイアウォールVM” “アーキテクチャと呼ばれています。pfSenseやOPNsenseといった一般的なファイアウォールソリューションや、iptablesなどのLinuxベースのファイアウォールを、この方法で導入できます。なお、このファイアウォールVMを用いたProxmoxホームラボの構成は、Proxmoxホストが常時稼働している場合に便利です。 定期的に電源が切られる場合、ネットワーク全体で使用されているファイアウォールVMも電源が切れてしまいます。ネットワーク内のすべてのデバイスのインターネットアクセスにファイアウォールVMを使用している場合、これが問題を引き起こす可能性があります(この場合は、ファイアウォールとして設定された物理デバイスを使用する方が便利かもしれません)。ファイアウォールVMを使用するかどうかを決める前に、ご自身の環境におけるこの構成のメリットとデメリットを慎重に検討してください。

データ保護のためにZFSディスクを暗号化する

Proxmox ホストで ZFS ファイルシステムを使用しており、最高レベルのセキュリティが必要な場合は、Proxmox の ZFS 暗号化を有効にして、ストレージプールを暗号化し、データが保存されたディスクドライブへの不正アクセスを防止することを検討してください。ディスクやファイルシステムに対する操作を行う前には、十分注意してください。ストレージ構成を変更する前に、重要なデータをバックアップしてください。Proxmox ホストで ZFS プールを暗号化する例:zfs create pool-name/safe -o encryption=on -o keyformat=passphrase

Proxmoxをインターネットに公開しないでください

インターネットからProxmoxホストへの公開アクセスを有効にしないでください。外部からProxmoxホストへのアクセスを許可する必要がある場合は、IPアドレスとポート番号を明示的に指定して、特定のIPアドレスからのアクセスを許可するようにファイアウォールを設定してください。 この目的のために、ファイアウォールでポートフォワーディングを使用できます。あるいは、Proxmoxホームラボが設置されている環境内にVPNサーバーを構成し、VPN接続を使用して外部ネットワークからProxmoxホストにアクセスすることもできます。

Proxmoxのセキュリティの監視と監査

モニタリング ホームラボでProxmoxホストを運用することで、全体的なセキュリティレベルを向上させることができます。Proxmoxホストのログを監視し、CPU、RAM、ディスクの使用状況を常に確認してください。Proxmoxに組み込まれているログ機能が有効になっていることを確認してください:

• Syslog: /var/log/syslog – システムの一般的なログ。
• 認証: /var/log/auth.log – SSHおよびGUIを介したログインの試行。
• Proxmox固有のログ: /var/log/pve/ – Proxmox サービスに関連するログ。

さらに、専用の集中監視ツール(無料または有料のソリューション)を使用して、Proxmoxホストや仮想マシン上のゲストOSを監視することもできます。アラートや通知を設定し、問題が発生した場合はできるだけ早く対処できるようにしましょう。自動認証を設定する際は、以下の点に注意してください:

• 5分以内にSSHログインの失敗が5回以上発生しました。
• VMのCPU使用率が10分以上にわたり90%を超えている。
• Proxmox ホスト上で予期しない開いているポートが検出されました。

定期的な監査とセキュリティスキャンを実施してください。既知の脆弱性を修正するため、セキュリティパッチや更新プログラムを定期的に適用してください。最新のインフラストラクチャの変更を踏まえ、ファイアウォールのルールが最適化されているかを確認してください。

Proxmoxのバックアップをランサムウェアから保護する

Proxmoxのバックアップ機能を使用すると、Proxmox仮想環境内のデータを保護できます。仮想マシンを定期的にバックアップし、バックアップデータを安全な場所に保管してください。ランサムウェアが仮想マシンに感染してデータを復元不可能な状態で暗号化してしまった場合でも、バックアップから復元することでデータ損失を防ぐことができます。ただし、バックアップ自体もランサムウェアの標的となる可能性があります。バックアップの保存先やアプリケーションには、権限のあるユーザーのみがアクセスできるようにしてください。エアギャップ化されたストレージを使用し、 バックアップの不変性 ProxmoxホームラボおよびProxmoxのバックアップをランサムウェアから確実に保護するためです。エアギャップストレージとは、物理的に切り離されたハードディスクドライブ(HDD)、光ディスク、テープカートリッジなどを指します。バックアップの不変性とは、WORM(Write Once Read Many)方式を採用した機能です。データが一度書き込まれると、不変期間が満了するまでは、そのデータを変更または削除することはできません。NAKIVO Backup & Replication は、以下の機能をサポートする専用のデータ保護ソリューションです。 Proxmoxのバックアップ 仮想マシンおよび不変性について。不変のバックアップはローカルで設定できます バックアップリポジトリ Linuxに付属 トランスポーター, Amazon S3、クラウドおよびS3互換のオブジェクトストレージ。

結論

Proxmoxにおける効果的なセキュリティ対策には、強力な認証ポリシー、ネットワークのセグメンテーション、ファイアウォールによるアクセス制限、ProxmoxのSSHセキュリティ、環境の監視、データのバックアップ、およびランサムウェア対策などが含まれます。ラボ環境のProxmoxでこれらの対策を実施することで、マルウェア感染のリスクを軽減し、データ損失を防ぐことができます。使用方法 NAKIVO Backup & Replication ProxmoxのVMをバックアップし、不変性を利用してランサムウェアからバックアップを保護する。

試してみてください NAKIVO Backup & Replication

無料トライアルを利用して、本ソリューションのデータ保護機能をすべてお試しください。15日間無料。機能や容量の制限は一切ありません。クレジットカードも不要です。

無料でお試しください