このドキュメントで説明するソフトウェアは、Extended SupportまたはSustaining Supportのいずれかにあります。 詳細は、https://www.oracle.com/us/support/library/enterprise-linux-support-policies-069172.pdfを参照してください。
Oracleでは、このドキュメントに記載されているソフトウェアをできるだけ早くアップグレードすることをお薦めします。

機械翻訳について

25.9.4 アクティブ・サービスの最小化

サービスを、サーバーで必要なサービスに制限します。 Oracle Linuxサーバーのデフォルト・インストールでは、次の最小サービス・セットが構成されます。

cupsdおよびlpd (印刷サービス)

sendmail (電子メール配信サービス)

sshd (openSSHサービス)

可能な場合は、各物理マシン、仮想マシンまたはLinuxコンテナに1つのサービス・タイプを構成します。 この手法により、システムが危険にさらされた場合に、漏えいを限度内にとどめることができます。

サービスが使用されていない場合は、そのサービスに関連付けられているソフトウェア・パッケージを削除します。 ソフトウェアの依存関係によりサービスを削除できない場合は、chkconfigおよびserviceコマンドを使用してサービスを無効化します。

使用中のサービスには、最新のOracleサポート・パッチおよびセキュリティ・パッチを適用して、ソフトウェア・パッケージを最新の状態に保ちます。 不正な変更を防止するには、/etc/servicesファイルがrootによって所有され、rootによってのみ書込み可能であることを確認します。

# ls -Z /etc/services
-rw-r--r--. root root system_u:object_r:etc_t:SystemLow /etc/services

特に指定されていないかぎり、システムで使用されていない場合は、次の表のサービスを無効化することを検討してください。

サービス

説明

anacron

コマンドを定期的に実行します。 主に、常時稼働ではないラップトップやユーザー・デスクトップ・マシンで使用されます。

apmd

(Advanced Power Managementデーモン)電源管理およびバッテリ・ステータスの情報を提供し、電源管理イベントへのプログラムされたレスポンスを可能にします。 主に、ラップトップ・マシンで使用されます。

automount

自動ファイルシステム・マウンタのマウント・ポイントを管理します。 自動マウンタ機能が不要なサーバーでは、このサービスを無効にします。

bluetooth

Bluetoothデバイスの接続をサポートします。 主に、ラップトップおよびユーザー・デスクトップ・マシンで使用されます。 Bluetoothを使用すると、攻撃対象領域が追加されます。 Bluetooth機能が不要なサーバーでは、このサービスを無効にします。

firstboot

インストール後の初回ログイン時に、システムを構成します。 /etc/rc.d/init.d/firstbootスクリプトによって制御されます。/etc/sysconfig/firstbootRUN_FIRSTBOOT=YESが設定されていないかぎり、firstbootは実行されません。 /etc/reconfigSysが存在する場合、またはカーネル・ブート引数でreconfigを指定する場合、firstbootは再構成モードで実行されます。 インストールの成功後、サーバーでこのサービスを無効にします。

gpm

(汎用マウス)テキスト・コンソールでマウス・ポインタをサポートします。

haldaemon

(Hardware Abstraction Layerデーモン)システムに接続されているデバイスのリアルタイム・データベースを管理します。 アプリケーションはHAL APIを使用して、新たに追加されたデバイスを検出し、相互作用できます。 主に、ラップトップおよびユーザー・デスクトップ・マシンでホットプラグ・デバイスをサポートするために使用されます。

警告

このサービスは、無効化しないでください。 多くのアプリケーションがこの機能に依拠しています。

hidd

(Bluetooth Human Interface Deviceデーモン)キーボードやマウスなどのBluetooth入力デバイスをサポートします。 主に、ラップトップおよびユーザー・デスクトップ・マシンで使用されます。 Bluetoothを使用すると、攻撃対象領域が追加されます。 Bluetooth機能が不要なサーバーでは、このサービスを無効にします。

irqbalance

マルチプロセッサ・システム上のプロセッサ間でハードウェア割込みを分散します。 この機能が不要なサーバーでは、このサービスを無効にします。

iscsi

iSCSIターゲットへのログインおよびiSCSIデバイスのスキャンを制御します。 iSCSIデバイスにアクセスしないサーバーでは、このサービスを無効にします。

iscsid

iSCSIプロトコルの制御および管理を実装します。 iSCSIデバイスにアクセスしないサーバーでは、このサービスを無効にします。

kdump

ブート時にkdumpカーネルをメモリーにロードしたり、システムの非常時にカーネル・ダンプを保存できます。 デバッグまたはテストに使用しないサーバーでは、このサービスを無効にします。

mcstrans

SELinux Context Translation Systemサービスを制御します。

mdmonitor

システム上のすべてのソフトウェアRAIDアレイのステータスを確認します。 ソフトウェアRAIDを使用しないサーバーでは、このサービスを無効にします。

messagebus

システム・イベントおよびハードウェア・イベントに関するその他のメッセージを、システム全体のD-BUSメッセージ・バスを介してブロードキャストします。

警告

このサービスは、無効化しないでください。 多くのアプリケーションがこの機能に依拠しています。

microcode_ctl

IA32プロセッサにのみ必要なマイクロコードを実行します。 このプロセッサのないサーバーでは、このサービスを無効にします。

pcscd

(PC/SCスマート・カード・デーモン)スマートカード・リーダーとの通信をサポートします。 主に、ラップトップおよびユーザー・デスクトップ・マシンでスマートカード認証をサポートするために使用されます。 スマートカード認証を使用しないサーバーでは、このサービスを無効にします。

sandbox

/tmp/var/tmpおよびpam_namespacesandboxおよびxguestアプリケーション閉込めユーティリティで使用するホーム・ディレクトリを設定します。 これらのプログラムを使用しない場合は、このサービスを無効にします。

setroubleshoot

sealertツールへのSELinux Access Vector Cache (AVC)拒否についての情報を提供するSELinuxトラブルシューティング・サービスを制御します。

smartd

ATA-3以降の多くのSCSI-3ディスク・デバイスに統合されている、Self-Monitoring, Analysis and Reporting Technology (SMART)システムと通信します。 SMARTシステムはディスク・ドライブを監視して、信頼性を測定し、ディスクの劣化および障害を予測して、ドライブ・テストを実行します。

xfs

メモリーにフォントをキャッシュして、X Window Systemアプリケーションのパフォーマンスを向上させます。

システムで使用されていない場合は、次のネットワーク・サービスを無効化することを検討してください。

サービス

説明

avahi-daemon

Appleのゼロ構成ネットワーキング(RendezvousまたはBonjourとも呼ばれます)を実装します。 主に、ラップトップおよびユーザー・デスクトップ・マシンで音楽およびファイルの共有をサポートするために使用されます。 この機能が不要なサーバーでは、このサービスを無効にします。

cups

一般的なUNIX印刷システムを実装します。 この機能を提供する必要がないサーバーでは、このサービスを無効にします。

hplip

HPのインクジェット・プリンタおよびレーザー・プリンタでFAX、印刷、スキャン操作をサポートする、HP Linux Imaging and Printingを実装します。 この機能が不要なサーバーでは、このサービスを無効にします。

isdn

(Integrated Services Digital Network) ISDNデバイス経由のネットワーク接続をサポートします。 ISDNデバイスを直接制御しないサーバーでは、このサービスを無効にします。

netfs

NCP、NFSおよびSMBなどのネットワーク・ファイル・システムをマウントおよびアンマウントします。 この機能が不要なサーバーでは、このサービスを無効にします。

network

ブート時に起動するよう構成されている、すべてのネットワーク・インタフェースをアクティブ化します。

NetworkManager

利用可能な最適な接続を使用するように、ネットワーク接続を自動的に切り替えます。

nfslock

NFSで使用されるNetwork Status Monitor (NSM)を実装します。 この機能が不要なサーバーでは、このサービスを無効にします。

nmb

Sambaで使用されるNetBIOS名サービスを提供します。 システムがActive Directoryサーバー、ドメイン・コントローラまたはドメイン・メンバーとして機能していない場合、およびMicrosoft Windowsのファイルとプリンタ共有機能を提供していない場合は、このサービスを無効化してsambaパッケージを削除します。

portmap

NFSに対するリモート・プロシージャ・コール(RPC)サポートを実装します。 この機能が不要なサーバーでは、このサービスを無効にします。

rhnsd

Unbreakable Linuxネットワーク(ULN)に更新および情報を問い合せます。

rpcgssd

NFSで使用されます。 この機能が不要なサーバーでは、このサービスを無効にします。

rpcidmapd

NFSで使用されます。 この機能が不要なサーバーでは、このサービスを無効にします。

smb

Sambaで使用されるSMBネットワーク・サービスを提供します。 システムがActive Directoryサーバー、ドメイン・コントローラまたはドメイン・メンバーとして機能していない場合、およびMicrosoft Windowsのファイルとプリンタ共有機能を提供していない場合は、このサービスを無効化してsambaパッケージを削除します。

サービスを停止し、システムのリブート時に起動しないようにするには、次のコマンドを使用します。

# service service_name stop
# chkconfig service_name off

サービス構成GUI (system-config-services)を使用してサービスを構成することもできます。