phpmyAdminセキュリティベストプラクティス

phpMyAdminを効果的に保護するには、複数のセキュリティ対策を採用する必要があります。 1. IPを介してアクセスを制限すると、信頼できるIP接続のみが許可されます。 2.デフォルトのURLパスを推測が容易ではない名前に変更します。 3.強力なパスワードを使用し、最小限の権限を備えた専用のMySQLユーザーを作成すると、2要素認証を有効にすることをお勧めします。 4.既知の脆弱性を修正するために、PHPMyAdminバージョンを最新に保ちます。 5. WebサーバーとPHP構成を強化し、危険な機能を無効にし、ファイルの実行を制限します。 6。信任状の漏れを防ぐために、HTTPSに通信を暗号化するように強制します。 7. HTTP基本認証を使用していない場合、または使用していない場合はPHPMyAdminを無効にします。 8.ログを定期的に監視し、Brute Forceから防御するようにFail2Banを構成します。 9.セットアップやインストールなどの機密インストールファイルを削除します。 10。露出リスクを減らすために、コマンドラインツール、デスクトップクライアント、またはより安全な代替品を使用することを検討してください。これらの測定を組み合わせることで、データベースのセキュリティを大幅に改善し、不正アクセスとデータ侵害を防ぐことができます。

PHPMyAdminを保護することは重要です。これは、MySQL/MariadBデータベースに直接アクセスできるため、攻撃者の主要なターゲットです。多くの場合、インターネットにさらされるWebベースのツールであるため、セキュリティのベストプラクティスに従うことで、不正アクセスや潜在的なデータ侵害を防ぐことができます。 PHPMyAdminを効果的に保護するための重要な手順を以下に示します。

1。IPアドレスによるアクセスを制限します

信頼できるIPアドレスのみを許可して、PHPMyAdminインターフェイスにアクセスできる人を制限します。これは、曝露を減らす最も効果的な方法の1つです。

Apacheについては、仮想ホストまたは.htaccessファイルを編集します。

 <ディレクトリ "/usr/share/phpmyadmin">
    IP 192.168.1.100が必要です
    ＃または範囲：
    ＃IP 192.168.1.0/24が必要です
</directory>

nginxの場合、サーバーブロックのallowとdenyディレクティブを使用します。

場所 /phpmyadmin {
    許可192.168.1.100;
    すべてを否定します。
}

これにより、オフィス、ホーム、または既知のIPのみがログインページに到達できるようになります。

2。デフォルトのURLパスを変更します

デフォルトでは、PHPMyAdminは/phpmyadmin 、 /pma 、または/adminでアクセスできることが多いため、攻撃者が簡単に見つけることができます。 Webアクセス可能なディレクトリを非自明なものに変更します。

の代わりに：

 http://yoursite.com/phpmyadmin

使用：

 http://yoursite.com/secret-db-tool-4721

ディレクトリの名前を変更します。

 sudo mv/usr/share/phpmyadmin/usr/share/secret-db-tool-4721

次に、Webサーバーの構成を更新して、新しいパスを指すようにします。

注：「dbadmin」、「mysql」、「pma」などの予測可能な名前は避けてください。

3.強力な認証を使用します

弱い資格情報またはデフォルトの資格情報を使用していないことを確認してください。

• PHPMyAdminユーザーとMySQLアカウントの両方に強力で一意のパスワードを使用します。
• 可能であれば、PHPMyAdminを介してMySQLのrootユーザーのログインを無効にします。
• 必要な特権のみを備えた専用のMySQLユーザーを作成します。
• サポートされている場合（プラグインまたは外部ツールを介して新しいバージョンで利用可能）、2因子認証（2FA）を有効にします。

制限されたmysqlユーザーの例：

 「strongpass！123」によって識別されたユーザー「pma_user」@'localhost'を作成します。
app_db。*へのselect、挿入、更新、削除を選択する、 'pma_user'@'localhost';
フラッシュ特権;

4. phpmyadminを更新してください

古いバージョンには既知の脆弱性が含まれている場合があります。常に最新の安定したリリースを実行してください。

• パッケージマネージャー（ apt 、 yum ）を介してインストールされている場合は、定期的に更新します。

   sudo apt update && sudo aptアップグレードphpmyadmin

• 手動でインストールする場合は、 https：//m.sbmmt.com/link/f5e0906e0da1a657230cf930de854408を更新し、それに応じてファイルを置き換えてください。

システムがサポートしている場合は、自動セキュリティ更新を有効にします。

5. WebサーバーとPHP構成を保護します

PHPMyAdminはPHPとWebサーバーで実行されます。どちらも強化する必要があります。

php.iniで：

• 危険な機能を無効にする：

   disable_functions = exec、passthru、shell_exec、system

• PHPMyAdminディレクトリのファイルのアップロードと実行を制限します。

   <ディレクトリ "/usr/share/phpmyadmin/upload">
      PHP_FLAGエンジンオフ
  </directory>

不要な場合は、公開サーバーでphpmyadminを実行しないでください。逆プロキシまたは内部ネットワークの後ろに配置することを検討してください。

6. HTTPSのみを有効にします

常にhttpsを介してphpmyadminを提供して、ログイン資格情報とセッションデータを暗号化します。

• SSL証明書を取得します（Let's Encryptは無料です）。
• HTTPをHTTPSにリダイレクトします。

  書き換えます
  書き換えた％{https} off
  rewriterule ^（。*）$ https：//％{http_host}％{request_uri} [l、r = 301]

HTTPSがなければ、パスワードはパブリックネットワークで傍受できます。

7.使用していない場合はphpmyadminを無効にします

定期的に使用しない場合は、完全に無効にし、必要な場合にのみ有効にしてください。

• apache： sudo a2disconf phpmyadmin && systemctl reload apache2
• nginx：ロケーションブロックをコメントするか削除してリロードします

または、HTTP Basic Authを2番目のレイヤーとして使用して、phpMyAdminディレクトリ全体をパスワード保護します。

8。ログを監視し、ログインの試みに失敗しました

疑わしいアクティビティについては、Webサーバーのログを定期的に確認してください。

 #apache
Tail -f /var/log/apache2/access.log | grep phpmyadmin

＃ブルートフォースの試みを探します
grep "post。*phpmyadmin" /var/log/apache2/error.log | grep "401"

fail2banを設定して、繰り返しのログイン試行をブロックします。

create /etc/fail2ban/jail.d/phpmyadmin.conf ：

 [phpmyadmin]
有効= true
filter = phpmyadmin
logpath = /var/log/apache2/error.log
maxretry = 3
bantime = 3600

必要に応じて対応するフィルターを作成します。

9.セットアップを削除してスクリプトをインストールします

インストール後、悪用される可能性のある機密ファイルを削除または名前を変更します。

 sudo rm -rf/usr/share/phpmyadmin/setup/
sudo rm -rf/usr/share/phpmyadmin/install/

これらはセットアップ中にのみ必要であり、アクセス可能なままにしておくとリスクをもたらします。

10。代替または代替アクセス方法を検討してください

自問してみてください：私は本当にphpmyadminが露出する必要がありますか？

• データベース管理には、SSHおよびコマンドラインツール（ mysql 、 mysqldump ）を使用します。
• SSHトンネル上でMySQLワークベンチ、DBEAVER、TALLPLUSなどの信頼できるデスクトップツールを使用します。
• より良いアクセス制御を備えた管理パネルを使用します（例えば、Laravel内で、適切なセキュリティプラグインを備えたWordPress）。

Webインターフェイスを使用する必要がある場合は、他のアプリケーションがない別の分離ドメインでホストすることを検討してください。

phpmyAdminを保護することは、ツール自体だけではなく、深みのある防御についてです。アクセス制御、強力な認証、更新、ネットワークレベルの保護を組み合わせます。ほとんどの違反は、誤解のために発生し、ソフトウェア自体の欠陥ではありません。

基本的に、phpmyadminをデータベースの金庫のドアのように扱います。それをロックして隠し、誰がそれを開こうとするかを見てください。

以上がphpmyAdminセキュリティベストプラクティスの詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。