vps-checkup

VPS の点検

対象範囲の確認

SSH 接続先、必要な公開サービスとポート、想定されるワークロード、パスワードなしの sudo が利用可能かどうかを確認します。監査は読み取り専用として扱います。apt update はパッケージインデックスを変更するため、読み取り専用の点検中であっても明示的な承認が必要です。

秘密鍵、トークン、環境変数の値、コンテナのシークレットを要求したり、開示したりしないでください。認証情報や機密性の高いホスト名を含む公開出力は、伏せ字にしてください。

証拠の収集

1. ホストの識別情報、UTC／ローカル時刻、稼働時間、OS、カーネル、仮想化、負荷、メモリ、ディスク空き容量、inode 使用量、マウント、失敗したサービスを記録します。
2. 範囲を限定した時間枠内の重要なジャーナルエントリを確認します。ログ全体を出力しないでください。
3. 有効な SSH 設定とリスニングソケットを確認します。
4. UFW を前提とせず、稼働中のファイアウォールを特定します。利用可能なものとして、UFW、nftables、iptables の順に確認します。外部への公開状況を必要なポートの一覧と照合します。
5. fail2ban はインストールされている場合にのみ確認し、ツールが見つからない場合は失敗ではなく not installed と報告します。
6. 時刻同期、自動更新、現在のインデックスに基づく保留中のパッケージ、再起動が必要な状態を確認します。apt update が承認されていない場合、パッケージの確認結果には古い情報である旨を記載します。
7. Docker が存在する場合は、デーモン／ルートレスモード、コンテナ、ヘルス状態／再起動、リソースのスナップショット、ディスク使用量、ログの増加、イメージの経過時間、Compose プロジェクトを確認します。Docker がない場合は、Docker に関するセクションを省略します。
8. バックアップが存在するかどうかと、確認できる場合は最後に成功した証拠を記録します。承認なしにバックアップや復元テストを実行しないでください。

references/ubuntu-docker-checkup-commands.md をコマンドの一覧として参照し、検出したホストに関連するコマンドのみを実行します。

報告と変更

references/report-template.md を使用します。影響度と発生可能性に基づいて所見の優先順位を付け、コマンドの証拠を引用し、確認済みの所見と不明な点を区別して、必要最小限の推奨措置を列挙します。

パッケージインデックスの更新、アップグレード、設定の編集、ファイアウォールまたは SSH の変更、サービス／コンテナの再起動、プルーニング、ログの削除、再起動、バックアップ／復元操作など、変更を伴う各作業グループについて明示的な承認を得ます。SSH またはファイアウォールを変更する前に、別のアクセス経路と設定の構文を確認します。承認された変更を行った後は、影響を受けたサービスとアクセスを再確認します。