【2025年7月最新】マイクラサーバー・セキュリティ強化ガイド

サーバーの紹介リンクにはアフィリエイト要素が含まれる場合がありますが、読者の皆様に有益な情報を提供することを最優先としています。最新情報は各公式サイトをご確認ください。

2025年7月4日

こんにちは！私は10年以上マイクラサーバーの運用に携わってきた経験豊富なサーバー管理者です。数多くのセキュリティ攻撃を経験し、その対策を実践してきました。この記事では、実際の運用現場で培った知識をもとに、マイクラサーバーを安全に運用するための包括的なセキュリティ対策をお伝えします。

マイクラサーバーを狙う脅威の現状

近年、マイクラサーバーを標的とした攻撃が急増しています。2025年7月現在、以下のような脅威が確認されています：

DDoS攻撃：大量のトラフィックによるサーバーダウン
ポートスキャン：開放ポートの探索と不正アクセス
ブルートフォース攻撃：パスワードの総当たり攻撃
MOD/プラグインの脆弱性：不正コードの実行
ソーシャルエンジニアリング：管理者権限の不正取得

重要：マイクラサーバーは24時間365日インターネットに接続されているため、常に攻撃の標的となります。適切なセキュリティ対策を講じることで、これらの脅威から大切なサーバーを守ることができます。

安全なポート開放の基本原則

必要最小限のポート開放

マイクラサーバーの運用において、セキュリティの第一歩は必要最小限のポートのみを開放することです。以下の表は、用途別の推奨ポート設定です：

用途	ポート番号	プロトコル	開放範囲
マイクラサーバー（Java版）	25565	TCP	全世界または特定IP
マイクラサーバー（統合版）	19132	UDP	全世界または特定IP
SSH管理	22 またはカスタム	TCP	管理者IPのみ
Web管理画面	8080, 8443	TCP	管理者IPのみ
FTP/SFTP	21, 22	TCP	管理者IPのみ

出典：ロリポップ! for Gamers

ファイアウォール設定の実践

Linuxサーバーでの基本的なファイアウォール設定例を示します：

# UFW（Uncomplicated Firewall）の設定例
sudo ufw default deny incoming
sudo ufw default allow outgoing# SSH接続（管理者IPのみ）
sudo ufw allow from 192.168.1.100 to any port 22

# マイクラサーバー（Java版）
sudo ufw allow 25565/tcp

# マイクラサーバー（統合版）
sudo ufw allow 19132/udp

# Web管理画面（管理者IPのみ）
sudo ufw allow from 192.168.1.100 to any port 8080

# ファイアウォール有効化
sudo ufw enable

# 設定確認
sudo ufw status verbose

iptablesを使用した高度な設定

より細かい制御が必要な場合は、iptablesを使用します：

#!/bin/bash
# iptables設定スクリプト# 既存のルールをクリア
iptables -F
iptables -X
iptables -Z

# デフォルトポリシー設定
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# ループバックインターフェースを許可
iptables -A INPUT -i lo -j ACCEPT

# 確立済み接続を許可
iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT

# SSH接続（管理者IPのみ、接続試行回数制限付き）
iptables -A INPUT -p tcp –dport 22 -s 192.168.1.100 -m limit –limit 3/min –limit-burst 3 -j ACCEPT

# マイクラサーバー（接続数制限付き）
iptables -A INPUT -p tcp –dport 25565 -m connlimit –connlimit-above 50 -j REJECT
iptables -A INPUT -p tcp –dport 25565 -j ACCEPT

# ICMP（ping）を制限付きで許可
iptables -A INPUT -p icmp –icmp-type echo-request -m limit –limit 1/sec -j ACCEPT

# 不正パケットをログ出力
iptables -A INPUT -m limit –limit 3/min -j LOG –log-prefix “IPTABLES DROPPED: ”

# 設定を保存
iptables-save > /etc/iptables/rules.v4

DDoS攻撃対策

攻撃の検知と対策

DDoS攻撃は、マイクラサーバーにとって最も深刻な脅威の一つです。以下のような段階的な対策を実装することで、攻撃の影響を最小限に抑えることができます：

出典：NITRADO

レイヤー7 DDoS対策

アプリケーションレベルでの攻撃に対する対策：

# fail2ban設定例 (/etc/fail2ban/jail.local)
[DEFAULT]
bantime = 3600
findtime = 600
maxretry = 3[minecraft]
enabled = true
port = 25565
protocol = tcp
filter = minecraft
logpath = /opt/minecraft/logs/latest.log
maxretry = 5
bantime = 7200

# フィルター設定 (/etc/fail2ban/filter.d/minecraft.conf)
[Definition]
failregex = ^.*\[Server thread/WARN\]: Can’t keep up! Did the system time change, or is the server overloaded\? Running \d+ms behind, skipping \d+ tick$s$$
^.*\[Server thread/INFO\]: lost connection: Disconnected$
^.*\[Server thread/INFO\]: tried to use command but does not have permission$

ネットワークレベルでの対策

ネットワークインフラストラクチャでの対策：

# Nginx を使用したリバースプロキシ設定
upstream minecraft_backend {
server 127.0.0.1:25565;
}server {
listen 25565;

# 接続数制限
limit_conn_zone $binary_remote_addr zone=minecraft:10m;
limit_conn minecraft 10;

# リクエストレート制限
limit_req_zone $binary_remote_addr zone=minecraft_req:10m rate=10r/s;
limit_req zone=minecraft_req burst=20 nodelay;

# 地理的制限（必要に応じて）
allow 192.168.1.0/24;
allow 10.0.0.0/8;
deny all;

proxy_pass minecraft_backend;
proxy_connect_timeout 5s;
proxy_send_timeout 10s;
proxy_read_timeout 10s;
}

アクセス制御とユーザー管理

ホワイトリスト機能の活用

マイクラサーバーのホワイトリスト機能は、最も効果的なアクセス制御手段です：

# server.propertiesでホワイトリストを有効化
white-list=true
enforce-whitelist=true# サーバーコンソールでユーザー管理
whitelist add PlayerName
whitelist remove PlayerName
whitelist list
whitelist reload

権限管理システム

LuckPermsプラグインを使用した詳細な権限管理：

# LuckPerms設定例
# 基本グループの作成
lp creategroup default
lp creategroup mod
lp creategroup admin# 権限の設定
lp group default permission set minecraft.command.help true
lp group mod permission set minecraft.command.kick true
lp group admin permission set “*” true

# ユーザーをグループに追加
lp user PlayerName parent add mod

# 特定IPからのアクセスのみ許可
lp user PlayerName permission set login.ip.192.168.1.100 true

監視とログ管理

リアルタイム監視システム

サーバーの異常を早期発見するための監視システムを構築します：

#!/bin/bash
# security-monitor.sh – セキュリティ監視スクリプトLOG_FILE=”/var/log/minecraft-security.log”
ALERT_EMAIL=”admin@example.com”

# 異常な接続数をチェック
check_connections() {
CONNECTIONS=$(netstat -an | grep :25565 | grep ESTABLISHED | wc -l)
if [ $CONNECTIONS -gt 100 ]; then
echo “$(date): 異常な接続数検知: $CONNECTIONS” >> $LOG_FILE
echo “DDoS攻撃の可能性があります” | mail -s “マイクラサーバー警告” $ALERT_EMAIL
fi
}

# 不正ログイン試行をチェック
check_failed_logins() {
FAILED_LOGINS=$(tail -100 /opt/minecraft/logs/latest.log | grep -c “Invalid username or password”)
if [ $FAILED_LOGINS -gt 10 ]; then
echo “$(date): 不正ログイン試行検知: $FAILED_LOGINS回” >> $LOG_FILE
echo “ブルートフォース攻撃の可能性があります” | mail -s “マイクラサーバー警告” $ALERT_EMAIL
fi
}

# メモリ使用量をチェック
check_memory_usage() {
MEMORY_USAGE=$(free | grep Mem | awk ‘{printf “%.2f”, $3/$2 * 100.0}’)
if (( $(echo “$MEMORY_USAGE > 90” | bc -l) )); then
echo “$(date): メモリ使用量警告: ${MEMORY_USAGE}%” >> $LOG_FILE
echo “メモリ不足の可能性があります” | mail -s “マイクラサーバー警告” $ALERT_EMAIL
fi
}

# 監視実行
check_connections
check_failed_logins
check_memory_usage

ログ分析とアラート

効果的なログ分析により、攻撃パターンを把握し、対策を講じることができます：

# ログ分析スクリプト例
# 攻撃元IPの特定
grep “connection lost” /opt/minecraft/logs/latest.log | \
awk ‘{print $4}’ | sort | uniq -c | sort -nr | head -10# 不正コマンドの実行試行
grep “tried to use command” /opt/minecraft/logs/latest.log | \
awk ‘{print $4, $NF}’ | sort | uniq -c | sort -nr

# 異常な接続パターンの検出
grep “logged in” /opt/minecraft/logs/latest.log | \
awk ‘{print $1, $2}’ | sort | uniq -c | \
awk ‘$1 > 50 {print “異常な接続頻度: ” $2 ” ” $3 ” – ” $1 “回”}’

バックアップとインシデント対応

セキュリティを考慮したバックアップ戦略

セキュリティインシデントに備えた包括的なバックアップ戦略：

#!/bin/bash
# secure-backup.sh – セキュアバックアップスクリプトBACKUP_DIR=”/secure/backups”
ENCRYPTION_KEY=”/root/.backup-key”
RETENTION_DAYS=30

# バックアップの暗号化
create_encrypted_backup() {
DATE=$(date +%Y%m%d_%H%M%S)
BACKUP_FILE=”minecraft_backup_$DATE.tar.gz”

# サーバーデータをアーカイブ
tar -czf /tmp/$BACKUP_FILE /opt/minecraft/

# GPGで暗号化
gpg –cipher-algo AES256 –compress-algo 1 –symmetric \
–output $BACKUP_DIR/$BACKUP_FILE.gpg /tmp/$BACKUP_FILE

# 元ファイルを削除
rm /tmp/$BACKUP_FILE

echo “$(date): 暗号化バックアップ作成完了: $BACKUP_FILE.gpg”
}

# 古いバックアップの削除
cleanup_old_backups() {
find $BACKUP_DIR -name “*.gpg” -mtime +$RETENTION_DAYS -delete
echo “$(date): 古いバックアップを削除しました”
}

# 実行
create_encrypted_backup
cleanup_old_backups

インシデント対応プロトコル

セキュリティインシデント発生時の対応手順：

インシデント対応の基本ステップ：

攻撃の特定と分析
被害範囲の調査
攻撃の遮断
システムの復旧
再発防止策の実装
事後分析とレポート作成

#!/bin/bash
# incident-response.sh – インシデント対応スクリプトINCIDENT_LOG=”/var/log/security-incident.log”
BACKUP_DIR=”/secure/backups”

# 緊急停止
emergency_shutdown() {
echo “$(date): 緊急停止実行” >> $INCIDENT_LOG
systemctl stop minecraft

# 不正なプロセスの終了
pkill -f “java.*minecraft”

# ネットワーク接続の遮断
iptables -A INPUT -j DROP
iptables -A OUTPUT -j DROP

echo “$(date): システム隔離完了” >> $INCIDENT_LOG
}

# フォレンジック情報の収集
collect_forensics() {
FORENSICS_DIR=”/var/log/forensics/$(date +%Y%m%d_%H%M%S)”
mkdir -p $FORENSICS_DIR

# ネットワーク接続状況
netstat -an > $FORENSICS_DIR/netstat.txt

# プロセス一覧
ps aux > $FORENSICS_DIR/processes.txt

# システムログ
cp /var/log/messages $FORENSICS_DIR/
cp /var/log/auth.log $FORENSICS_DIR/
cp /opt/minecraft/logs/latest.log $FORENSICS_DIR/

echo “$(date): フォレンジック情報収集完了: $FORENSICS_DIR” >> $INCIDENT_LOG
}

# 自動復旧
auto_recovery() {
echo “$(date): 自動復旧開始” >> $INCIDENT_LOG

# 最新のクリーンバックアップから復旧
LATEST_BACKUP=$(ls -t $BACKUP_DIR/*.gpg | head -1)

if [ -n “$LATEST_BACKUP” ]; then
# バックアップの復号化と展開
gpg –decrypt $LATEST_BACKUP | tar -xzf – -C /

# ファイアウォールルールの復旧
iptables-restore < /etc/iptables/rules.v4 # サーバー再起動 systemctl start minecraft echo “$(date): 自動復旧完了” >> $INCIDENT_LOG
else
echo “$(date): 利用可能なバックアップが見つかりません” >> $INCIDENT_LOG
fi
}

# 使用例
case “$1” in
“emergency”)
emergency_shutdown
;;
“forensics”)
collect_forensics
;;
“recovery”)
auto_recovery
;;
*)
echo “使用法: $0 {emergency|forensics|recovery}”
exit 1
;;
esac

クラウドVPSでのセキュリティ設定

主要VPSサービスのセキュリティ機能

各VPSサービスが提供するセキュリティ機能を活用することで、より強固なセキュリティを実現できます：

サービス	セキュリティ機能	料金	推奨用途
XServer VPS for Game	WAF、DDoS Protection、SSL証明書	830円〜	初心者向け
ConoHa for GAME	セキュリティグループ、自動バックアップ	641円〜	コスパ重視
ConoHa VPS	セキュリティグループ、スナップショット	968円〜	高度なカスタマイズ
さくらのVPS	パケットフィルタ、スタートアップスクリプト	1,594円〜	企業向け
KAGOYA CLOUD VPS	ファイアウォール、監視サービス	979円〜	柔軟な運用

出典：ConoHaサポート

ConoHa VPSのセキュリティグループ設定例

ConoHa VPSのセキュリティグループ機能を使用した設定例：

# セキュリティグループルール設定例# インバウンドルール
Direction: Inbound
IP Version: IPv4
Protocol: TCP
Port: 22
Source: 管理者のIPアドレス/32
Description: SSH管理接続

Direction: Inbound
IP Version: IPv4
Protocol: TCP
Port: 25565
Source: 0.0.0.0/0
Description: Minecraft Java Edition

Direction: Inbound
IP Version: IPv4
Protocol: UDP
Port: 19132
Source: 0.0.0.0/0
Description: Minecraft Bedrock Edition

# アウトバウンドルール
Direction: Outbound
IP Version: IPv4
Protocol: All
Port: All
Destination: 0.0.0.0/0
Description: 全ての外向き通信を許可

プラグイン・MODのセキュリティ

安全なプラグイン・MODの選択

プラグインやMODは、サーバーセキュリティの重要な要素です。以下の基準で選択することを推奨します：

公式リポジトリからのダウンロード：SpigotMC、Modrinth、CurseForgeなど
定期的な更新：最新版への対応とセキュリティ修正
コミュニティの評価：レビューと使用実績
オープンソース：ソースコードの公開と透明性
デジタル署名：作者の身元確認

注意：非公式サイトからダウンロードしたプラグインやMODには、マルウェアが含まれている可能性があります。必ず信頼できるソースからのみダウンロードしてください。

プラグイン・MODのセキュリティ設定

# プラグイン設定例（WorldGuard）
regions:
max-region-count-per-player:
default: 3
member: 5
moderator: 10
admin: -1security:
deop-everyone-on-join: false
block-in-game-op-command: true
host-keys: {}

protection:
item-durability: true
remove-infinite-stacks: true
disable-xp-orb-drops: false
disable-obsidian-generators: true

SSL/TLS証明書の導入

Let’s Encrypt証明書の自動更新

Web管理画面やAPI接続に SSL/TLS証明書を導入することで、通信の暗号化を実現します：

#!/bin/bash
# ssl-setup.sh – SSL証明書の自動設定DOMAIN=”minecraft.example.com”
EMAIL=”admin@example.com”

# Certbotのインストール
sudo apt update
sudo apt install -y certbot python3-certbot-nginx

# 証明書の取得
sudo certbot –nginx -d $DOMAIN –email $EMAIL –agree-tos –non-interactive

# 自動更新の設定
echo “0 12 * * * /usr/bin/certbot renew –quiet” | sudo crontab –

# Nginx設定の更新
sudo tee /etc/nginx/sites-available/minecraft-admin << EOF server { listen 443 ssl http2; server_name $DOMAIN; ssl_certificate /etc/letsencrypt/live/$DOMAIN/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/$DOMAIN/privkey.pem; ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384; ssl_prefer_server_ciphers off; location / { proxy_pass http://127.0.0.1:8080; proxy_set_header Host \$host; proxy_set_header X-Real-IP \$remote_addr; proxy_set_header X-Forwarded-For \$proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto \$scheme; } } EOF sudo nginx -t && sudo systemctl reload nginx

定期的なセキュリティ監査

セキュリティチェックリスト

定期的（月1回）に実施すべきセキュリティチェック項目：

#!/bin/bash
# security-audit.sh – セキュリティ監査スクリプトAUDIT_LOG=”/var/log/security-audit.log”
DATE=$(date +%Y%m%d)

echo “=== セキュリティ監査開始: $(date) ===” >> $AUDIT_LOG

# 1. パッケージの更新状況チェック
echo “1. システム更新チェック” >> $AUDIT_LOG
apt list –upgradable 2>/dev/null | grep -v “WARNING” >> $AUDIT_LOG

# 2. 不要なサービスの確認
echo “2. 実行中サービス確認” >> $AUDIT_LOG
systemctl list-units –type=service –state=running >> $AUDIT_LOG

# 3. ファイアウォール設定確認
echo “3. ファイアウォール状況” >> $AUDIT_LOG
ufw status verbose >> $AUDIT_LOG

# 4. 失敗したログイン試行の確認
echo “4. 失敗したログイン試行” >> $AUDIT_LOG
grep “Failed password” /var/log/auth.log | tail -20 >> $AUDIT_LOG

# 5. 異常なネットワーク接続の確認
echo “5. ネットワーク接続状況” >> $AUDIT_LOG
netstat -tuln >> $AUDIT_LOG

# 6. ディスク使用量の確認
echo “6. ディスク使用量” >> $AUDIT_LOG
df -h >> $AUDIT_LOG

# 7. プロセス確認
echo “7. プロセス一覧” >> $AUDIT_LOG
ps aux –sort=-%cpu | head -20 >> $AUDIT_LOG

echo “=== セキュリティ監査完了: $(date) ===” >> $AUDIT_LOG
echo “” >> $AUDIT_LOG

脆弱性スキャン

定期的な脆弱性スキャンにより、潜在的なセキュリティリスクを発見します：

#!/bin/bash
# vulnerability-scan.sh – 脆弱性スキャンスクリプトSCAN_LOG=”/var/log/vulnerability-scan.log”

# Nmap を使用したポートスキャン
echo “=== ポートスキャン開始: $(date) ===” >> $SCAN_LOG
nmap -sS -O localhost >> $SCAN_LOG 2>&1

# Lynis を使用したシステムスキャン
echo “=== システムスキャン開始: $(date) ===” >> $SCAN_LOG
lynis audit system >> $SCAN_LOG 2>&1

# chkrootkit を使用したルートキット検出
echo “=== ルートキット検出開始: $(date) ===” >> $SCAN_LOG
chkrootkit >> $SCAN_LOG 2>&1

# rkhunter を使用した追加検査
echo “=== 追加セキュリティ検査開始: $(date) ===” >> $SCAN_LOG
rkhunter –check –skip-keypress >> $SCAN_LOG 2>&1

echo “=== 脆弱性スキャン完了: $(date) ===” >> $SCAN_LOG

緊急時の連絡体制

インシデント通知システム

重大なセキュリティインシデントが発生した場合の自動通知システム：

#!/bin/bash
# notification-system.sh – 通知システムWEBHOOK_URL=”https://discord.com/api/webhooks/YOUR_WEBHOOK_URL”
ADMIN_EMAIL=”admin@example.com”
ADMIN_PHONE=”+81-90-1234-5678″

# Discord通知
send_discord_alert() {
local message=”$1″
local severity=”$2″

curl -H “Content-Type: application/json” \
-X POST \
-d “{\”content\”:\”🚨 **マイクラサーバー緊急アラート**\n**レベル**: $severity\n**内容**: $message\n**時刻**: $(date)\”}” \
$WEBHOOK_URL
}

# メール通知
send_email_alert() {
local message=”$1″
local severity=”$2″

echo “$message” | mail -s “マイクラサーバー警告 [$severity]” $ADMIN_EMAIL
}

# SMS通知（Twilio API使用例）
send_sms_alert() {
local message=”$1″

curl -X POST https://api.twilio.com/2010-04-01/Accounts/YOUR_ACCOUNT_SID/Messages.json \
–data-urlencode “From=+1234567890” \
–data-urlencode “To=$ADMIN_PHONE” \
–data-urlencode “Body=マイクラサーバー緊急: $message” \
-u YOUR_ACCOUNT_SID:YOUR_AUTH_TOKEN
}

# 使用例
case “$1” in
“critical”)
send_discord_alert “$2” “CRITICAL”
send_email_alert “$2” “CRITICAL”
send_sms_alert “$2”
;;
“warning”)
send_discord_alert “$2” “WARNING”
send_email_alert “$2” “WARNING”
;;
“info”)
send_discord_alert “$2” “INFO”
;;
*)
echo “使用法: $0 {critical|warning|info} \”メッセージ\””
exit 1
;;
esac