情報 - みる会図書館

1. UNIX MAGAZINE 2002年7月号

0 けつま 3 びっドサーピスをおこなうホストを示す情報である MX (MaiI eXchanger) レコードの検索もできます。おもに使われる DNS の情報には、次のようなものがあります。・ A (IPv4 アドレス ) ・ AAAA (IPv6 アドレス ) ・ CNAME ( アドレスの別名 ) ・ NS ( そのドメインのネームサーバーの名前 ) ・ MX ( そのアドレスへのメールを引き受けるホスト ) IP アドレス IP アドレスは、いってみれば、インターネットーヒのイ斤です。 IPv4 アドレスの場合は 3 桁の 10 進数が 4 個並び、ドット (. ) で区切られています。 IPv6 アドレスの場合は 4 16 進数が 8 個並び、コロン ( : ) で区切られます。インターネット上のノードはすべてこの IP アドレスで表現できますが、人間には憶えにくくて不便です。そのため、 DNS では人間が扱いやすい、名前 " で IP アドレスを参照する欟懾を提供しています。ホスト名 hoge. example ・ org というホスト名を例にすると、後半の example.org がドメイン名です。ドメイン名は人間でいえは名字のようなもので、ある計算機の集合を示します。そのドメインに属する計算機に hoge という名前を付けると、そのホストは hoge.example.org という、氏名 " で一意に決まります。このように、ホスト名はその名前がインターネットの名前階層のなかでどこに位置するかを示しています。さらに、ホストには正式な名前 (FQDN) 以外に別名 (CNAME) も付けられます。 DNS では、別名から FQDN が参照できるようになっています。たとえば、 www や ftp などのよく知られたサーピス名を割り当てたり、あるホストに別のホストのふりをさせる場合などによく使われます。 Web ページを公開しているときには、 Web サーバーを置いている計算機の実際の名前 ( たとえば hoge) よりも、 112 www という名前のほうがアクセスする人たちには分かりやすいでしようし、 Web サ→ヾーを置き換える場合も簡単なので管理するうえでもイ甦リです。名前検索の仕組み DNS は、 IP アドレスと FQDN 、別名などをどのように角夬するのでしようか。それを理解するには、 DNS 全体のイ督目みを ( すこしだけ ) 知る必要があります。以前にもすこし触れましたが、 DNS は、分昔のシステム " です。したがって、 DNS の世界には、、、全部の情報を知っている神様 " は存在しません。世の中に数えきれないほど 4 あるネーム (DNS) サーバーが、本としてインターネットの名前空間を表現しています。ふつう、それぞれのネームサーバーははんの一部の情報しカ寸是供しません。ほとんどは、自分が責任をとれる範用の情報だけ、または仲のよいサイトの情報のコピー ( セカンダリ ) だけです。それでは、ネームサーバーはどうやって名前を鮹夬するのでしようか。 DNS のもっとも基本的な考え方は、、自分の知らない情報はほかの人に訊けばよい " というものです。といっても、やみくもに他人に訊いてまわるわけではありません。 DNS では階層的な仕組みが導入されていて、最 E 位のネームサ→ヾーを、、ルートサー " といいます。 ( 自分の知らない ) ドメイン hoge ・ example ・ org について間い合わせる場合は、ますルートゾーンのネームサーバーであるルートサーバーに接続し、 org ドメインを管理しているネームサーバーを教えてもらいます。 org ドメインのネームサーバーは example ・ org に関する情報を知っているはずなので、 example.org のネームサーバーの位置 ()P アドレス ) を教えてくれるはすです。そして、 example.org をより詳しく知っている example ・ org のネームサーバーに対して、、 hoge というホストの情報 " を問い合わせます (example.org か蘰数のゾーンに分かれている場合は、さらに別のネームサーバーを参照しなければならないかもしれません ) 。このような仕組みには、名前を検索するホストの数か増えても対応できるという利点があるだけでなく、ネームサー自体の搦長も容易です。本当によく考えられたシステムだと感じ、してしまいました。 4 実際には数えている人たちもいるようですが・・ UNIX MAGAZINE 2002.7

2. UNIX MAGAZINE 2002年7月号

- けつま 3 びっド合わせて、 ns0. example ・ org3 として登録します。すぐに変更確認の電子メールが届き、私のドメインのネームサーバーがぶしに登録されたことカ紛かりました。ドメイン名サーバー 3 この、 example ・ org" は実際に登録したドメイン名ではなく、たんなるイルにすべてのホストむ当して管理していた、と聞いたかった日罸にには、 /etc/hosts というデータベース・ファずっと昔、インターネットに接続するホストがまだ少なものだといえます。です。すなわち、インターネットにおける住戸形求のようなのホストにアクセスするための基本的な情報を提供する・ホスト名と IP アドレスを対応づけ、インターネット上 DNS のおもな仕事は、 DNS の仕事人には役立つかもしれません。ぎるかもしれませんが、私と同しような疑間をもっているとにしましよう。 DNS について知識のある人には簡単すは DNS のことか理解できたので、簡単にまとめてみるここの本を読みながら自分でもいろいろと半ヾ、ある程度しました。す。かなり厚い本ですが、読みやすそうなのですぐに購入本語訳が出版されたはかりでタイミングがよかったようで積みになっていました。 BIND 9 に対応した第 4 版の日かったので、さっそく書店に行ったところ、この本が平もっとも一ヨ勺な参考書は『 DNS & BIND 』 [ 1 ] だと分ます、 Web で DNS についての清報を詩ヾてみました。 ◎ DNS : ドメイン名システムについて匐ヾてみることにしました。いった知識はまったくありませんでした。そこで、 DNS ム ) の仕組みや、自分でサーバーを作るには何が必要かとのの、 DNS (Domain Name System: ドメイン名システはドメイン名サーバーが必要だということは知っていたもる情報を検索できるようにしなけれはなりません。それにドメインを運用するには、外部からそのドメインに関す UNIX MAGAZINE 2002.7 例てす。ことがあります。しかし、ホスト数の増大とともに管理しきれなくなり、 DNS か開発されたそうです。たしかに、現在のインターネットには膨大な数のホストカ鏃続されているので、 1 つの住戸形求にすべてのホストの情報を言当求するのは不可能です。 DNS の開発が、現在のインターネットの発展の原動力の 1 つであることは間違いないでしよう。電子メールや Web をはじめとするインターネット・アプリケーションの多くは、目的のホストに到達するために DNS て検索可能なホスト情報を利用しています。逆にいえは、インターネット上でなんらかのサービスを提供するには、どんなドメインでも DNS を設定する必要があるということになります。 DNS は、インターネットにとって不可欠な十財冓なのです。 DNS 情報の構造 ( ん e 既 value)" という組で清報を管理して DNS は、います。つまり、辞書のようなイ督はみになっていて、ある項目 ( ドメイン名、 IP アドレスなど ) をんとして検索すると、情報 ( 対応する IP アドレスやドメイン名など ) が取得できます。各項目はかならす 1 対 1 になっているわけではなく、ときには辞書の、、〇〇を見よ " のように別の項目を指している場合もあります。たとえば、 DNS を用いて www.example.org の IP アドレス (IPv4 アドレスの場合は A レコード、 IPv6 アドレスの場合は AAAA レコード ) を取得しようとした場合、そのまま IP アドレスカってくることもあれは、 www.example.org は hoge.example.org の別名 (C- NAME) なので、これ以の情報はそちらを参照してください」という情報カってくることもあります。後者の場合には、もう一度 hoge.example.org を検索・・というように、目的の IP アドレスか取得できるし、まて験索を繰り返します。この流れは、、名前鮹夬 " と呼ばれています。 DNS カ甘是供する検索サービスの中心は、ホスト名から IP アドレス、または IP アドレスからホスト名への検索です。さらに上記のとおり、別名からホスト名への検索サービスも提供されています。このはかに、電子メールの酉当 111

3. UNIX MAGAZINE 2002年7月号

街角のェイスフインタ 55 Web で Office 増井俊之■ 図 1 Wiki データ ~ ひと昔ほど前、 Web プラウサさえあれば、 t 算機のデスクトッフ韆竟や MS O 伍 ce のような事務用ノフトウェ WindowsCE を UNIX のように使う 2 皿 / 5 / 11 11 = 23 ・ 16 アは不要になるだろうという予測がよく話題に上っていました。しかし、現在の一勺な計算機の利用状況をみると、 [ h い 0 : / / 告、ⅵ 00 ・ . n jp / 0d0 響 & CE Fanl と新 ttp : / / ”響 . ⅵ nc 日 . n を . jp / い nk リンク集 ] いい p : / / 青響響 . ⅵ n00.0 j p / 5 れ羲 p / 0030 を PY “を sp?P ー 0 : 為 2 引 nCE の歴史」どうやら Web のプラウジングと事務処理は別物と考えら : 聞発情報 [htt 0 : / / 物響響 . i n 色「 - k 00h を l. de/sof を資ま re. h を物ー G を ne 「を一 P 羲「を noy ・ XC れているらしく、両者の融合はそ川まど進んでいないよう 0 ハ”代 ] Rei 0 ”氏のサイト (htt p : / / ” .000k6 を pcdn. 00 物 / d . h を引 PO ( 長をを PC De N をを響 0 ′ k ] 鼠い : / / 響” . oohi い . 00 第 / 伊氏 ] です。い : / / ”“ⅵ nce. 0 日 . ル / D ” / 響 CE 発者向け情報 ] : わ十 7 ( 0 フ第 Web と完全に融合したデスクトップのオフィス・アプ図 2 RD による整形結果リケーションか登場するまでには、まだしはらく時間がかかりそうです。ただし、ある程度の事務処理であれば、現 WindowsCE を UNIX のように使う 2 観 / 5 / 11 11 ・ 23 = 16 履歴は集ト覧時点で簡単に手に入るプラウサや CGI プログラムを用い一般情報・ W あ sCE ドとリンク集ておこなうことができます。今回は、そのガ去を紹介しま・ WinCE の第史開発情報す。・ Ge れ引 p 0Y0 SO 負物 0 鼾氏のサイト・ Po を tPC Oev ルー 0 水・藤氏 w E 問発者け情報・上れ W 面 ck on WhC ・シゲマリオンの問発贓境・サードハーティの CF. 聞発環境ポポべと 0 れ擘ト簡毳リンク、ⅵは 0 は材のを一タを転えられています。 Web 上での情報整理、システム Wiki Wiki Web ( 以下、 Wiki と略 ) を 2001 年 4 月号で、 Wiki と掲示板を統合超整理法的機能履歴情報窈助日したシステムを 2001 年 12 月号で紹介しました。最近、・ CGI による計算機能私はこの Wiki 掲示板システムをあらゆる竹業に利用しよ物杉タグの搦長うと試みています。オリジナルの Wiki は、 Web 上での円滑な情報共有をーヨ殳に、 Wiki ではユーサーが単純なテキストデータを第一目的として開発されたためか、体裁をきれいに整えた編集し、その結果を書き込んで Web ページを生成するとり、四則演算などをおこなう機能はなく、リンクと最小限きにデータを整形する仕組みになっています。たとえば、の文囓整形の機能しかありませんでした。図 1 の例では、情報を RD 形式 1 で言当し、これを書き込 Wiki が普及するにつれ、これをさらに強力にしようむと HTML タグが追加されて、図 2 のようなページがとする人たちが数多く現現在ではかなりの数の Wiki 生成されます。クローンが公開されています。昨年 12 月号で紹介した 1 Ruby のプログラムにドキュメントを埋め込むための形式です。言田は、 Wiki 掲示板もその 1 つです。これらの Wiki クローン http://helium.ruby-lang ・ org/-rubikitch/RDP.cgi?cmd= では、オリジナルの Wiki に対して以下のような拡張か加 view&name=RD を参照してください。物らい氈をルよ ) こ使 - ルこ叩一三ロ、雇歴ー一覧物朝 0 “ら E をリト切よ第こ使う - こ叩 Wiki による事務処理 180 UNIX MAGAZINE 2002.7

4. UNIX MAGAZINE 2002年7月号

FIRST 13th AnnuaI Computer Se ( リ「 i ツ lncident Ha れ引 i れ 9 Conference であって、市民的自由主義者 3 ではないのだ。の法律は、マルウェアや不正アクセスなどの新しい犯罪にクライアント / サーバー型の実装ではアクセスの許可や対処できるようになっている。フランス政は、個人デー拒否は身許証明をもとに決められるため、人びとの身許にタの一のレベルで行政介入を実施しており、この分野の関する情報か取集されている。今日では多くの取引が、顧、ト脂令 (European directive) を履行している。また、客、売り手、銀行、クレジットカード会社など、二者間以電子署名の法的価値を認める ( 行政命令で認証 / 署名機関上の関係になっている。当事者の大半は他者の↑帯にをほとのための規則カ非られており、これも規料全体ク旨針に沿んど必要としないはすだが、こうした情幸ゞ収集されていっている ) と同時に、暗号関連の法律を完全に自由化し、る場合が多い。たとえば、売り手は正当な支払いがおこな鍵長に制限を設けていない。われるかが分かればよいだけで、顧客か誰かを知る必要は行政執行・機も強化されており、現在ではハイテク犯罪ないはすである。に関する中央機関が他の警察機関を補佐するために設けらもちろん司法の要請 ( たとえはマネー・ロンダリングをれている。 CERT-A はコンピュータ関連のインシデント防ぐため ) があれば、本当の身許を開示できなければならや攻撃について政府機関を麪爰するために組織された。まない。解決策としては、中央に複数の認証用サーバーをた、情報システム・セキュリティ中央局は首相への報告設置し、各サ→ヾーは取引の当事者を識男ける情報の一部のはか、国の規制機関としての彳難リを担っており、政府だけを・閑寺することなどが考えられる。この手法を用いれが使用する暗号化製品 ( やフランスにおける証明書の仕組ば、情報を解読するために必なデータを入手して身許をみ ) の検証なども実施している。この糸哉は運用業務にも明らかにできるのは判事だけになる。関与しており、省庁のネットワーク基盤の構築を麪爰している。基調講演 CS 旧 T の活動サイバースペースのセキュリティと機密性の確保 . フランスでのイ銑課題インシデント文組織とセキュリティ・インシデント Henri Serres (Secrétariat GénéraI de la Défense 理 Nationale/Service Central de la Sécurité des Sys- Jimmy Arvidsson (TeIia AB HQ ー TeIia CERT tömes d'lnformation (Service du Premier Min- Sweden) istre), France) 発生した事件を、事件 (event) 、インシデント (inci- 情報セキュリティに対するフランスの耳鯀はみについて説 dent) 、セキュリティ・インシデント (security incident) 、明がおこなわれた。フランスは他の多くの国々と同様に電危機 (crisis) 、大災害 (catastrophe) にう嶽頁することか定子技術の急な発展を経験しており、サイバースペースでめられた。なんらかの活動の兆候があれば、このう頁にも重要な彳難リを演しようとしている。政はサイバー社会にとづいて類別されなければならない。適切な処置はそれに向けた行重垢 1 画として、次のような目標を掲げている。よって特定できる。事件に対しては、必要であれは障害を 1. すべての人力甘妾続できるようにして、、、デジタル・ディ復旧させ、適切な法白昔置を講しそのうえて事態か汝云バイド " ( 情報格差 ) を防ぐ。するまで全体の経過を j 毆亦することができる。 2. この新たな斉へのフランスの商用参加を麪爰する。インシデントの不頁と程度を定め、、インシデントの所 3. サイバースペースのセキュリティと機密性を高める。有権者 " (incident owner) と連絡をとる第 1 段階の評価イ上会的生産基盤を守り、安全で正当な取引をイ正するこについて発表者から提案があった。インシデントの所有権者とは、被害を受けたシステムに責任をもっ法人をイ弋表すとは、フランス政府にとって最優先譏題である。フランスる人物のことで、たとえば部門の責任者や、ネ皮害を受けた 3 調主 : 市民釣自由 (civil liberty) とは行正力の恣篇的な干渉からのホストあるいは情報の所有者である。またこの初期段階で自由の 158 UNIX MAGAZIN E 2002.7

5. UNIX MAGAZINE 2002年7月号

日 ST 13th AnnuaI Computer Security lncident HandIing Conference 分的に上書きしてしまうことか挙げられる ) 。どのような措置をとったかはすべて言当求に残しておくべきだが、侵入されたシステム上で言求することだけは避けなけれはならない。その点では、外部のテーフ。装置に言当求しておくのもよい。また、クロックのドリフト ( システム時間と、実際の " 時間との差 ) は消失してしまいやすい重要な証拠の 1 つである。これがないと、複数の情報原から得たタイムスタンフ。付きログの相関関係を明らかにできなくなる可能性がある。クロックは糸寸に変更してはならない。さらに、関連するデータのコピーを作成して MD5 でチェックサムをとり ( SHA -1 ならなおよい ) 、オリジナルとコピーのチェックサムが一致するかどうかを調べよう。可能であればデジタルタイムスタンフ・サーピスを利用してこれらのチェックサムに署名と日付を付け、証拠とチェックサム、署名を厳重に保管しよう。コピーについては、ハードディスク本のピット単位のコピーが最善であり、次いでファイルシステムのビット単位のコピー、ファイルのコピーの順となる。ファイルからの抜粋ば勺証拠にはなりにくい。ログの抜粋は証拠を示す際には役立つかもしれないが、司法の場には完全な言当求を提出しなくてはならない。裁判所によってはデジタル形式 (CD-ROM) のログファイルを認めるところもあるし、分享いプリントアウトでなけれは受け付けてくれないところもあるだろう。とくに注意すべきなのは、 IDS (lntrusion Detection System) のログは不完全なものだということである。 IDS は便利な侵入服システムではあるが、より完全な証拠となる情報原は、システムロ久ルータや端末サ→ヾーなどのログである。状況の言求 ( たとえはホストに接続するポートを切り替えているユーザーなどに注意する ) 、消失しやすい情報の可能なかぎりの収集、ディスクのコピーの作成などをおこない、自分の責任上当然気を配らなくてはならないような措置をすべて講したら ( たとえしていた情報やサービス、景がおよふ力もしれないすべての第三者に対して措置を講しる ) 、次はデータを角財斤する段階である。角財斤するのはデータのコピーなので、オリジナルのデータ ( 侵入されたホストのディスクイメージ、ルータのロ久端末サーバーのログなど ) は安全な場所に保管し、証拠の連続性を確保しておこう ( つまり改竄されないようにす UNIX MAGAZINE 2002.7 る ) 。データの解析では、証拠がどのように作られたか、何が失われているか、不具合か生しているところはないかについてかなり深く理解する必要がある。たとえば、 UNIX の wtmp ファイルの特定の言当求は本当にユーサーのログインに対応しているかもしれないが、侵入者カ甘呈造した可能性もあるし、そうでなくてもログインしたのがアカウントの所有者であるという保証はない。さまざまな情報源から得たログの相関関係をタイムスタンプをもとに明らかにする際には、クロックのドリフトやタイムゾーンの違いに注意し、それを補正するようにしよう。また、重川乍のなかには、最初に言求されるものもあれば (tcp-wrapper は Telnet セッションの開始時にログに書き込む ) 、最後に言泉されるものもある (wtmp にはログインが正常に完了した時刻が含まれる ) ことに注意しよう。そして、当然のことだがログそのものか攻撃者の改竄の対象になっているかもしれない。ログが上書きされていたり、ログを書き込むソフトウェアか改変されていることもありうる。 sysl 。 g タイフ。のログは UDP を使ってネットワーク上を転送されるが、データの損失カ起きたり偽造されてしまう。こうした間題に対処するために、できるだけ多くの異なる情報源から得たデータを使うべきである。セキュリティを強化したサーバーでログを言求しているのであればさらによい。ディスクの内容を角斤する際には、削除されたファイルの彳匸に役立つツールがたくさんあることを知っておこう。その一例が Dan Farmer と Wietse Venema の The Coroner's Toolkit である。通常は、インシデントに関係した特定のテキストの一部、 IP アドレス、電子メールのー。く並通の " 情報を探すことになるメッセージといった日だろう。ディスク上のファイルに Web 形式のインデックスを作ってそれを検索すればイ叫リだと教えてくれた人もいる。バックアップ・テープを軽視してはならない ( あなたはテープをきちん凵しているだろうか ? ) 。テープを調べれば、ファイルがいつ、どのように変更されたかが分かる。ファイルのチェックサム (Tripwire など ) は驚くはど役に立つ。これは、、侵入されていない " システムや初期状態のシステムのチェックサムが分かっている場合に顕著だが、そうでなくてもバックアップとデータを上交する際には有効である。 155

6. UNIX MAGAZINE 2002年7月号

連載 - / UNIX Communication Notes—O によって構成される。ページは、文グラフィックス、画像情報などを組み合わせたものであり、これらは con- tent stream と呼はれるグラフィックス・オプジェクトの並びで表現されている。 content stream には、複数のグラフィックス・オプジェクトの配置、各グラフィックス・オプジェクトの表示カ 1 去などカ甘旨定されているため、ページがどのように表示されるかを日用寉に定義することができる。さらに、そこに含まれている情報の不頁や内容も参照できる構造になっているので、全文検索も可能である。 PDF では、文書のなかに別の情報を付け加えられるようになっている。たとえば、外部のリソースを参照するリンク ( ハイバーテキスト・リンクなど ) を設定したり、文字列からなるメモを挿入したり、別のファイルを添付したり、さらに、音声や映像などのマルチメディア情報を付け加えることもできる。・丘のバージョンでは、フォームとして利用するための PDF Form という機能も用意されている。これによって、 PDF ファイルとして作成された書類にユーザーか文字列を入力して完成させるといったことも可能になっている。 PDF Form 機能は、まだそれほど普及していないが、変は電子的な申請書類などにひろく応用されるのではないだろうか。このはかに、 PDF ファイルへのデジタル署名や暗号化などの機能もあるため、ドキュメントの機密性を保ちつつスムーズにやりとりできるといった利点もある。 PDF の里系 PDF の処理系は、 Adobe Acrobat と呼ばれる一連の製品として提供されている。基本となる製品は、次の 3 つのプログラムから構成されている。・ Acrobat Distiller 各種アプリケーションのプリンタ出力イメージを PDF に変換するプログラム。基本的にはプリンタドライバとして機能し PostScript ファイルを PDF 形式に変換するツールだが、変換日 ) フォントや画象などの処理方法を指定することもできる。・ Acrobat PDF ファイルの表示や各種の編集をおこなうためのツール。 PDF ファイルとして表現されている情報の囓換え、ページの削除・挿入・入替え、情報の j 助日といった処理ができる。 UNIX MAGAZINE 2002.7 PDF ファイルを表示するだけの Acrobat Reader は、 Adobe から無償で提供されている。・ Acrobat SDK PDF を生成するアプリケーションを開発するためのソフトウェア開発キット。 PDF の信様そのものは無賞で公開されており 1 、これを熟読すれば PDF を生成するプログラムも開発できるだろう。しかしながら、 PDF の仕様は膨大で、詳細にわたって理解するのはかなり難しい。そこで、基本的な変換処理には Acrobat Dis- tiller を使い、開発するアプリケーションが PDF ファイルを生成できるようにするためのインターフェイスを提供するのが SDK である。これを利用すれは、開発するアプリケーションに PDF を生成する機能を簡単に組み込める。これらのプログラムは、 Acrobat Reader を除いてすべて有料である。現在のところ、 Acrobat 製品は Win- dows 、 Mac OS 、 Linux 、 Solaris などにヌ寸応している。ただし、つねに最新版が使えるのは Windows と Mac OS だけで、その他のプラットホームでは旧バージョンしカ吏えないことが多い。 Adobe では、より大規模な処理をおこなうための Ac- robat Distiller Server や、紙でイ呆存されているドキュメントを PDF 形式に変換する Acrobat Capture ( 英謌阪のみ ) などのソフトウェア製品も発表しており、業務の形態に合わせた竟の構築も容易になってきている。 Adobe eBook Adobe は、ネットワーク上で充通する書籍 (eBook) についても PDF をベースに開発を進めてきた。 eBook 構想の目的は、商業べースの書籍や誌などを PDF 形式で頒布し、利用料を支払ったユーザーだけが、そのファイルの内容を読めるようなサービスを構築することにある。利用者管理のためのシステムも用意されており、ピジネスに直結したかたちでの PDF の利用も可能である。 eBook に準拠したオンライン・ドキュメントを生成・管理するシステムと、 eBook を読むためのリーダー (Adobe eBook Reader) もある。 1 http://partners.adobe.com/asn/developer/acrosdk/docs /fiIefmtspecs/PDFReference. pdf 71

7. UNIX MAGAZINE 2002年7月号

FIRST 13th A れれリ Computer Security lncident HandIing Conference クセスを許可するだけでなく、特定の操作には高レベルのアクセスであっても缶齣を設けるというものである。新しいアクセス制御システムを IDS か動作するホストでテストしたところ、ほとんどの攻撃は防御された。システム性能のべンチマーク・テストでは、景斧は最小限であることが分かった (E-LOMAC を使用しない場合の 98.32 % と 85.20 % ) 。 E-LOMAC はホストで測イ乍する IDS か攻撃によって無効化されるのをうまく防ぐようにみえるが、安全面での実践れを構成することはかなり難しい。 Q : デスクトップにおける、、単一栽培的な文化 " ( Micr 。ー USA) 進行役 : Roger Safian (Northwestern University, パネル・ディスカッション専門家への質問たるものである。応や TCP のシーケンス番号の観察 ) など幅広い範用にわスタックの動作の観察 ( とくに正しくないバケットへの反ーバーからの / b ⅲ / ls など ) の解析、システムの TCP/IP の取得、入手可能な実行ファイル (anonymous FTP サの起重加芋の表示 (Telnet の冒頭の表示や HTTP ヘッ夘る手法カ呂介された。この手法は、アプリケーションなどネットワーク上の OS とシステムのバージョンをみつけ Franck Veysset (INTRANODE, France) OS の識別渡る前にチェックする。をシステム側の ( おそらくは脆弱な ) アプリケーションに斉みのジョブ名のリストと照合し、送られてくるデータクエストを取り出す。リクエストを取得すると、それを定名前付きのパイプを監視することで、、 chr 。。 t " 側からのリガ去カ皷露された。、、システム " 側て乍するデーモンが、 chr 。。 t の外のアプリケーションと通信できるようにするクリプトを実行し、ファイルや名前付きのパイプを使って UNIX の、、 chroot" の竟で Web サーノヾーや CGI ス Anne Bennett (Concordia University, Canada) hole-in-the-chroot による・Ⅵ尾 b アプリケーション 162 soft) は問題か読出する原因になっているが、インターネット上の、、単一栽培的な文化 " ( Cisc 。 ) でも同じことか起こるのだろうか ? A : Juniper が Cisco の市場シェアを切り崩しつつある。組織内では、そうした、、単一栽培的な文化 " の危険性と、管理の容易さという面での利点を上交検詞する必要がある。 Q : コンピュータやネットワークの安全鰤呆という点での最重要課題は何か。・つねに最新の状態を系財寺するために責任を割り当てる。・カンファレンスに人を送り、、、そんなことはイ可変も経斉みだ " という人や、難しい局面で助言や確認をしてくれる人とのネットワークを作る。最規模の事故発生日 ) 危険性を査定する。セキュリティ関連の情報を流すメーリングリストに目をとおす時間がとれる人材を割り当てる。・侵入を検知したり、そこから素早く復旧する際に役立っといわれている電子署名を使う。 Q : カーネルモードの rootkit についてはどう考えるか。 A : こうしたツールは出まわっているし、たいへん威力がある。クラッカーか組み込むガ去 ( ワーム経由のものを含む ) も巧妙になっている。 NetFIow やトラフィック角斤では、一ヨ勺ではないポートの使用力鹸出されるようなのて注意すべきだ。 Q : ネットワークの情報をサンプリングするセンサーがあったとすると、どの情報がもっとも役に立つのだろうか。 A : イベントの開始前と最中のフローを角斤するのがもっとも有効だ。大半の IDS はそこまで詳細な情報を提供しないので注意が必要である。ネットワーク・フローが最良のツールであり、 MRTG (Multi Router Traffic Grapher) を使って傾向を引き出すことができる。 Q : インシデントへの対応やウイルスの収集をおこなっていてどのようなことを感しるか。 A : ワームは 2 つの機能を併用するようになった。つまり、ウイルス的な侵入とネットワークを利用した活動を UNIX MAGAZINE 2002.7

8. UNIX MAGAZINE 2002年7月号

・実装間のインターオペラビリティを向上させるために、証明書パス有効化用のアルゴリズムを詳しく説明している。・ CRL を使う証明書の状態を決定するアルゴリズムを説明している。新しい用法のモデルを導入するため、 delta CRL の使用に関する詳しい情報を提供している。・公開鍵や電子署名の識別と符号化については触れす、 RFC3279 にまとめている。・ 4 つの拡張機能を追加している ( 証明書拡張機能として info access 、 inhibit any-policy 、 freshest CRL を、 CRL 拡ち長機能として freshest CRL を追加 ) 。全 ( 勺に文章の明確さと ITU-T X. 509 定義との一貫性を高めている。 RFC3281 An lnternet Attribute Certificate Profile for Authorization 認のインターネット属性証日艪プロファイル PS. 、 S. Farrell 他インターネット x. 509 属性証明書 (AC) の使用に関するプロファイルを定義している。現在の状態は、、標準化へク是唱 " である。 2002 年 4 月に公開された。 AC はアクセス制御、データ始点認証、非拒絶 (non- repudiation) などといった危囲のセキュリティ・サービスに利用される。 x. 509 公開鍵証明書 (PKC) では本人認証要件を公開鍵に限定していた。 AC は PKC と似た構造をもつ。 AC にはグループ・メンバーシップ、彳齬リ、セキュリティ取決めなどの AC 所持者と権限情報を示すための属性カ哈まれる可能生があるが、公開鍵は含まない。 RFC3281 では、・ AC の構造・ AC の配布・ AC の定義・ AC の拡張欟冓・ AC の属性型・ AC の検証および無効化各種のオプション機能について説明している。 168 DOCSIS 関連 RFC3255 Extending Point-to-Point Protocol(PPP) over Synchronous Optical NETwork/Synchronous Digital Hierarchy (SONET/SDH) with virtual con- catenation, high order and low order payloads 仮想売およひ言位 / イ立ペイロードを用いた SONET/ SDH 上での PPP 拡張 PS. 、 N. 」 ones 他 SONET/SDH ( 同期式光ネットワーク / 同期式デジタル階層 ) への ppp のマッピング方法に対する拡張機能を定義している。現在の状態は、、標準化への提唱 " である。 2002 年 4 月に公開された。 RFC3255 では、 PPP コネクションを SONET/SDH にマッピングするため、 SONET/SDH SPE/VC イ廨課接続と高位 / 低位ペイロードを使用する拡張欟を定義している。現行の PPP over SONET/SDH 実装では、配送ストラクチャの選択範囲がきわめて限定されており、かならすしも最商の帯域幅を使用できるとはかぎらなかった。 RFC3255 で定義された拡張機能を用いることで、 PPP リンクに対して正しいサイズの SONET/SDH 帯域幅を尺できるようになる。 RFC3256 The DOCSIS (Data-Over-Cable Service lnterface Specifications) Device Class DHCP (DY- namic Host Configuration protocol) Relay Agent ー formation Sub-option DOCSIS における DHCP リレー・エージェント情報サブオプションクラス PS. 、 D. 」 ones 他 DHCP リレー・エージェント↑帯長オプションの新しいサブオプションを提案している。現在の状態は、、標準化へ窈是唱 " である。 2002 年 4 月に公開された。 DHCP リレー・エージェントでは機器クラスを扱うサブオプションが定義されており、機器クラスに応じた処理が可能である。 RFC3256 では、 DOCSIS ( ケープルサーピス上のデータ伝送インターフェイス規定 ) ケープルモデムの使用に対応する DHCP リレー・エージェント情報オプションを追加している。 CCCM (CPE 制御ケープルモデム ) では、 DOCSIS シグナリング制御をモデムのファームウェアでおこなう。 UNIX MAGAZINE 2002.7

9. UNIX MAGAZINE 2002年7月号

FIRST 13 市 AnnuaI ( 0EP02 「 Security lncident Ha れ引 i れ 9 Conference その結果、スキャン関連のインシデントの糸 t を集め、それをもとにこれまで知られていなかった攻撃を検出したり石忍できるようになった。たとえは、 12345 番ポートへのスキャンの急増は、 Detlog ワームに関係したものだということが分かった。だが、このプロジェクトの最大の収穫は、協力的なセキュリティ・コミュニティを構築できたことである。 CyberAbuse プロジェクト Philippe Bourcier ()P Conseil, France) CyberAbuse プロジェクトは、 IRC の濫用、とくに DoS 攻撃を防ぐために IRC Undernet プロジェクトの一部が発展したものである。最初のプロジェクトの 1 つである、、 Abuse-DoS" では、、、バケット増幅 %V'(Smurf Amplifier) になっているルータ 6 を発見し、管理者に正しいルータの設定に関する情報を送った。設定に誤りのある 19 万のネットワークのうちの 25 % は、管理者にメールで知らせたところ修正された。もう 1 つのプロジェクトである、、 Abuse-Proxy" は、匿名の IRC 接続を提供している IRC プロキシーの問題に対処するものである。プロキシー検査ツールがこうしたプロキシーを検出し、こでも間違った設定にしているホストの管理者に電子メールを送信した。、 anti-hack" プロジェクトでは、 DoS 攻撃ツールやトロイの木騎を対象として、特定の IRC チャネルを監視した。被害を受けたサイトの管理者、および CERT は、侵入されたホストが発見されると警告を受ける。問題点は 80 % か着理者によって修正された。 CrimeWatch プロジェクトは、セキュリティの専門家や法執行機関が、リドグループや新技術の動向に関する情報を入手できるようにするためのものである。インシデント報告里の自動化とプロープおよびスキャン情報の相関系 Mark McPherson (University of Queensland, Aus- tralia) CSIRT は、プローフスキャン、アクセス、いたすら、 DoS 攻撃、ウイルス、 SPAM など、さまざまな攻撃の報告を受ける。プロープは攻撃の準備を示しているのかもしれないし、 6 心主 : directed broadcast を有効にしているルータ。 UNIX MAG AZINE 2002.7 進行中の別の攻撃を隠すためのものかもしれない。広い範囲にわたるスキャンは、実際に何か起こっているのかを見えにくくする煙慕の彳難リをはたす。複数のサイト間のログの相関関係は、、、真 " の攻撃を特定するために役立てることかできる。 CSIRT はコミュニティとのあいだにすでにイ言頼関係を築いているので、こうしたログを収集する組織としては理にかなった〕尺肢である。 AusCERT は、さまざまなサイトから送信されたプロープに関する報告の収集や処理、石忍をおこなう "probe- 1 。 gger " を作成した。これは、スキャンを起点サイトに選択的に報告する機能ももっている。プロープの起点が AusCERT 会員サイトである場合は、ソフトウェアがフラグを立て、そのインシデントは特別な処理を受ける。侵入探知システムの保護機構 Takefumi Onabuta ( 情報処辰興事業協会、日本 ) IDS を実行しているホストがシステムレベルでイ受入されると、 IDS のファイルとプロセスを攻撃者から守るのは不可能である。そこで、カーネルレベルの手法を使って、強制的なアクセス制御を実装した。検言寸したアクセス制御モデル (LOMAC) は、低いセキュリティ・レベルと咼いセキュリティ・レベルを定義し、れらのレベルをサプジェクト ( プロセス ) とオプジェクト ( ファイル ) に割り当てるというものである。低レベルのサプジェクトは、高レベルのオプジェクトへのアクセスを禁止される。問題なのは、システムのログは低レベル ( ユーサーランド ) のプロセスか書き込むのに、読み込むのは高レベル (IDS) のプロセスなので、ログの情報がイ描されないことである。そこで別のアクセス制御モデル (LAM) か験討された。これはオプジェクトへのアクセスに対して、読出し専用、書込み、追加、新規作成、削除、リンク、修正、実行という異なる制限を定義するものである。発表者たちは LAM と LOMAC のハイプリッド版である E-LOMAC 朝刻長 LOMAC) を作成した。これは低レベノいサプジェクトによる高レベル・オプジェクトへのア侵入探知 161

10. UNIX MAGAZINE 2002年7月号

ロプロクラミンク・テクニック多治見寿和 TE し NET プロトコルのオプション則回は、 telnetd コマンドが telnet コマンドと通信を確立してユーサーにサービスを提供する仕組みについて説明しました。とくに、リングノヾッフアなど telnet コマンドて特彳洳勺な部分が、対応する telnetd コマンドではどのように処理されているかをみました。今回は、 telnet コマンドや telnetd コマンドが実現している TELNET アプリケーション・プロトコルをとりあげ、そのオプションの処理について説明します。 TELNET プロトコル telnet や telnetd は、 TELNET プロトコルを実見するコマンドとして実装されています。 TELNET プロトコルは j 鬮隔ログインのためのプロトコルであり、 RFC854 [ 1 ] で定義されています。 TELNET プロトコルでは、 TCP を利用してサーバーとクライアントを接続します。このとき、サーバーはかならす 23 番ポートを使ってクライアントからの接続を待ち、クライアントは任意のポートを使用してサーバーの 23 番ポートに接続します。 TCP による接続か不寉立すると、ますサーバーとクライアントはさまざまな情報をやりとりし、どのように通信をおこなうかについて合意をとりつけます。両者のあいだで合意か成立すると、実際の通信カ駘まります。以降は、前回までに紹介した telnet コマンドや telnetd コマンドの処理になります。 telnet コマンドはユーサー ( キーポード ) からの入力をネットワーク経由で telnetd コマンドに渡し、同様にネットワークを通して telnetd コマンドから渡される出力をユーサー ( 端末の画面 ) に出力します。 telnetd コマンドのほうは、ネットワークの先に 86 ある telnet コマンドから渡された情報をサーバー上で動作しているシェルなどのプロセスに渡し、プロセスの出力を telnet コマンドに返します。このとき、これまでとくに説明しませんでしたが、実際にはいろいろな処理をしながらデータをやりとりしています。今回はおもにこの部分についてみていきます。仮想的な端末 TELNET プロトコルではます NVT (Network Vir- tual Terminal) を定義しています。これは仮想的な端末で、一勺な端末とよく似た機能をもちます。 telnetd フログラムはこの NVT を端末としてログインシェルを起動し、 telnet プログラムではこの端末用に送られてきた制御コードを、実際にユーサーか使っている端末で正しく表示できるかたちに変更します。クライアント側に接続された端末をヾて、サーバー側ではその端末用の制御コードを生成するガ去も考えられますが、そのためにはサーバーカ鮟続してくる可能性のあるすべての端末についての情報 &f 尉寺している必要があり、あまり現実的とはいえません。それよりも、イ反想的な端末を設定し、サーバー側ではこの端末カ材妾続されているものとして処理をおこなうほうカ吶単です。一方、クライアント側では、この仮想的な端末と実際の端末との機能の違いを吸収するためのソフトウェアが必要になります。それが telnet フログラムとして実現されているわけです。こで、 NVT の機能をどの程度のものに設定するかが間題になります。あまり高機能にすると telnet プログラムでの変換が大変です。かといって、 NVT の機能が低けれは、ユーサーか茴機能の端末を使っていても telnetd UNIX MAGAZINE 2002.7