連載 NET WORTH—O リケーションを、 Windows NT カカく lntel 以外の / ドウェアでも重川第させることができる。 Windows NT がデバイスドライバに関して使うプログ ラミング・モデルは、 Windows 3. x / 95 と異なっており、 はとんどはしめから書き直す必要がある。 Windows NT の DDK は、 Windows 3. x / 95 の DDK とは別物であ る。 Windows NT のデバイスドライバは、アセンプリ言 語ではなく C 言語 ( または C 言語の関数を呼び出せるは かの言語 ) で書かなけれはならす、カーネルモードとして 用意されている多数の API やフラットホームに特有の内 部構造の関数を使わなけれはならない。さらに Microsoft は、ファイルシステム・ドライバを書くのに必要な API や内部構造を正式に文ヒしなかった。 NT の各リリース では、 NFS クライアントやサーバーで必要とされる内部 のデータ構造や API か変わっている。 Windows NT 用 の NFS ソフトウェアを開発しているべンダーは、個人的 に Microsoft と連絡をとり、定期的に適切な情報を受け 取れるように要請しなければならなかった。その結果、現 在 Windows NT 4.0 用の NFS を提供しているべンダー はわずかである。現在 Microsoft は、 5 000 ドルで IFS (lnstallable File system) Kit を販売している 4 Windows NT は、 NT Workstation と NT Server の 2 不鶤頁か版売されている。 2 つの製品は、 Win32 レジ ストリへの設定清報の登録にわすかな違いがあるだけで、 NT サーバーに付いているアプリケーションのはうかやや 多いが、値段にはかなりの違いがある 5 。 NFS サーバー ソフトウェアは、どちらの NT 製品でも効果的に利用す ることかできる。 UNIX と Windows NT の資源の共有 UNIX と Windows NT システムて資源を共有するに は、 2 つの異なるシステム間て管理モデル、ファイルシス ミッションを対応づけることが必要であ テムの本冓 j 告、ノヾー る。 UNIX システムでは、ユーザー ID (UID) やグルーフ ID ( GID ) でファイル、ディレクトリ、テパイスの所有権 やアクセス権力鴃まる。オーナー / グループ / その他の人 4 岩田な清芝は、 http://www.microsoft.com/hwdev/ntifskit/ default. htm から得られる。 5 2 製品の違いの料田に興味がある人は、 http://www.ntinternals. 144 com/tune.htm を参月 に対して、別々のアクセス権か割り当てらオ L 、ユーサーが 与・えるデフォルト値 ( umask ) によってファイル作成時 に決まるのか普通である。これらのアクセス権には、読出 し / 書込み / 実行がある ( ディレクトリのアクセス制御に も使われる ) 。 UNIX のユーザーは、複数のグループに属 していてもよく ( 複数の GID をもっ ) 、ワークグルーフ澗 て柔軟なアクセス共有が可能である。これらの仕組みは例 外なく適用されるので、ファイル、ディレクトリ、デバイ スごとに個別のアクセス権を・与えることができる。 いくつかの UNIX べンダー ( たとえば、 Solaris 2.5 の sun) は、一歩進んだアクセス制御リスト (ACL) を 扱えるように、ファイルシステムを拡張している。 NIS (Network lnformation Service) や Sun か山も丘開発し た NIS 十は、 UNIX システムの大規模ネットワークの運 用、管理を集中化するためにひろく使われている。 NFS プロトコルと同様、 NIS や NIS 十では Sun の RPC (Remote procedure call) 機構が使われており、中央 で管理されたデータベースにリモートからアクセスする ことができる。新たな OSF (Open Software Founda- tion) DCE (Distributed Computing Environment) の RPC 欟冓やアプリケーションを使って管理をおこな っているプラットホームもある。はかに、独自管理ソフト ウェアを使っているプラットホームもある。 Windows NT では、ユーザー名とグループ ( ューサ ーの集合 ) でアクセス権力鴃まる。デフォルト・グループ として、 Administrators 、 Backup Operators 、 Power Users 、 Users 、 Guests か定義されている。はかのグルー プも定義できる。 FAT ファイルシステムではアクセス制 御ができないが、 FAT ファイルへのリモートアクセスは、 ューザーのネットワーク・パーミッションにより、ファ イルシステム単位で制限することかできる。 NTFS のパー ティションでは、ディレクトリ単位でアクセス制御が可能 である。このような基本的なアクセス権には、一覧表小、 読出し、追加、 j 助日と読出し、変更、完全アクセスなどが ある。個々の ACL では、ファイルやディレクトリ単位 でアクセス制御がおこなえる。これらの ACL では、読出 し、書込み、実行、削除、パーミッションの変更、所有権 ッションか割り当てら の取得に対して、個別のパー 提供されなければならない。アクセス権と ACL の設疋は 退屈な作業であり、ファイル・マネージャーや W ⅲ d 。 ws UNIX MAGAZINE 1997.11

牲になるといわれます。 に出されるのが、 これを説明するときによく引合い セキュリティ x 使いやすさ = 一定 という式です。セキュリティ・レベルを上げると使いにく くなり、使いやすさを優先させるとセキュリティ・レベル が下がる。つまり、セキュリティと使いやすさは反比例す るという有名な式です。 もっとも、これには異論もあり、 「使いやすさを保ちながら、セキュリティ・レベルを上げ ることもできる」 と言う人もいます。ただし、それにはネットワーク管理者 がセキュリティについて勉強したり、ネットワーク環境 をこまめにメンテナンスしたり、アクセスを諡見したりす る体力、気力が必要です。この場合は、次の式がなりたっ でしよう。 セキュリティ x 使いやすさ = 体力十気力 しかし、時間の釜茴とともに体力や気力は徐々に低下し ていきます。そこで、右辺か次のように変化します。 セキュリティ x 使いやすさ = お金 悪意をもつアクセスから自分のネットワークやホストを 守るために、現点でお勧めできるガ去はファイアウォー ルの導入です。 ファイアウォールを導入すると何がどうなるのかを説明 する前に、不正アクセスについて触れておきましよう。 - 不正アクセス あるユーサーが、自分に与えられた権限によって許さ れる範囲外の行為をおこなったとき、これを不正アクセス と呼びます。たとえば、他人のアカウントでログインした り、ログインしてはいけないホストにログインしたり、見 てはいけないファイルを見たり、ホストカ甘是供するサービ スを妨害したりといったことです。 も丘は、ほかのサイトの知らないホストに対して telnet コマンドを実行すると、それだけで不正アクセスとみなさ れることが多いようです。実際にログインできなくても、 他人のアカウントでログインを試みたり、アカウントをも っているホスト内で許可の与えられていないファイルを見 124 ようと試みたりするのは不正アクセスです。あるいは、ア カウントをもっていないホストのファイルをあの手この手 で見ようとするのも不正アクセスであり、現在はこの種の 不正アクセスか激増しています。もちろん、侵入の足掛り となる情報を得るためです。 不正アクセスによる直孑却勺な書には、次のようなもの があります。 ・ホストに侵入される。 情幸ヾ届洩する。 ・システムの設定ファイルなどか書き換えられる。 ・ホストカ吏用不能になる。 大量のゴミ (junk) メールか送られる。 これらにともなう副次的な被害もあります。 次のようなものです。 ・はかのサイトに迷惑をかける。 言判肋觝下する。 ・システムの復旧に人件費がかかる。 たとえは、 ・サービスの停止により、締剤勺な損失をこうむる。 どれか 1 つだけをとってみても、大きな景グを受ける ものはかりです。 多くの侵入者は、ホストに侵入したあと、そこを足場に 別サイトのホストへ侵入しようとします。場合によっては 侵入を試みるための ( クラッキンクつプログラムを実行し、 多数のサイトのホストに対して攻撃をしかけます。多くの 場合、攻撃に気づいたホストのシステム管理者は、 4 義の メールを送ってきます。これらの大量のわ義メールに対し て、誠意をもって詳しい事を説明した返事を書き送るの は大変な仕事です。さらに、いったん、 「あのサイトはセキュリテイかⅢい」 という ( ありがたくない ) 評判がたってしまうと、なかな か打ち消せません。 山も広 Web サーバーに侵入してページの内容を書き換 える行為が世界中で流行しているようです 1 。書き換えら れたことが世間に知れると、ページの持ち主は恥をかきま 1 : のセキュリティ関匝イ戔業である CSI (Computer Security ln- stitute) は FBI などと共同で実施したセキュリティー受こ関する調査 結果を実例とともに Web ページ (http://www.csci.ca/) で公表し ています。 UNIX MAGAZINE 1997.11

表 1 不正アクセス対応 CERT/CC AUSCERT JPCERT/CC 、 veb ページ http://www.cert.org/ 各先メールアドレス cert@cert.org http://www.auscert.org/au/ auscert@auscert.org/au http://www.jpcert.or.jp/ info@jpcert.or. JP 利用した不正アクセスを受けたというケースもまた多いよ うです。 JPCERT/CC 1996 年 10 月、日本にも CERT/CC や AUSCERT と同様な組織である JPCERT/CC (Japan Computer Emergency Response Team/Coordination Center) か設立されました。その最大の特徴は、、、日本語の文書を 発行している " ことです。もちろん、メールのやりとりも 日本語でできます。現在のところ、 CERT Advisory に類 する勧告書は発行していませんが、「現在、このような攻撃 ガ去か流行している。これを防ぐにはこうすれは・よい」と いう緊急報告や、「セキュリティ対策を施すときには、 のように設疋しておくとよい」といった内容の技術文書を 不定期に発行しています。 世界中のほとんどの cert/IRT は、不正アクセスに関 する相談を知て受け付けています。しかし、これらの組 織から得られるのは一勺なセキュリティ↑帯長やその情報 へのポインタなどだけで、個々のホストの設疋ファイルを 書き直すようなサーピスは受けられませんし、個別のケー スに対応したコンサルティングをしてくれるわけでもあり ません 2 ( 科金を支払って会員になれはコンサルティング をしてくれる糸目織もあるようです ) 。 CERT/CC 、 AUSCERT 、 JPCERT/CC のホーム ページの URL と ; 叫各先を表 1 に記しておきます。 - ファイアウォールって何 ? ファイアウォール ( 防火壁 ) とは、建物内で火災カ起き たときに延焼を防いだり、あるいは周囲の火事から飛び火 しないようにするための壁です。 インターネットのファイアウォールも同様で、、、不正ア クセス " の被害を防ぐために、そして、被害を受けてもそ れがひろがるのを防ぐために設置します。具ー和勺には、次 2 ただし、インターネット本に鞍をおよはす可能性のある不正アクセス についてはレ材ごそうです。 126 図 1 ファイアウォール窈殳割 不正アクセスを防ぐ 監視する 通過するデータを アクセスは通す 許可された 外に出てはいけない データを遮断する 図 2 内部と外部のあいだに位置するファイアウォ インターネット ファイアウォール ーノレ 内部ネットワーク のような機能を備えています ( 図 1 ) 。 ・外部からの不正アクセスを防ぐ。 UNIX MAGAZINE 1997.11 j 面茴します。したがって、これらの通信をファイアウォー 内部ネットワークとの通信は、すべてファイアウォールを トワークのあいだに設置します ( 図 2 ) 。インターネットと ーヨ殳に、ファイアウォールはインターネットと内部ネッ ・内部のユーサーやデータが外に出ていくのを監視する。

S-PD650 高速光ディスク装置 PD シリーズ PD ドライブを ハードディスクキャッシュで 高速・高機能化 ! ! PD ・自動デュプリケート機能を搭載 マルチュースに対応 ! ! PD へのアクセスを高速化 2. PD ・ CD ・ HDD の 1 台 3 役 1 . 高速アクセス 1 台の P D アクセラレータで、 P D カートリッジと PD アクセラレータは内蔵の大容量ハードディスク CD - 日 OM が使用できる上、 600MB をハードディス ( 1 .2 G B ) をキャッシュとして使用することにより、 PD へのアクセスをハードティスクと同等の速度まで クとして同時に使用できます。 高速化しました。 様々なニーズに対応、豊富な PD ファミリー 3. シャドウディスク PD アクセラレータ 型式 S-PD650 キャッシュ用ハードディスクを使用して仮想 PD を作 PD アクセラレータ 成することができます。 PD が挿入されていなくても 十マルチューザー対応のマウントユーティリティ 挿入されている時と同じようにアクセスすることが 平均シーク ] PD ( キャ、 , シ、ヒト時 ) 12 0 00 でき、 PD と CD - 日 OM の同時使用が可能です。 CD-ROM 129 msec SUN 用 PD サプシステム 4. デュプリケート機能 型式 K-PD650 PD サプシステム十デノヾイスドライノヾ PD の複製が容易にできます。また、複製を作成中 十マルチューザー対応のマウントユーティリティ でも PD にアクセスすることが可能です。 SUN 用 PD ユーティリテイソフト 型式 D-PD650 5. バックグラウンドデータ転送 デノヾイスドライバ十マルチューザー対応の PD とキャッシュ用ハードディスクとの間のデータ転 マウントユーティリティ 送は、ホストコンピュータからアクセスが無いとき 対応機種 / OS に、自動的に行なわれます。このため、ユーザーは Sun Microsystems 社 /S01aris 2.3 、 2.4 、 2.5 PD とキャッシュ間のデータ転送を何ら意識する必要 PC/AT 互換機 /DOS 5.0 以上 Windows 3.1 、 Windows 95 、 Windows NT3.51 がありません。 0 PD キャッシュ コントロー フ ( 650MB ) ハードディスク 1 .2GB ハードディスク 600M B PD ドライプ ー S-PD650 PD のデータ資産は、 DVD 時代にも継承されます。記録媒体を選ぶなら PD です。 記載された会社名および商品名は各社の商標および登録商標です。 構成図 ホストコンビュータ 川鉄情報システム株式会社 コミュニケーションシステム事業部メディアシステム部担当足立、大久保 〒 135 東京都江東区豊洲 3-3-3 ( 豊洲センタービル ) TEL. 03-5546-2220 FAX. 03-5546-2193 URL http : ″ www.ksd. CO. jp 資料請求 No. 076

ファイアウォールの作り方 白崎博生 ことでしよう。昔の人が言ったとおり、後胼先に立たす、 - インターネットとセキュリティ 泥棒を捕まえてから縄をなっていては遅いのです。 インターネット側からみると、サイトの莫の大小など あえて繰り返すまでもありませんが、やはりインターネ は孑則できません。もちろん、有名なサイトはそれだけ攻 ットは便利な道具です。 撃を受ける危険か高いのは事実です。しかし、簡単なプ とくに情報を収集するときには、手軽に探し始められる ログラムを書くだけでインターネットに接続されたホスト ことと結果が早く得られるのか嬉しいですね。あちこちに に対する、、しらみつぶし攻撃 " ができるため、不正アクセ ある Web ページや FTP サーバーからは、多種多様な情 スの害に遭う可能性という点では、サイトの有名、無名 幸肋碍られます。 はあまり関係がありません。つまり、どんな小さなホスト 一方、いろいろなホストからのアクセスを許すイはみを でも、そしてホストのなかに重要なファイルがなくても、 利用して、自分のもつ情報をインターネットに公開するこ インターネットに接続するホストにはすべてセキュリティ ともできます。その反面、悪意をもって、あるいはいたす 対策を施さなけ川まならないのです。 ら目的でアクセスされる場合があります。 「ホンマけ ? 」 、いたすら " といえば電話が思い浮かびます。家庭にある いぐらかおおげさには書きましたが、けしてウソではあ 電話機は、電話のネットワーク ( 電話細に接続されてい りません。このような事態に対処するには、悪意をもつア ます。そして、その電話機からは、日本はもちろん世界中 クセスから自分のホストやネットワークを防御すん欟冓が に電話をかけることかできます。しかし、逆に世界中の黽 必要です。子どものころは、 話機からいたすら電話をかけられる可能匪もあります。 それでは、電話網とインターネットを用いた不正アクセ 「透明バリアー、は一つた ! 」 スの違いはどこにあるのでしようか。それは、 と宣言す川ま、すべての攻撃から自分を守れたにとにな 「インターネットを使ったいたすらアクセスは簡単」 った ) ものです。しかし、インターネットの世界では透明 ということです。電話の場合、料金を支払ったり、ダイヤ バリアーは無力です。 ルを回したりと、いたすらをする側にもいくらかの負担が そこで、なんらかのセキュリティ対策を施して、ネット かかります。ところが、インターネットでは、いたすらの ワークのセキュリティ・レベルを上げる必要があります。 対象が日本のホストであろうが外国のホストであろうが、 具ー勺にはアクセス ( の不鶤頁 ) を制限したり、バケットを あるいは 1 つのホストであろうが 100 のホストであろう フィルタリングしたりします。 が、かかる手間や負担はほとんど同しです。 「セキュリティ・レベルを上げたら、そのぶん使いにくく もし、「自分のサイトは小莫だから、不正アクセスな なるんちゃうの ? 」 んか関係ない」と考えてセキュリティ対策を怠っている と、いすそオ功ゞ大きな間違いだったと思い知らされる ーヨ殳に、セキュリティ対策を強化すると使いやすさカ 123 UNIX MAGAZINE 1997.11

す。場合によっては、新聞などて幸首されるかもしれませ ん。そうなると、ページの持ち主はもっと恥をかきます。 当然ですが、侵入されたホストではシステムを復旧しな ければなりません。管理者のアカウントか盜まれた場合に は、システムのファイルか改竄されているかどうかをヾ る必要があります。調べる手段がなけれは、システムを 再構築しないかぎり完全な復旧は望めません。もちろん、 どのファイルか改竄されているのかは分かりません。 OS の再インストールはもとより、すべてのプログラムを再イ ンストールする必要があります。さらに、系騰内の全員の パスワードを変更するといったイ乍業もしなければなりませ ん。そのあいだ、すくなくとも数人か本来の業務とは別の 仕事にに殺されてしまいます。これは、企業本にとって 大きな損失になります。 システムの復旧中は、そのシステムで提供しているサー ピスは停止します。たとえは、メールサーバーを止めると 電子メールが使えなくなります。メールを商取引 ( 通信販 売の受注など ) に使っていた場合、そのあいだは取引を中 止するといった対応をとらざるをえません。代替ホストを 利用して停止時間を最小限に抑えることはできますが、そ れにしても、あらかしめ代替用のシステムを用意しておく といった対策が必喫です。 ーユーヨークでは、 xx と△△には糸寸に行ってはいけ そうでもありません。 は、インターネットはニューヨークの地下鉄のように怖い なんだか、すいぶん脅かしたような気がします。それで かというと、 UNIX MAGAZINE 1997.11 フトウェアのセキュリティ・ホールや不正アクセスに関す Team) と呼はれる系目系勧ゞあります。これらの組織は、ソ response team) あるいは IRT (lncident Response 世界には、いくつかの cert (computer emergency 不正アクセスを受けたら うすれはよいのでしようか。 れるのでしようか。また、不正アクセスを受けた場合はど それでは、そのようなセキュリティ情報はどこから得ら 避できます。 正アクセスに対しても事前に対策を講しておけは危険を回 という情報をあらかしめ知っていれば大丈夫なように、不 アアオー ) の作り方・・・ る情報の公開、不正アクセスを受けたホストの管理者から の相談への対応、そして、セキュリティに関する啓発活動 などをおこなっています。 米国の CERT/CC とオーストラリアの AUSCERT 、 日本の JPCERT/CC について簡単に紹介しておきまし CERT/CC CERT/CC は有名なので、ご存しの方もたくさんいる のではないでしようか。とくに CERT/CC が発行する 「 CERT Advisory (CERT 勧告書 ) 」は、インターネッ トに接続しているホストの管理者にとって必読の文書で す。この三里の文書では、ソフトウェアのセキュリティ ホールに関する解説とその景グ厰そして対処去か説明さ れています。不正アクセスの多くは、この文書に従ってセ キュリティ対策を施していれは防げるものはかりです。 CERT Advisory は、次の URL から入手できます。 ftp://ftp.cert.org/pub/cert-advisories/ AUSCERT AUSCERT も、同様の勧告書「 AUSCERT Advi- sory 」を発行しています。セキュリティ・ホールの発見 から勧告書の発行までの時間カく、内容も正確なため、 CERT Advisory とともに高い評価を得ています。想 的には、 CERT Advisory と AUSCERT Advisory の 両方に目をとおしておくべきでしよう。 AUSCERT Advisory は次の URL から入手できま す。 ftp://ftp.auscert ・ org.au/pub/auscert/advisory/ これらの Advisory を必読文書に挙げるのは当然とし て、 1 つだけ困った問題があります。それは、これらの文 書がすべて英語て書かれていることです。私自身、英語で 書かれているものを見ると、、近いうちにきっと読もう ' と固く心に誓うのですが、いさ第売もうとすると、突然ひど いに襲われたりします。不思議ですれ そう感じるのは不墅ごけではないらしく、いろいろなとこ ろから聞こえてくる声を総合すると、英語を読むのはイ鮎カ だと感している管理者は少なくないようです ( 仲間が多く てちょっと嬉しいです ) 。ところが、、、時間ができたとき に読もう " と思っていたら、そのセキュリティ・ホールを 125

NET WORTH om UNIX REVIEW M. Steven Baker Windows NT 用 NFS サーバー 去も匠は、 NFS を使って UNIX マシンの資源にアク セスするソフトウェアについて述べてきた 1 。そのなかで は、 PC から UNIX のファイルやプリンタにアクセスす る NFS クライアント・ソフトウェアについてとりあげ た。しかし、 Windows NT マシンで利用できる資源を UNIX マシンと共有する必要性もあるだろう。そ、でム 回は、 Windows NT で NFS サーバーを動かす際に中 心となるさまざまな事項や、問題の鮹夬方法について述べ Windows 95 と NT の違い Windows 95 と Windows NT は外見上似ており、 同しⅥⅱ n32 API (Application Programming lnter- face) が多く使われているが、内部構造は劇的に異なって いる。 Windows 95 は、旧い DOS と Windows 3. x の コードをもとに進化した。そのため、基礎をなす PC ハー ドウェアに直接アクセスする旧い DOS プログラムを動か すことができる。 DOS の FAT (File Allocation Table) ファイルシステムにいくつかの拡張を施し、長いファイル 名や大きなディスク (FAT32) に対応できるが、これらの ファイルシステムではアクセス制御がおこなえない。 Windows 95 は、 NFS クライアントやサーバーで要 求されるカーネルに組み込むデバイスドライバに関して、 Windows NT とは設計が異なる。 Windows 95 では ネットワーク・ドライバやファイルシステム・ドライバ が、 Windows 3. x で登場した VxD (VirtuaI Device Driver) を使うモデルに拡張されている。 DOS のテンヾイ スドライバ同様、 VxD は処理速度の向 - E とプログラムサ 1 本連載 1997 年 6 月号、 7 月号、 10 月号参乢 UNIX MAGAZINE 1997.11 イズク、を目的に、アセンプリ言語て書くように言 t さ れていた。 Vireo Software2 は、 C や C 十十言語を使っ て Windows 95 用のデバイスドライバの開発を容易にす る VtoolsD という優れたソフトウェアを販売している。 Windows 3. x の DDK (Device Driver Kit) にも Windows 95 の DDK にも、さまざまなサンプル・プ ログラムやツールが入っている。 Windows 95 の DDK では、ネットワーク・ドライバやファイルシステム・ド ライバについての適切な情幸肋醍供されており、開発者が NFS クライアントやサーバーを実装できるようになって いる。 Windows 3. x で PCNFS に対応したべンダーが、 これらの製品を Windows 95 対応にするのは簡単だった。 そのため、現在多くの企業から Windows 95 用の NFS ソフトウェアが出ている。 Windows NT には、 OS/2 ()T の先駆者であり、競 合相手でもある ) から受け継いだ API もあるが、基本設 計はデスクトップ PC 向けのソフトウェアというよりは VAX VMS に近い。 Windows NT は、本来の NTFS だけでなく、 DOS FAT ファイルシステムにも対応して いる 3 。 Windows NT はセキュリティを考慮に入れて設 計されており、 NTFS ではディレクトリやファイルのア クセス制御が可能である。 DOS や Windows 3. x のアプ リケーションは、 WOW (Windows On Windows) と 呼はれるエミュレーション層て動かすことかて、きる。最初 lnsignia Solutions からライセンスされていたこのエミュ レーション技術を使うと、楚をなすハードウェアに直接 アクセスしない DOS や Windows 3. x の大部分のアプ 2 訂主 : http://www.vireo.com/ 3 NT 3.51 では、 OS / 2 から移行するユーサーのために、 OS / 2 の HPFS に対施もな 143

ルの 1 カ所で監視したり制御したりできます。つまり、内 部ネットワーク本を監視するより、はるかに手間がかか らす、しかも効率的な監視を可能にするイ督はみです。 インターネットと社内ネットワークとのあいだにファ イアウォールを設置すると、インターネットから社内ネッ トワークを守ることかできます。しかし、社内にはもっと レベルの高いセキュリティ対策を必要とする曙があるか もしれません。たとえは、人事に関する情報を扱う部署や 経理関連の部門などです。このような場合は、ファイア ウォールで守られた社内ネットワークのなかにさらにファ イアウォールを設置すれば、社内からの不正アクセスにも 対処できます。 ファイアウォールの構築にはさまざまな去があり、す べてを紹介すると 1 冊の本になってしまいます。そこで、 良書を 2 冊ばかり紹介しておきます。 ・ D. Brent Chapman 、 Elizabeth D. Zwicky 共著、歌 イ日正監訳、鈴木克彦訳『ファイアウォール構築ーイ ンターネット・セキュリテイ』、オライリー・ジャパ ン / オーム社、 1996 年 ・ William R ℃ heswick 、 Steven M. Bellovin 共著、川 副博監訳、田和勝・杉久美子訳『ファイアウォー ルーインターネット接続でのセキュリティ管理技術』、 ソフトノヾンク、 1995 年 ファイアウォールを構築する際に、ぜひとも理解してお 要寒ホスト (bastion host) いてほしいのが一ド記の用語です。 UNIX MAGAZINE 1997.11 のポートを開いているホストも同様です。これらのホスト す。インターネットからメールを受け取るために SMTP ーや FTP サーバーを運用しているホストがそうで す。たとえは、インターネットに公開している web サ このホストはインターネットからの攻撃に直接さらされま ホスト (bastion host)" と呼びます。当然のことながら、 インターネットから妾アクセスできるホストを、、要塞 要塞ホスト 以下、それぞれについて説明します。 ー・システム (proxy system ・・フロ弌・シ - ・ノヾケット・フィルタリング (packet filtering) ・デュアルホーム・ホスト (dual-homed host) アアウォールの作り方・・・ 1 は、不正アクセスからとりわけ堅固に守らなければなりま せん。要塞ホストのアカウント発行は厳しく制限すべきで す。 テュアルホーム・ホスト 2 枚のネットワーク・カードを備え、それぞれを異なる 2 つのネットワークに接続したホストが、、デュアルホーム・ ホスト (dual-homed host)" です。 このような 2 つのネットワーク・テンヾイスをもつホスト は、 IP フォワーディング機能を用いてルータとして使う ことが多いのですが、この機能を停止し、ファイアウォー ルとして利用することもできます。 要塞ホストの場合と同様、デュアルホーム・ホストのア カウント発行も厳しく制限すべきです。これは、次のよう な理由からです。 ・個々のアカウントか攻撃対象となるため、アカウントが 増えれば増えるほどシステムの弱点も増える。 ・ユーザーがファイアウォール上でどんなプログラムを実 行するか予測できない。 ・システムの安定性カ觝下する。 ・攻撃の検出が困難になる。 バケット・フィルタリング ルータに送られてきたバケットのうち、ある条件を満 たさないバケットを破棄したり、逆にある牛を満たすパ ケットを通過させたりすることを、、バケット・フィルタ リング (packet filtering)" といいます。ここでいう、条 件 " には、次のようなものがあります。 ・始点 IP アドレス ・始点ポート番号 ・終点 IP アドレス ・終点ポート番号 プロトコル (TCP 、 UDP 、 ICMP など ) ・ ICMP の不頁 フィルタリングは、現実の世界でも使われています。た とえば、会員制フィットネス・クラブのフロント ( 会員か ? ) や、ある種央画館の入場ロ ( 年歯リ限をクリアしている か ? ) などです。 バケット・フィルタリングは、専用ルータのフィルタリ ング機能を使えば簡単に実現できますが、 UNIX マシン上 127

ワークステーションのおと一 0 ロ ロ (a) 7 年前の 図 1 ネットワークの変遷 10Base 2 (b) 1996 年の構成 サーバー 2 ロ サーバー 1 部門サ X 端末 PC 部門サーバー ロ ーノヾー サーバー 2 サ ロ ロ ロ 部門サ ーバー 3 部門サーバー ーバー 10Base 5 100Base TX ↓ 10BaseT スイッチ 1 OOBase TX uplink 付き 100Base TX ハプ 部門サーバ - 10Base T ハプ 部門サーバー 1 OBase T ハプ 10Base T 部門サーバー 1 OBase T ハプ サーバー 3 1 OBase T 1 OBase T ハプ 部門サーバー 10Base 2 ワークステーション りません。それにしても、 ようか ? これはなんとかならないのでし 新たなケープリング・システム 72 莫が大きくなるたびにケープルを追加するのは致し方あ ルはハプを中心としたスター状に酉当泉します。ですから、 IOBase T/IOOBase TX のネットワークでは、ケープ れてきました。 アクセス・パネルを開け閉めしているようで、だんだん疲 ていきますが、新たなプロジェクトや異動のたびにフリー 必要に応して UTP ケープルをフリーアクセスの下に入れ 部門内のケープリングも、もちろん UTP ケープルです。 ので、なにかの拍子に切断されてしまう危険もあります。 きれないおそれがあります。 UTP ケープルはかなり細い ークを分離しなけれはならない事態か起きたときに対応し せん。これでは、部門カ斤設されたり、あるいはネットワ ルは、必要最低限な数にわすかに追加した程度しかありま ん。たとえば、各部門と計算機室とをつなぐ UTP ケープ られがちで、ケープリング・システムに柔軟がありませ 1990 年に敷設した 10Base 5 を中心としたものにひきす ケープルのトボロジーや全体の構造は、どうしても ではありません。 ばくにはこのネットワークで - ト分てすが、Ⅲ } 題がないわけ トワークに秘子することができました。トラフィックをさ イッチングハプを用いた 10Base T/100Base TX のネッ このようにして、カテゴリー 5 の UTP ケープルとス 今回の移転を契機に、すこしましめに考えてみることに しました。こんなときに手掛りとして愛用しているのが、 ネットワーク機材のカタログです。たまたま手許にあった BIack Box と AMP 、 Siemon のカタログと Web ペー ジ ( 図 2 ) をばらばらとめくってみました。 目に留まったのは、カテゴリー 5 のバルクケープル ( 写 真 l-a) とそれを 6 つの RJ-45 のコネクタ (10Base T/100Base TX のコネクタ ) に分岐するパッチパネル ( 写真 1 ー b ) 、そしてモジュラー酉泉ポックス ( 写真 1 ー - ℃ ) でした。 バルクケープルは、 1 本の太いケープルのなかにより対 線が 24 組入っています。 10Base T/100Base TX の UTP ケープルはより対線が 4 組ですから、バルクケープ ル 1 本で通常の UTP ケープルの 6 衣んに相当します。 通常の UTP ケープルをフリーアクセスの下に入れるとき は、何か事故か起きたら切れてしまうのではと不安でした が、バルクケープルは直径か約 15 ~ 16mm と太く、その ・じ紀もあまりなさそうです。それに、 1 本で 6 本ぶんです からケープリングの手間も減らせます。 「なかなかよさそうやん。で、コネクタはどうつけんの ? 」 1 本のバルクケープルの端にそれぞれ 6 つの RJ-45 コ ネクタを取り付けるのでしようか ? いえ、そうではありま UNIX MAGAZINE 1997.11

連載 BSD をハックする一 0 表します。 4.3BSD ではシステムコールだった gethost- name(2) と sethostname(2) は、 sysctl で kern. host- name の値を間い合わせたり設疋したりするライプラリ関 数に変わっています。 sysctl は引数を 6 っとる、ⅲ t 型のシステムコールです。 int sysctl(int *name , u—int namelen, void *01dp, size—t *oldlenp, VOid *newp , size_t newlen) sysctl(2) を実際に呼び出すときには、それぞれの階層 の名前ではなく対応する整数を使います。 sys/sysctl. h で 定義されていますか : kern. hostname は、 CTL-KERN ( = 1 ) の下の KERN-HOSTNAME(=IO) なので、 というように呼び出します。 sysctl(mib, 2 , mib [ 1 ] =KERN_HOSTNAME ; mib [ 0 ] =CTL—KERN ; int mib [ 2 ] ; 62 れた側て値がアクセス可能になることはありません。 あります。関平出しの引数のように、自重加勺に呼び出さ の受渡しと異なり、かなり明示的に処理を当する必要が ルがユーサープロセスに渡すデータは、関数呼出しの場合 システムコールの引数や、システムコールの結果カーネ システムコールのテータ受渡し ない場合には、 oldp を NULL にします。 新しい値を渡して、それまでの旧い値を受け取る必要が を、、 NULL,O" とします。 現在の値を間い合わせる場合には、 newp 、 newlen メモリエリアへのホインタと、その領域のサイズです。 newp と newlen は、その項目に設定する値が入った ズが入っています。 了すると、 *oldlenp には実際に受け渡されたデータサイ 領域のサイズを入れて呼び出します。システムコールか完 先頭アドレスとサイズへのポインタです。 *()ldlenp には oldp と oldlenp は、項目の値を受け取るメモリエリアの name と namelen で、アクセスする項目を指定します。 nice() や signal() などと同し流儀です されていた旧い値をユーサーフロセスに渡します。これは sysctl はある項目に新しい値を設定し、それまで設定 システムコールの引数は、いったんューサープロセス 内のメモリ上に置かれます。カーネルは、、、ユーサープロ セスのメモリ空間のデータをカーネル空間にコヒーする " という処理をおこなってはしめて引数の値にアクセスでき ます。 ューサーフロセスのメモリ空間をカーネル空間に読み込 むカーネル内サービス関数は、 copyin(caddr-t, void * , size-t) です。ューサープロセス内のメモリアドレス、カー ネル内のデータを受け取るメモリエリアへのホインタ、そ してコピーするバイト数が引数です。 カーネル空間内のデータをユーサーフロセスのメモリ空 間に書き出す力ーネル内サービス関数は copyout(void * , caddr-t, size-t) です。 copyin と同様ですが、カーネル 内の渡すべきデータが入ったメモリエリアへのホインタ、 ューサープロセス内のメモリアドレス、そしてコピーする バイト数が引数です。 システムコールの引数をカーネルに読み込む作業は、シ ステムコールの入口でおこなわれるので、個々のシステム コールに対応する処理をおこなう関数では引数をユーサー フロセスから読み込む必要はありません。またシステムコ ールのエラーコードや返り値をユーサーフロセスにコピー する竹喋も同様です。 ただし、たとえは、 read(), buf, nbytes) や write(d, buf, nbytes) のようにホインタでデータを指定するシス テムコールの場合、ホインタて指定されたデータの中幻幻ま システムコールの処理ルーチンを作成するプログラムで、 copyin/copyout を明示的に使用する必要があります。 次回も、 OS の基礎についてのトピックと、 NetBSD のカーネルについて解説します。 ( さいとう・あきのり大阪学 ) [ 文献 ] [ 1 ] John Lions, カれ s ' Commentary 0 れ UNIX 6t ん Edi- t を 0 れをん SO 社 7 、 ce COde, Peer—To—Peer Commumca— tions, 1996. [ 2 ] power Management System, http.//kk-object.com/ pms/ UNIX MAGAZINE 1997 ユ 1