SoIaris 2 6 の インストール① 城谷洋司 図 1 Solaris 、 veb Start 0 0 0 ) C ) 0 ) 0 ) C ) 0 ) 新ま″ー侊引 hO / れ石矼 bbi / い / 01V / h 0 んま t/hom 日 02 上 tm に インストール方法 次のような去があ Solaris 2.6 のインストールには、 SoIaris Web S ねれ 0 0 ををを 0 きツー、、 ようこそ る。 ・ Solaris Web Start ・対話式インストール・プログラムを使用した新規のイン ストーノレ ・対話式インストール・プログラムによるアップグレー ド・インストール ・対話式インストール・プログラムを使ったネットワー ク・インストール カスタム JumpStart ・ JumpStart 文舌式の新規インストール それぞれを簡単に説明していく。 従来からあるもっとも一般的な Solaris 2. x のインス トールガム SoIaris 2.6 でもサポートされていて ( 図 2 ) 、 Solaris Web Start ウインドウべースでインストール作業がおこなえる。 SoIaris 2.6 からサポートされた新しいインストール・ 日本語システムの場合はすべて日本語で操作できる。イ ューティリティである ( 図 1 ) 。ューサー・インターフェ ンストール時に、システムディスク以外のディスクを設疋 イスに sun の Web プラウサである HotJava を使って することもできる。 いるのか特徴で、 Solaris 2.6 を新規にインストールする 対話式のアップグレード・インストール にはもっとも簡単なガ去である。 Solaris Web Start カ斤規のインストールにしか対応 これを使うとサーヾー・パッケージに入っているアン していないのに対し、対話式インストール・プログラム バンドル・ソフトウェアや AnswerBook も同時にイン (lnteractive lnstallation プログラム ) は、アップグレー ストールできる。 Java 対応の Web プラウサを使って、 ド・インストールにも対応している。 ローカルにディスプレイをもたないサーバーマシンのイン SoIaris 2.4 以降の OS がインストールされており、す ストールをネットワーク上の別のマシンからおこなうとい でに使用環境に合わせて設定されているシステムに対して った使い方もできる。ただし、 HotJava による操作は現 は、アップグレード・インストールがおこなえる。この方 状ではまだ重い。 印」を良リまシステム ソフトウェア ( ) - と フプリケンヨンソフをウアの両方を インストトルしますヶ 、タンクリッてくだいを 上級ユーザ - の方へ : しさこ壑をき . を行うには、印 Web 田一の詳 インストーえぞー 11 UNIX MAGAZINE 1998.2

from WEB Techniques Web サイトのセキュリティ対策 Jay Heiser この 1 年のあいだに、強く印象に残る Web サーバーへ の攻撃がいくつか発生した。 Microsoft や CIA といった 注目度の高い糸目織が電子的な破壊行・為の標的にされても驚 きはしないが、どちらかというと目立たない Web サイト がよく狙われたのである。高度な技術を用いた巧緻きわま る攻撃の話題を読むのはおもしろいが、それも自分のサイ トか侵入を受けるまでの話である。そして、攻撃のほとん どはひどくうんざりするようなものだ。 0 FTP/We b サーバーの重要性 ひと月はど前、ある小さなソフトウェア・べンダーから 叫各があった。その会社ではインターネット・サーバー を運用しており、 Web 上で製品情報の提供、 FTP によ るソフトウェアの販売やアップデート・サーピスをおこ なっていた。そのサーバーに何者かカイ受入してチャット用 サーバーをインストールしバーチャル・パーティーを開 くために利用していたのである。同社は IRC サーバーや クラッカーのアクセスポイントらしき箇所を削除したが、 ふたたひ侵入を許し、報復として FTP サーバーと Web サーバーの設定を改変さ再起動できなくなってしまっ FBI はデジタル侵入者の探知に精力的に取り組んでいる。 この会社のサーバーでは、半商用の UNIX か稼動して いた。攻撃を受けたシステムはもはやイ囀衄生を回復できな いと考えられたため、最初から構築しなおすことが必要だ と思われた。しかし私は、ともかく現システムをみなおし て、攻撃に関する↑帯にをさらに得ることを提案した。会社 側の意向は、 Windows NT ( 以下、 NT と略 ) でシステム を明冓築し、早急に移行したいというものだった。侵入以 前のインターネットとの接続はごく限られていたので、彼 らは Web サーバーと自社 LAN のインターネット接続を ファイアウォールで守ることにした。われわれは Watch- guard Technologies[1] のファイアウォール製品 Watch- Guard をインストールした ( 図 1 ) 。これはハードウェア とソフトウェア・パッケージがセットになっており、さは ど専門知識がなくとも設定や管理ができて、時間もかから ない。われわれは、 Web サーバーを 3 番目の Ethernet アタフ。タにつないだ。インターネットを経由したさまざま な攻撃 (SYN floodingl など ) をファイアウォールで防 げるようにするためだ。 0 駘攻撃 た。それで、私にアドバイスを求めてきたのである。 2 度目の侵入を受けて私に相談をもちかける前に、 会社は 3 つの有力な措置を講していた。 ・サーバーのインターネット接続の遮析 この 同し事態の再発に備えた、サ→ヾーの全面バックアップ UNIX MAGAZINE 1998.2 フトウェア・べンダーは海外の競争相手も疑っていたし、 3 番目は極端な措置に思えるかもしれない。しかし、 ・ FBI への通報 ソ ある Web ホスティング・サイトの管理者がクラッカー の存在に気づくまでに、そのサイトは踏台として利用され ており、すくなくとも 10 以止のサイトか被售を受けてい た。その Web サイトからやってきた何者かに侵入された との苦清を寄せてきた Web ホスティング・サービスもあっ た。双方とも、 Web の世界て普及している BSD UNIX 1 訳注 : 岩田は、 ftp://ftp.cert.org/pub/cert-advisories/CA- 96.21. tcp-syn-flooding を参 139

0 0 FTP は必要か ? ァイアウォール ) を用いて、システム管理に必要な telnet とと、なんらかのアクセス制御欟冓 (TCP wrapper かフ われていないネットワーク・サーピスをすべて遮断するこ かった。われわれはいつもどおりのアドバイスをした。使 でレポートが通常より長くなったために、調べられていな 回刎列でもそれは実行されていたのだが、マシンの構築中 ティ関連のシステムファイルの変更をチェックする。今 る。通常、管理者は /etc/security を利用して、セキュリ められる。システムファイルの改変などの監視も重要であ ドによる被害をそのユーサーのディレクトリだけて食い止 限定することができる。こうしておけば、 FTP'NOスワー FTP セッションを各ューサーのホーム・ディレクトリに ことだ。システム管理者は wu-ftp の設定で、着信する ればそれぞれのホーム・ディレクトリ ) 内にとどめておく ら、もっとも重要なのはユーサーを管理された↓竟 ( でき われわれは対策を用意していた。ます、 FTP が必な ようになる。 プロードすることで、簡単に root としてアクセスできる ループに自分を加えた新たな / etc / gr 。 up ファイルをアッ されていたのである。したがって、侵入者は、、 wheel" グ ッションか書込み可能に変更 より、 /etc/group のパー 回れただけでなく、ユーザー管理ューティリティのバグに 点は幸いだった。 FTP ューサーはシステムを自由に歩き した出来事だが、別のところから侵入されたわけではない だ。サイトの管理側にとってはたいへんばつの悪い思いを が、管理がいかにすさんであるかを示したいと申し出たの 全な設定にする予定だった。しかしテストユーサーの 1 人 に関しては、サイトか完成して運用を始めてから、より安 ルをアップロードできるようにしていたのである。 FTP て侵入された。 Web ページ制作者が FTP によりファイ 構築中の BSD 製の Web サーバーが、 FTP を経由し などのサーピスを外部の人間から守ることである。 0 0 弱点のチェック システムの弱点を知る最善策として、専門家を雇って侵 入テストを実施するガ去がある。言い換えれは、金を払っ UNIX MAGAZINE 1998.2 Web サイトのセキュリティ文・ てシステムに侵入してもらうわけである。 Web の更新を 進めていたある金融機関から、 Web サーバーの強度を試 すために雇われたことがある。そのサイトは有名な Web ホスティング・サーピスが運営していたが、当社の月リき か侵入するのに 2 時間もかからなかった。 われわれはます、 lnternet Security System の lnter- net Scanner を使ってシステムの弱点をチェックした。 これはシステムに侵入するわけではなく、運用されている サーピスや、手作業で侵入テストを始められそうな明らか に弱い部分をリストアップしてくれる。 只日の弱点を系糸勺に調べていく過程で、多くの欠陥を みつけることができた。それらをまとめて利用すれは、マ シンを全面的な支配下におくことも可能である。もっとも 重大な弱点は、 phf のバグ 2 だった。 1996 年の初めから ひろく知られている問題であるにもかかわらす、バグのあ るコードが NCSA や Apache などのホピュラーな Web サーバーに含まれている。このバグにより、 ( 多くは root として ) コマンド行から Web サーバーを起動できる。 の弱点だけでも、 root として Web サーバーにアクセスす るには十分な場合が多い。しかし、このサーバーの httpd は SUID root を実行していなかった。このサーバーはイ ンターネットからの NFS アクセスを許可していたので、 われわれはコンパイラを利用することができた。また、利 用可能なバグが rdist にあった。 1996 年秋に起きた CIA と司法省の Web サイトに対 する攻撃は、明らかに同し phf のバグを利用したものだっ た。サイトの設定を直接知っているわけではないのてオ僻則 にすぎないが、おそらく Web マスターは、攻撃手段を有 する者にとって、こうした組織の清報がどオけごけ価値をも つかを過小言面したのだろう。セキュリティを重視する組 織では、情報はその機密生の度合いにもとづいて慎重に区 分さ適正に処理される。 CIA と司法省の広報用 Web サーバーに置かれていたのは、明らかに機密ではないーイ殳 のアクセス用の情報だったため、そのイ描県こ関しては優先 順位カイ氏かったのである。しかし、データの機密性の点で は間題にならなかったにせよ、その保全についてはきわめ て重視された。人目に触れる機会の多いインターネット・ サイトは攻撃対象となりやすいため、その管理者は最悪の 事態に備えるべきである。 2 調主 : http://www.jpcert.or ・ jP/ⅲf0/97-0003/ 参月生 141

・ Web サイトのセキュリティ文 Denial Of Se 「 vice 攻撃 インターネットにおける DoS (DeniaI of Service) 攻 撃は、ネットワーク・プロトコルやその実装の特羅を悪 用して、システムへのアクセスや利用を妨害するガ去であ る。たとえば、 SYN flooding は接続リクエストを艮な く送り続けるガ去である。ホストは各リクエスト窈忍を おこない、リクエストを送ってきたシステムからその石忍 に対して応答してくるのを待つが、けして送られてはこな いのである。通常、ホストは 255 の接続リクエストまで にしか対応できないデータ構造になっている。そのため、 偽の接続リクエストか齲リすると正当なリクエストの処理 か効害されてしまう。タイムアウト設定を上回るべースで リクエストの集中砲火を浴びせることで、リクエストは時 間切れとなり、トラフィックが受信できなくなる。 事実上すべての TCP/IP べースの製品は DoS 攻撃に 弱いが、この夏とくに狙われたのが Microsoft の製品であ る。 OOB (Out of Band) や WINNUKE 攻撃は、 Mi- crosoft の OS 特有のものだ。 Microsoft の TCP/IP ス タックには、ほとんど使われない TCP バケットヘッダ・ オプションか設って実装されている、これを利用すれは、 パッチを当てていない NT4.0 システムを、誰でも簡単な ツールでリモートからクラッシュさせられる。 NT を採用 しているサイトは、最新の Service Pack ( この原稿の執 畤点では SP3) にアップグレードすべきだ。もう 1 つ 例を挙げよう。 IIS (lnternet lnformation Server) は、 長い URL とクラッカー用の各種ューティリティを用い れば機能を麻痺させられる。 IIS の管理者は、最新のパッ チを当てて更新しているかどうかを石忍する必要がある。 DoS 攻撃は」毆亦か難しく、おそらく本色はできないだ ろう。とはいえ、この 1 年間で TCP/IP を利用する OS やデバイスの大半はアップグレードされて、ありふれた攻 撃には耐えられるようになった。優れたファイアウォール なら、既知の D 。 S 攻撃は防ぐことができる。 まとめ 0 web サーバーへの侵入を防げない原因はなんだろうか。 Web サーバーはひどく脆弱で、適切に管理されていない 142 ことが多いためである。バグのあるソフトウェアはセキュ リティ・ホールのもととなる。バグフィックス版を入手し ないかぎり、それをサーバーに置き続けるのは管理者の落 度といえる。複雑な電子商取引に用いるサーバー向けの適 切なセキュリティ・アーキテクチャを開発するのは容易で はないが、弱点カ吩かっている Web サーバーの守りにつ いては弁解の也はない。叫屯な HTTP サービスなら、 UNIX でも NT でも最小の努力で - ト分に安全なシステム を構築できるのである。 Web サーバーて才是供するサーピスか増えるにつオ cgi- b ⅲディレクトリで実行可能なことも増えてくる。そオけご けシステムか皮害を受ける確率も高くなるわけだ。組織の 知名度が ( よくも悪くも ) 上がれば、それだけ悪意を含む 注目度も高まるだろう。しかし、どのサーバーもいすれは クラッカーにみつかり、ちょっかいを出されるのである。 ほとんどの攻撃は、 Web や OS のセキュリティに関する FAQ にあるヒントや CERT (Computer Emergency Response Team)[4] の警告 ( ここでとりあげた問題のほ とんどを最初に手甜商している ) に従えは、簡単に防げる。 攻撃にさらされた Web サーバーのセキュリティを確保す るガ去はきっとみつかる。悩んでいる日勸ゞあったら、ただ ちにセキュリティ石呆のための日判にあてるべきだ。 1993 年から Web サーバーの構築に携わるセキュリティ・コンサ ルタント。「 Java Developer's Journal 」誌でセキュリティに 関する連載をもっている。 [ 赭 U RL] [ 1 ] Watchguard Technologies http://www.watchguard.com/ [ 2 ] TCP wrapper http://cs.weber.edu/htdocs/sysadm-book/sysadm- b00kー33. html [ 3 ] lnt ernet F irewalls FAQ http://www.clark.net/pub/mjr/pubs/fwfaq/ [ 4 ] Computer Emergency Response Team http://www.cert.org/ [ 5 ] FirewaIIs MaiIing List http://www.greatcircle.com [ 6 ] Computer and NEtwork Security Reference lndex http://www.telstra.com/au 「 Web-Site Security Failures 」 Web Techniques 1997 年 11 月号より ◎ 1997 , WEB Techniques (). S. A. ) ■ Jay Heiser UNIX MAGAZINE 1998.2

0 図 12 テフォルト・インストール なインズト ~ こル、了ア「「一 ' ー「「一 - 7 ー (0) ) 0 ) 0 ) 0 ) Appletstarted. SoIaris Web S ねれ P 0 W E R E 0 8 Y →デフォルトインストー儿殳定 50 「 is Web 5 ね「 t は冫大のソフトウェアをインストールします En 朝・ 8 50 ねⅵ 5 50 w 町日 0 「 oup Japanese EUC (ja) フす一 1 Ⅲンム S 0 ー ar i 、 : ノフ ま自 1 こ行れます。 ファルシステム 50 web sta 代は、ます始めこ 50 i & をインストールします。 システムをリブートしたあと 50 ね「 is web 5 ね杙の要求に応じて CD を入してください。 デフォルトインストール、およびインストールされる製品こ関する 情こは「詳縄」をクリックして、ださいー すぐにインストールする」 ~ 」一一」一 ~ - ー - 、一 . ドる 0 図 13 カスタム・インストール ンヨ Appletstarted. SoIaris Web S ね 0 1 . 丿フトウェアを析する カスタマイズ ム S i 、を設定する 3 ァイルシステムを配する P 0 W E E 0 8 Y ソフ「・エアの : SOlariS の : ていせ E n 目田 5 引町 is Software 朝・ oup japanese EUC 02 コアン / 。丁ム : されていません O k 厄 55 およひ A リ t 、ⅱ 2 れ t シスデムが設定 ールは完了する。途中で意味の分からない用語力咄てきて も、 GUI 上でヘルプを参照すれはほとんどは解決できる。 Solaris Web Start を使用する場合 1. OS の CD-ROM からのプート Solaris Web Start プログラムを使う場合は次のよう にする。 ok boot cdrom 2. 上記の手順と同一 3. 」「記の手順と同一 browser 4. インストーノレに関する聞青報の設定 こで H 。 tJava か起ける。すでに OS がインストー ルされている場合は、 HotJava の起動前にアップグレ ード・インストールができない旨ク寉認め球められる。 (a) 「ネノ期 j 尺」画面で購入した製品のタイプを指定 (b) 印期 j 尺」画面で root のパスワードを設疋 (c)i インストールガ去お尺 ( 図 11 ) 「インストールカ法の選才心で、デフォルトのインス トールを選ぶと以下の処理の開始を孑できる。 ・ルートとスワップエリアの作成 ・ /opt ノヾーティションのイ乍成 22 インストール」 行われます。 ・サーバーの場合は、、本ディストリビューション " を、デスクトップの場合は、、エンドユーサー " ソフ トウェア・グループをインストールする ・製品のタイプで選択している場合は、 Solaris Server plus lntranet Extension に含まれるす べてのソフトウェアのインストール ・サーバーの場合は AnswerBook2 をインストール デフォルト・インストールでは、複数のディスクが ある場合でもインストールはシステムディスクに対 してしかおこなわれない点に注態 c)ii 「インストールカ 1 去の選おもで、カスタム・インス トールを選ぶと以下の設定をおこなう ( 図 13 ) ・ Server lntranet Extension を j 尺している場合 ・ AutoClient 用にディスク容量を確保するかどう ど ) 窈尺 ( 図 15 ) ・デフォルト以外に追加したい言語 (ja-JP. PCK な ・ソフトウェア・グルーフ。窈尺 ( 図 14 ) するかを尺 は、そのなかのどのソフトウェアをインストール UNIX MAGAZINE 1998.2 ト数などを指定 ( 図 16 ) 。 確保する場合は、続けてそのサイズやクライアン か

Bookshelf eb ヘージスクリフトテクニック インターネットワーキング技術 ハンドブック』 ・ Merilee Ford 、 H. Kim Lew 、 Steve SpaniersTim Stevenson 著 Jason BIoomberg 、 Jeff Kawski 、 Paul Treffers 著 ・日本シスコシステムズ監訳・ 安藤慶ー、武舎広幸訳 阿瀬はる美訳 プレンティスホール出版 ・プレンティスホール出版 B5 判変型、 366 ページ ・ B5 判変型、 601 ページ 3 , 000 円 ・ 5 , 400 円 1997 年 10 月 25 日 ・ 1997 年 12 月 20 日 HT 、化の基本的な知識をもつ読者を対象に、 web おもに Cisco の製品でサポートされているイン ページのスクリプト技術を実例を挙げながら解説 ターネットワーキング技術を解説。 LAN プロト している。 HTML 、 JavaScript 、 VBScript の 3 部に分 コル (Ethernet 、 FDDI など ) 、 WAN テクノロジー ( フ かれる。各サンプルの実行画面とソースコードを レームリレー、 PPP 、 ISDN など ) 、プリッジング 掲載し、コードの概要や注意事項、コーディング とスイッチング (ATM 、 DLSw など ) 、ネットワー 方法の実際、ほかでとりあげている関連テクニッ ク・プロトコル ( IP 、 NetWare など ) 、ルーティン クなどを紹介している。サンプルページのコード グ・プロトコル (BGP 、 IP マルチキャストなど ) 、 ( 画像を含む ) を収録した CD-ROM (Windows 95 / ネットワーク管理 ( RMON 、 SNMP など ) の各部に Macintosh 版 ) 付き。 分かれ、 1 部ではこれらの基礎について説明。 『 XML 入門』 『日本語 TEX2€インストール リ第・つ←第を・ Weba;-- ジ スクリプトテク : ック ー物 S 吶礼 VBS 吶 活用事制集 インターネットワーキング 技第ハンドブック 日本語いル X インスト→レキット 入門 日 TML の新界をちる インタ -- ネノトの新談術 æXML 村田真編著 日本経済新聞社 A5 判、 216 ページ 2 , 800 円 1998 年 1 月 7 日 ・中野賢、淺山和典、内山孝憲共著 ・アスキー ・ B5 判、 133 ページ ・ 3 , 800 円 ・ 1997 年 12 月 21 日 WWW のための文書記述言語 XML (eXtensible TEX システムを構成するプログラム群 (TEX Markup Language) に関連する技術を紹介している。 3.14159 、 pTEX 2.1.5 , based on X 3.14159 、 XML の意義、実用化アプリケーション、言語仕 いル X28 、 p いル X28 など ) と使用頻度が高いと思 様、リンクとスタイルシート、各種ツール、アプ われるフォントやライプラリ ( い x パッケー ジ、 15 種類のデバイス用の PK フォントなど ) を リケーションの構築法、構造化文書としての意 義、 RDF と DOM の各章で構成される。付録で CD - ROM に収録。インストール・ガイドでは、ル X www と日本語についての説明、関連用語集、関 システムの概要と UNIX 、 Windows 、 Macintosh で 連 web サイトと書籍の紹介を掲載。編著者は W3C のインストール、環境設定、文書ファイルの処理、 プレビュー、印刷などの手順を説明している。 の XML ワーキング・グループのメンバー 138 UNIX MAGAZINE 1998.2

理経 (Tel 03 ー 3345 ー 2170 ) は、日本 ディジタルイクイップメントの WS 、 \DIGITAL PersonalWorkstation a シ リーズクに Linux をプレインストールし た「 Alpha/LINUX ノヾッケージ」の販売 AIphaWS + Linux HTML 4.0 World Wide Web Consortium (W3 C) は、 HTML 4.0 を W3C Recommen- dation として勧告した。 HTML 4.0 は、最初のドラフトが 1997 年 7 月に公開されて以来、メンバーによ アステック (Tel 03 ー 5804 ー 1853 ) は、 Windows 95/NT 対応の PC X サーバー 「 ASTEC—X バージョン 2.00 」を販売 する。 描画性能の向上を図った。 X11R6.3 を ASTEC-X 照明解析モジュール CRC 総合研究所 (Tel 03 ー 5634 ー 5684 ) は、米 Optical Research Associates の 照明シミュレーション・ソフトウェア を開始した。 64bit AIpha 用 Linux 「 Statabo Ware 1.0 」「 Red Hat Linux/AIpha 4.2 」を プレインストール (CD-ROM を添付 ) 。 プートメニューにより Windows NT の ・ W3C 投票がおこなわれてきたが、 るレビュー 今回の勧告で、 W3C が提唱する規格とし て確定されたことになる。 3.2 からの変更 点は、フォームやテープルの拡張、イン ライン・フレームの採用、オプジェクト、 •ASTEC べースに開発。 LBX (LowBandwidth X extension) プロトコル、イメージ拡張 機能 XIE に対応。 NFS によるフォント ファイルへの直接アクセスが可能。 動作環境は、主記憶が 16MB 以上 ( 推 •CRC 総研 「 LightTooIs 」の照明解析モジュールの 販売を開始した。 動作環境は、 OS が Solaris 2. x または •Oracle ネットワーク・アフリケーション開発ツール 日本オラクル (TeI 047 ー 352 ー 6444 ) は、 ネットワーク・アプリケーション開発ツー ル「 OracIe DeveIo r / 2000 R2.0 」の販 売を開始した。 RI. 5 とくらべ、開発生産性の向上、 Or- acle8 との連携、レポーティング機能など がおもな強化点。画面設計、帳票設計、 UNIX MAGAZINE 1998.2 チャート作成などに対応したウィサード 機能、右クリックによるトリガー表示な ど、操作性を向七デバッグ、スキーマ 作成用の新コンポーネントとして、、、プロ ジェクト・ピルダーク、、プロシージャ・ピ ルダー〃ゞスキーマ・ピルダークを追加。 複数行のデータの一括挿入 / 削除 / 更新が NEWS 起動も可能。 ソフトウェアの初期設定を無償でサポ ート。オプションの年間サポートにより、 アップデート、電子メールによる情報サー ピスを提供。ハードウェアは日本 DEC に よる 3 年間の無償保証。 価格は、本体価格十 100 , 000 円。 スクリプト、スタイルシートのサポートな ど。各国言を、の対応、テキストの点字化 や読 . E げの機能も追加。 URL は、 http://www.w3.org/Mark Up/0 http://validator.w3.org/で、作 成した Web ページが HTML 4.0 の規格 に適合しているかをテストできる。 奨 20MB ) 、 HD の空き容量が 20MB 以 上、 OS が Windows 95/NT 3.51 / NT 4.0 の PC 、 PC98 、 Alpha AXP 、 MIPS 、 Power PCO 価格は 78 , 000 円 ( 1 ライセンス ) 。 Web で無償バージョンアップをおこなう。 http://www.astec.co.jp/から評価版の ダウンロードが可能。出荷時期は 2 月。 Windows 95 / NT 、主記憶が 64MB 以上 ( 推奨 ) 、 HD の空き容量が 100MB 以上の Sun WS か PCO リース科 ( 保守を含む ) は月額 200 , 000 円から。 可能な配列型 DML (Data Manipulate Language) 、ストアド・プロシージャに もとづいたデータブロックなどを容易に 扱うことができる。 同時出荷の「 Oracle Developer/2000 Server R2.0 」では、既存のクライアン ・アプリケーションを Web ト・サー 上で実行することができる。サポートす る Web サーバーは、 OracIe Web AppIi- cation Server R3.0 。 動作環境は、 OS が Windows 95/NT 3

・ Web サイトのセキュリティ文 図 1 、 VatchGuard によるシステム SMTP トラフィックのみ HTTP と FTP トラフィックのみ すべてを拒否 Web サーバー LAN メールサーバー LAN 上の WS とメールサーバーは インターネットと Web サーバー アクセスできる を探した。 UNIX の find コマンドを使って、 5 分と経た 入されたシステムの 1 つにログインしてみた。ます、裏口 チを当てているあいだ、私は何カ吩かることはないかと侵 の Web サイトである。管理者が全システムの lpr にパッ 侵入者の物旦と再発防止の手助けを求めてきたのは最初 はきわめて困難だった。 ューゴスラビアのホストからログインしていたため、」毆亦 た顧客のアカウントの 1 つを使っていた。そのサイトには 初のサイトへのログインには、 telnet アクセスを許可され て、最初のサイトからそのサイトにログインしていた。最 いた。クラッカーは最近公表された lpr のバグを利用し 一貫性を監視しており、すぐに不正な訪問者の存在に気づ んだ UNIX の専門家だった。彼は定期的にマシン内部の たはずだが、 2 番目のサイトを管理していたのは経験を積 クラッカーはもうしばらくこのサイト力を続けられ ステムへのログインに必要なあらゆる情報を得ていた。 別のシステムにログインするたびに、クラッカーはそのシ 日常的にオフィスからそちらにログインしていた。彼らが 者は、他のインターネット・サイトのアカウントをもち、 サービスの開発者や制作スタッフ、さらに一都の営日当 クの全トラフィックをモニターしていた。ホスティング・ ログイン名とパスワードの組合せを知るためにネットワー 得したクラッカーは、盜聴プログラムをインストールし、 クセスできてしまう。 UNIX サーバー上で r 。。 t 牛を取 グがあり、誰でもコマンド・プロンプトから r 。。 t としてア を稼動させていた。これにはプリントサービス (lpr) : ンヾ 140 ぬうちに Bourne シェル (sh) のコピーをいくつかみつけ た。それらは前任の管理者が残していったもので、 root 権 限で実行されるように設定されていた。これではたとえバ グがなくても、誰もカ単にシェル・プロンプトから r 。。 t としてアクセスできてしまう。私は root としてログイン し、管理者にメッセージを送った。最初の攻撃の釜茴をみ ていないので、侵入者がどうやってシステムに危害を加え たのかは分からないが、裏口と lpr のバグのいすれも利用 可能だった。 2 っともすぐに寒がれたものの、システムに ほかの弱点がないとい引正にはならなかった。 私がログインしているあいだに、当のクラッカーがふた たひ現れた。私は管理者に、当人と話してみて手口を探る よう勧めた。彼が talk コマンドでクラッカーに呼びかけ ると、すぐに返答してきた。しばらくのやりとりのあと、 管理者は「 OK 、きみはうちに入り込めたわけだが、いっ たいどうやったんだい ? 」とタイプした。自らの才を卩知思 したがるクラッカーは多いが、この人物はなんの情報も明 かさなかった。 われわれは全システムを最初から構築しなおす ( システ ム管理者なら誰もがいやがる ) ことを強く勧めたが、この ホスティング・サーピスはそれに従わなかった。しかし、 システムを強化するという案は受け入れた。とりわけ重要 なのは、 UNIX に習熟した管理者を雇ったことと、 Web ホスティング業務と OS の管理を切り離したことである。 ソフトウェアを去斤版と同じ状態まで更新したことを石忍 したあと、外部からの telnet アクセスを許可されている 若干名のユーザーに対し、変は利用できなくなる旨を通 知した。このシステムには TCP wrapper[2] がインス トールされていたが、相変わらすはとんどのインターネッ ト・トラフィックを素通りさせていた。われわれの助言 により、 LAN 外部の IP アドレスからのトラフィックは HTTP と FTP だけを許可するように設定した。 IP パ ケットの偽造 ()P spoofing) はめったにないが、 IP ヘッ ダオプションを用いているバケットはすべて拒否するよう にルータを設定した。モニタリング装置によってサイトの 安全性は向上し、実行されるネットワーク・デーモンの数 も減っている。この Web サイトのように大きなところが 攻撃対象となるのは致し方ない。しかし、警戒を強化し、 セキュリティ上の手続きを細かく決めたことで、これまで のところ事件の再発は防げている。 UNIX MAGAZINE 1998.2

プログラマー入門・・・・・・荒井美千子 1 13 Microsoft の Web 技術 ( 6 ) 124 INTEGRATION ・・・・・・ Tom Yager レジストリの深奥 UN Ⅸへの招待・・・・・・坂本文 154 SoIaris f0 「 X86 ( 6 ) Web サイトのセキュリティ対策・・・・・・ Jay Heiser 139 スマートカード技術とセキュリティ・・・・・・ J 。 nny Goldman 143 News ・・・・・・ 1 CoIumn ワークステーションのおと・・・・・・坂下秀 98 AUTONOMOUS ZONE ・・・・・・粉川哲夫 149 NetNews 便り・・・・・・みるく 130 NEWS from jus " " " 法林浩之 69 BooksheIf 136 読者プレゼントのお知らせ・・・・・・ 104 UNIX MAGAZINE 0 し .13 # 2 1998 年 2 月号 ( 通巻 136 号 ) 1998 年 2 月 1 日発行 発行所・株式会社アスキー〒 151-24 東京都渋谷区代々木 4-33-10 電話 03-5351-8111 振替東京 4-161144 ・発行人 / 橋本孝久・編集人 / 三橋昭和・編集長 / 大久保讓治・ Edito だ s Network Address: unixmag@ascii ・ co ・ jp ・編集 / 川崎通紀岸竜次宮崎秀治久保田考田代真理石川耕嗣長谷川光広 ・出版営業部長 / 宮川洋・出版営業担当 / 三田秀雄井上大介津吹玲 ・出版広告担当 / 山本理一郎佐々木智子杉本玲子・製作購買担当 / 稲垣勢津子 禁転載◎ 1998 ASCII Corporation 1079802 印刷 / 東京書籍印刷株式会社 printed in Japan Material from UNIX REVIEW and WEB Techniques in this issue is published in cooperation with Mille 「 Freeman,lnc. U. S. A. 1997 AII rights reserved.

0 メモリ (MB) 16 ~ 64 64 ~ 128 128 ~ 512 512 以、 - E /tmp スワッフ。領域のサイズ (MB) 32 64 128 256 図 7 ディスク : C0t5dO 1 人 / n を 2 日印 7 / 聖加 空き : 割り当て : 容量 : インストール日ティスクエデイタ 推最小 4118 バイト 40 4 載 4119 23 UNIX ファイルシステムとしてルート・ファイルシス テムに含める、 tmpfs タイプを指定しメモリべースの ファイルシステムとする ( デフォルト ) 、 /var/tmp などへのシンポリック・リンクとする、といった 3 つの確 f : ) パターンがよく使われる。 Solaris 2.6 の場合、 4. IGB のディスクでのデフォル トのパーティション構成で必要となるディスク容量は表 3 ティを使った、標勺なインストール去を紹介する。 こではスタンドアローンのインストール・ユーティリ OS のインストール方法 新規インストールの手順 0 のとおりである。その場合のカスタマイズ画面を図 7 に やネットワーク経由でインストールする場合はもっと矢宿 場合で約 40 分である。より高速の CD-ROM ドライプ ROM ドライプを使って SS20 にフルインストールする 新規のインストールは、 Solaris 2.6 を 2 倍速 CD- いだろう。 えるマシンなら、 Solaris Web Start を使ったほうがよ 図られている。 HotJava か軽決に重川するスペックを備 ージをまとめてインストールできるなど、竹業の効率イゞ しかし、 Web プラウサを使うほうがサーバー用のパッケ ースのものも Web プラウサを使うものも変わりはない。 インストールの手順や設定内容は、通常のウインドウべ ・ Solaris Web Start ( 図 1 ) ・ウインドウべースのインストール・プログラム ( 図 2 ) つのユーティリテイから尺できる。 新規インストールをおこなう場合、 SoIaris 2.6 では 2 できる。 20 OS の情報をまったく使用しないでインストールをおこな 新しいディスクに OS をインストールするか、以前の 釭 3 4113 M バイート 411S バイト 0 M バイト ブートデバイス : c0t 0 了解 肖し うときは、インストール時に、匆期オプション " も尺す る。この場合は次の手順でおこなう。 Solaris 2.6 の文舌式インストール・プログラムを使う UNIX MAGAZINE 1998.2 ・サプネットワークの一部かどうか ( はい、いいえ ) NIS 十、 NIS 、そのなし、から〕尺。 ・ネームサービス窈尺 ネットワーク管理者に割り当ててもらう。 ・ IP アドレス ・ネットワークに接続するカか ( はい、いいえ ) が使用できる。 2 文字以 E 、アルファベット、数字、マイナス記号 ・ホスト名 ム ) 3. インストールに必要な情報の入力 (sysidxm プログラ Japanese EUC(ja) を尺。 2. ロケーノレの設定 つ。 CD-ROM からウインドウ環竟か起動するまで数分待 ok boot cdrom 1. OS の CD-ROM からのプート