連載 /UNIX Communication Notes—O warding) の機溝を併用すれば、既存のアプリケーション でも SSH による暗号化が - 可能になる。電子メールでも、 S/MIME や PGP の利用かンヨ殳化しつつある。 WWW システムでは、 SSL または TLS の機購を用い てサーバー側の認証およびアクセスの暗号化を実施すると ころか増えている。とくに EC をおこなうサイトでは、各 種の個人↑帯にや斉に必要なクレジットカード番号などの 情報カ咬換されるため、通信の暗号化は不可欠である。 れらのサイトでは、一一に X. 509 を基財支術とした認証 システムを用いて SSL/TLS 化したサービスを構成して いる。 セキュリティ・スキャナの利用 外部から直接アクセスするシステムでは、セキュリテ ィ・ホールがないか、不必要なサーピスを提供していない かをつねにチェックしなけ川まならない。これらの管理上 の間題をくる際に、セキュリティ・スキャナ (security scanner) を利用することも多くなってきた。 山もをの不正アクセスは、ますスキャナを用いて不備のあ るサイトをみつけ ( ポートスキャン攻撃 ) 、その後システ ムに不正侵入を試みる。このため、セキュリティ管理者 には、攻撃者が使っているスキャナと同等以 E の能力カ球 められるようになった。これにともない、セキュリティ スキャナ製品を導入してセキュリティ・ホールの有無を検 査したり、あるいは、セキュリティ・スキャナを用いて 日斤するサービスを受けるといったこともおこなわれてい る。セキュリティ・スキャナにはフリーウェアとして公 開されているものもあるので、たとえ製品の導入か難しく ても、最低限のセキュリティ・ホールは石忍できる。 その他の文 こまでは技勺な側面について述べてきたが、こオ山、 外にもさまざまな対策か講しられている。 ・匠は、糸目織全体のセキュリティ・ポリシーを決め、セ キュリティ対策に関する方針を明確に定義することが多 い。さらに、これと並行してリスク評価、業務角斤にもと づぐ作業フローの簡略化と効率化などをおこない、糸漣 営の - 也に立ってセキュリティ対策を効果的に実施する素 地も作られつつある。 また、学生や従業員などへのセキュリティ教育も一当ヒ UNIX MAGAZINE 2000.8 しつつある。 最近のセキュリティ対策 さきはども述べたように、従来のセキュリティ対策にお けるイ描矍対象はおもに細織内のシステムと情報資源であっ た。しかし、描丘はさらロ危囲の一矍が必要になり始め ている。 内部利用者の監視 ーロに監視といってもさまざまなレベルが考えられる が、次のような目標を掲げる糸勧えつつある。 糸目織内の利用者カ坏正アクセス行為を働かないようにす る。 組織内の利用者の不注意によって情報か漏洩しないよう にする。 これは、不正アクセス禁止法 ( 不正アクセス行為の禁止 等に関する法律 ) の成立・施行が大きな景グ響をえている ようだ。この法律は単純な不正アクセスも罰則の対象と し一織に対しても不正アクセスの防止対策を努力目標 として課している。とくに前者については、内部の利用者 が外部のネットワークに不正アクセスした場合に備えて、 組織のネットワーク管理に落ち度がなかったかどうかを検 証す制稀リを整えるといった意味合いが強い。さらに、警 察などから不正アクセスに関する情報の提供を求められた 際、それに対応できるようにするためでもある。過去の統 計をみると、セキュリティ里の犯罪の多くに内部の利用 者か憫 - 学している。このため、外部からのアクセスだけで なく、系目織内の利用者のアクセスについても諡見対象に含 めるべきだと考える管理者か増えつつあることも景些して いる。 上記の目標を具体化する場合、ファイアウォールを図 2 のように二重化し、ポリシーの実装を外部からのアクセ スと内部からのアクセスとに分離することもおこなわれて いる。図の、、ファイアウォール 1 " では外部からのアクセ 59 入検知システム ) によるモニタリングを実施し、内部から (lntrusion Detection System : イ受 ス管理をおこなう。さらに、 DMZ だけでなく内部ネット アクセスのポリシーを実装し、方向に応して異なるアクセ 、、ファイアウォール 2 " では内部からの ワーク側でも IDS スのポリシーを、

いつでも使えるインターネット さないもの、まったく通さないものといったように、 3 種 てなかなか理想どおりにはいきません。 類のルールを設定する場合などがあります。 ・どこが弱点か分からない あるいは、 1 つの関所をうまくすり抜けられたとして 弱点を自分でみつけるには、 OS やアプリケーション も内部の大切な部分までは被害がおよばないように、複数 についての幅広く深い知ゞ必喫です。しかも、セキュ の関所をうまく口して設置することもあります。たとえ リティ重力旬は変化カ暾しいため、毎日のように新しいセ ば、内部ネットワークと外部ネットワークとのあいだにも キュリティ情報を収集しなけれはなりません。さらに、 う 1 つのネットワークを用意し、外部から内部に入り込む すべての UNIX 、すべての Windows や Macintosh 、 には、いったんそのネットワークに侵入しなけれはならな すべてのアプリケーションのセキュリテイ事情に精通 いようにします。このように、侵入に必要なコストを上げ している人は ( たぶん ) いません。ですから、この事項 ておくと、攻撃はより難しくなります。また、いすれカー をクリアするのはたいへん難しいのです。 方の関所の設定を間違ってしまった場合のフェイルセーフ ・たくさんありすぎる にもなります。 毎日、セキュリティに関する新しいニュースがないか このような関所を設けるのは、もちろん、、外部の攻撃か と注意し、パッチをこまめに当てたりして、 1 台の計 ら内部ネットワークを守る " ためです。このように、外部 算機だけに愛を注げば安全が保てるかもしれません。し の攻撃から内部ネットワークを守ることを目的として設置 かし、 2 台、 3 台と増えてくるとそうはいきません。ま された関所やネットワーク全体力ワァイアウォールです。 して、それぞれの計算機に違う OS が入っている場合 には、「えーと、これはバージョン〇△だからこのパッ ファイアウォールの得失 チを当てて・・・・・・」などと考えるだけで混乱してしまい ファイアウォールを導入すると、サイトの内部と外部 ます。 とのあいだの通信を監視し、許可しない通信が入ってきた ・そもそも、なおす手ヾない り、出ていくのを防げるようになります。通信を制御する セキュリティ・ホールが発見されてから、それを修正 機能をうまく使えば、現在知られている多くの攻撃をファ するパッチがリリースされるまで多少の時間がかかりま イアウォールで遮断できます。さらに、重要な情報カ吶部 す。その間、使用を停止するなどの応急処置で対応する から漏洩することも防げます。 ことはできますが、どうしても止められないサービスも ところが、ファイアウォールの導入にはいくらかのコ あるはすです。つまり、その、、危険な期間 " をどのよう ストがかかります。お金はもちろん、運用・管理の手間、 に過ごすかカ墹題になります。 ューサーにとっての商さカ噸なわれるといったこともコ こうしてみると、ネットワークに接続されたすべての計 ストの一にです。 算機のそれぞれに安全対策を施すのは難しそうです。個々 ファイアウォールを設置すると、それまで自由におこ に対処するのか難しけれは、全部ひっくるめて袋のなかに なっていた通信が制限されるようになります。たとえば、 ぎゅぎゅっと詰めて、袋のロをきゅきゅきゅっと縛れは ーにのサービスが使えなくなったり、サービスを利用する いいのではないでしようか。つまり、インターネットなど ために特別な設定を j 助日するといった作業をおこなわなく の外部ネットワークと接続する箇所をまとめ、そこを通る てはなりません。製品によっては、数多くのサービスに対 通信を集中的に監視するわけです。そして、そこに関所の 応していたり、クライアント側の設定を変更しなくても使 ようなものを設けて、、、許可された通信 " は j 面茴を許可し、 える高機能なものもあります。しかし、これらは一殳に高 ツ・午可されない通信 " はそこで遮析すればいいでしようけ 価です。 ファイアウォールを導入するときは、このような得失を このような関所は、内部ネットワークと外部ネットワー 天利にかけ、バランスのとれたものを選びましよう。さら クとのあいだに 1 つだけとはかぎらす、いくつ設けてもか に、導入後に必要に応して変更できるように、柔軟に作る まいません。たとえば、通過 / 遮断のポリシーが異なる関 所を直列 2 段で設置し、 2 カ所とも通すもの、片方しか通 ことも大切です。 口一三 38 UNIX MAGAZINE 2000.8

UNIX Communication Notes 1 4 6 山口英 最近のセキュリティ対策 このように EC を題材にした CM が頻繁に放映され、 E-Commerce の浸透 ふだんの友人たちとの会話にも EC に関する話題がしはし は登場し、本当に EC 日にが到来したという感じがする。 ここ数回にわたり、インターネットにおけるマルチメデ 情報嬲里の業界以タトの多くの企業も強い関心を寄せ、積極 ィア通イ謝支術を紹介してきた。今月は、このテーマをいっ 的に投資を進めている。郵政省や通産省などの報首発表に たん離れ、セキュリティ対策の現伏や今後の技嗣詢につ も EC 関連のものが多く、 EC を視野に入れた政策の立 いて説明する。電 - 子商取引、いわゆる E-Commerce ( 以 案・実施を他止するかまえをみせている。 爪 EC と略 ) の普及につれ、従来とは異なる視点からセ インターネット上で一引難勺な斉活動が展開されるよう キュリティ技術を導入する必要性が出てきた。私自身、最 になると、サーピスを提供する側にとっても利用する側に 近はこうしたセキュリティ対策についての意見を求められ とっても、、、信輒のある ( 安全かっ安定した ) サービス ることが多く、この間題に対する考え方をまとめておこう を利用できるのだろうか " が重要な関心事になってくる。 と思ったからでもある。 具イ勺には、次のような事柄である。 インターネットの商用利用か進み、さまざまな締斉活動 商取引に関する秘匿性 (confidentiality) てイ吏われるようになってきた。 EC は、現代の企業におけ サーピスを利用する際に提示した個人情報は正し <f るもっともホットな話題である。たとえば IBM は、 されるのか。 のところ同社の E-Business のコンセプトとそれを支え サーヒ、スの利用機会 (service availability) る製品を宣伝するために、国内の造り酒屋が EC を利用 サーピスは、つねに安定して使えるのか。 してマーケットを世界中に拡大しているという TV CM ・利用者およびサービス提供者の認証 (authentication 、 を放映している。ビジネスマンを対象にした CM は午後 authorization) 、アクセス制御 (access control) 、信 11 時前後に放映されると聞いたことがあるが、この CM 頼できる取引言当求 (accounting) はゴールデンタイムにも流されているところをみると、よ 利用しているサービスで言欠に遭うことはないか。 り広い層へ窈も匿を狙っているのかもしれない。一方、サ ントリーの缶コーヒー BOSS の TV CM では、、、オジ こういった・じ配を払拭し、信頼できる竟を構築するた サン " 役の社長に「わが社は E-Commerce にかけるん めに使われるのが、運用に焦点を絞った各種のセキュリ だ ! 」というセリフを語らせ、それを若い社員がポソッと批 ティ技術である。 判するという情景か描かれている。これ以汐トにも、 Oracle や日興ピーンズ証券、 Excite Japan などが EC をテー マにした CM を方郊央している。こういった現象は、、、 E - Commerce" カ一部の業界のものではなく、ひろく受け入 れられる言葉になったことを表しているのかもしれない。 従来のセキュリティ対策 最初に、インターネットに接続されている組織に必要 とされるセキュリティ対策について簡単にまとめておく。 57 UNIX MAGAZINE 2000.8

いつでも使えるインターネット 「私の言算機 ( サイト ) には盜む価値のある 1 帯長はないから・・ と言ってセキュリティ対策を講しない人がいます。こういう人は、 おそらく則記のようなイメージをもっているのだと思います。 皆さんの言 1 算機を攻撃するのは、このような SF 的な侵入者で はありません。 99.999... パーセントは Script Kiddie と呼 ばれる輩です。 Script Kiddie とは、、お手軽に " 侵入できる計算機を探し求 める者たちです。彼らの目的は、なんらかの情報を得ようとした 、なるべくお手 り、狙いをつけた企業に侵入することではなく、 軽に " 侵入し、、なるべくお手軽に " 管理名権限を奪うことです。 そして、侵入した言算機から別の計算機へ侵入し、それを限りな く繰り返します。「なぜ ? 」と訊いてはいけません。「そんなことし て何か楽しいのやろ」と考えても無駄です。そういうものだと思っ てください。 Script Kiddie は、計算機に侵入するために、いくつかのセ キュリティ・ホールを攻撃するプログラムを使用します。これ らはひろく知られたセキュリティ・ホールで、たいていの場合は CERT/CC からすでに報告されています。さらにいえば、報告 されてから半年以 - はを茴したものを攻撃する場合がはとんどです。 ー殳には知られていないセキュリティ・ホールか攻撃されるこ ともありますが、ごくごく稀であり、そもそもそのような攻撃を するのは Script Kiddie ではありません。 Script Kiddie カイ屯用する攻撃プログラムは、アンダーグラウ ンド・サイトからダウンロードしたものです。自分で作ることもあ るかもしれませんが、これもめったにありません。多くの Script Kiddie は、攻撃プログラムがセキュリティ・ホールに対して何を するのかを理解していません。おそらくは、使い方も十分には理 解していないでしよう ( 丘の攻撃フログラムの多くは、 Script Kiddie 対策として、そのままでは動かないように書かれていま す。ただし、伺属のドキュメントを読めば、どこを修正すれはよ いのかが分かるようにはなっています ) 。 Script Kiddie が 1 回の攻撃で対象にするセキュリティ・ホー ルの不頁は、通常は片手で数えられるほど、多くても両手で数え られる程度とごく少ないのか特徴てす。すべての不頁の攻撃に失 敗した場合は侵入をあきらめます。 こオけごけて終るのなら、、興未本位でやってみた " だけの、にわ かクラッカー " です。 Script Kiddie のもう 1 つの特徴は、攻撃 する計算機の数が尋常ではなく、たいていは佃佰 ~ 何千台の言算 機に次々と攻撃を f 廱トけることです。そして、、たまたま " セキュ リティ・ホールをふさいでいなかった計算機を探すのです。 Script Kiddie は、まず最初に攻撃する計算機のリストを作成 するプログラムを実行します。次に、そのリストにある計算機に 対して攻撃プログラムを実行します。この 2 つのプログラムは、 別々であることもあれは、 1 つのパッケージにまとめられている こともあります。リストの作成と攻撃は同時におこなわれるとは かぎらす、ある程度の日数をおいて実行されることもあります。 攻撃対象のリストを作成するガ去はいろいろありますが、たと えば、次のようなものか上如勺よく用いられるようです。 特定の範用の IP アドレス空川すべて たとえは、、このプロバイダのユーザーはセキュリティ対策が 甘そうだ " と見当をつけ、その ISP の管轄ードにある IP アドレ 56 スのプロック全体を攻撃することがあります。しかし実際の ところすべての IP アドレスに言 t 算機か割り当てられているわ けではないので、アクセスのタイムアウト待ちなどを考えると 攻撃の効率はあまりよくありません。 ・ DNS のゾーン中幻逶を利用 DNS のゾーンデータのなかには、サブドメイン名やホスト名、 IP アドレスなどの情報か書かれています。これを利用すれは効 率よく攻撃できます。 ・ IP スキャンツールを利用 特定の範用の IP アドレス空間本を効率的にスキャンし、接 続されている計算機を探し出すようなツールを利用してリスト を生成します。この種のツールのなかには、計算機 ( ルータも 含む ) て動いている OS の不頁やバージョンを孑則できる機能 をもつものもあります。たとえば、その後に攻撃するセキュリ ティ・ホールか特定の OS に依存するものである場合、この OS 擱印腰能を利用すれは、たいへん効率的な攻撃かて、きます。 ・ドメイン名のリストか引則 ドメイン名の前に www や ftp 、 ns 、 mail など、よく使われ るホスト名を j 助日してリストを作ることもあります。この場合、 ドメイン名のリストをもっていることがⅲ醍になりますが、各 地の NIC からダウンロードしたりにのような不正使用が原 因で、現在は非公開になっていることが多いようです ) 、アン ダーグラウンドで出回っているリストを入手したりします。す こし頑張れば ( ? ) 、サーチェンジンの本結果から生成するこ とも可能です。 Script Kiddie は特定のサイトを狙って攻撃しているわけでは ありません。困ったことに、現在このような Script Kiddie は 星の数ほど・・・・とはいわないまでも、とにかくかなりの人数がい るようです。その結果、インターネットに接続したその日から攻 撃を受けることもあります。サイトによっては、毎日のように攻 撃さその数があまりに多いので日常化しているところさえある そうです。 「 Script Kiddie の攻撃を防ぐ力法はないの ? 」 残念ながら、 Script Kiddie は手当たりしだいに攻撃してくる ので、インターネットに接続しているかぎり防ぐ方法はありませ ん。しかし、攻撃から守るのは簡単です。 Script Kiddie による 攻撃の大半は、一イ殳によく知られたセキュリティ・ホールの悪用を 試み、失敗すればすぐにあきらめるといった叫屯明快なものです。 そのため、 CERT / CC ゃべンダーから送られてくるセキュリティ のドキュメントに従って対策を講したり、ファイアウォール て攻撃を遮断するようにしておけば、被害を未然に防ぐことかて、き ます。 ところが、ある日、どこかの国の Script Kiddie が、たまた 、たまたま " 皆さんの言算機を攻 ま " 実行した攻撃プログラムが、 撃し、、たまたま " 未対策のセキュリティ・ホールへの攻撃に成功 することもあります。「自分だけは大丈夫」という油断は禁物てす。 UNIX MAGAZINE 2000.8

連載 UNIX Communication N0tes データの入力竹喋だけをおこない、情報の処理は委託先の 増えつつある。 ASP にるといった形態の事業も生まれている。この 業務システムの集約 ようなサービスは、とくにスケジュール管理や経費引・算な このところ、ときおりみかけるようになった興架いセ どの分野でよく使われているようだ。 キュリティ対策に、業務システムを特定のアプリケーショ セキュリティを強く意識したこのような工竟の構築・利 ン・プラットホームに限定して構築する方法がある。 用により、システム管理 - E のリスクを軽減しようという動 ー殳に、多くの業務はいくつかの限定されたイ乍喋の糸お区 きも広まりつつある。 しから成り立っている。すべてのユーサーが UNIX や ログ管理の徹底 Windows などを駆使し、さまざまなアプリケーションを ネットワーク・サービスを提供する場合には、セキュリ 利用して作業するような仕事は、プログラム開発やコンテ ティ対策はもとより、アクセス管理や課金管理などの面で ンツ制作に携わる部門以外では稀である。そこで、 Web 上 もログの重要性か増しつつある。具ー純勺には、次のような で使える業務関連のアプリケーションを作り、ユーサーが ログ管理の手法をよくみかけるようになった。 Web プラウザだけを用いて仕事をするような工竟の構築 も始められている。 改竄か不可能なメディアを利用したロク管理 たとえは、情報の参照やデータベースの検索、定型書式 これは、不正アクセスの発見と証拠保存のためであるこ にもとづく文書の作成や配布といった処理は、ほとんどす とが多い。山も匠の不正アクセスでは、侵入した攻撃者が べて Web 上でおこなえる。さらに、経費引算、会議室予 管理名権限を奪い、ログなどの侵入記録を書き換えて証 約、スケジュール管理、カスタマー・サポートなどの処理 拠を減することがよくおこなわれる。このような攻撃 についても、データベースをバックエンドとした Web 環 への対策として、ログを改竄不可能な Write-Once メ 境によって容易に実現できるであろう。 ディアに保存するガ去か普及し始めている。 定型処理を中心とした仕事を Web 環境に移行し、ユー このような手法は、これまでにも徹底したセキュリティ サー側でのアプリケーション導入を減らすことで、次のよ 管理をおこなっているごく少数の糾織では実施されてい うな効果か期侍できる。 たが、描丘の不正アクセスの増加とともに、多くの組織 で実施されるようになってきた。 ・ユーサーか利用する機器でのアプリケーション管理を簡 課金管理などにおいても、システム・クラッシュなど 単にし、セキュリティ上間題のあるソフトウェアの導 の事故から言当求を守るために、同様な力法でロク理を 入を防ぐ。 おこなう企業が多い。 ・ユーサーによる不必要なアクセスの発生を防ぐ。 膨大なログの管理 このような工竟の出現とともに、 Webware と呼はれる IDS を導入した当初は、生成されるログの量の多さに驚 アプリケーションカ鯛発・提供されるようになってきた。 くことだろう。現在の大部分の IDS は、多種多様なア クセスに対して重要度の異なる膨大なログを生成する。 さらに、 ASP (Application Service Provider) とい う、新たな形態でアプリケーションを提供するビジネスも IDS だけでなく、ファイアウォールにおいても大量の ログか残される。これは、セキュリティ関連製品の一殳 登場した。山も広「アプリケーションを使ったぶんだけ負 的な考え方として、ログの生成を減らそうとして重要な 担するサービス」をキャッチフレーズに大手べンダーが 情報を記録しそこねるより、可能なかぎり口グを残し、 ASP 事業に参入し始めている。これは、インターネット それを角財斤することによって必要な情報を抽出する去 上に Java などで記述されたアフリケーションを用意し をとっているからである。 ておき、求されたユーサーだけがそれを使えるといった 結果として、ネットワーク / セキュリティ管理では、膨 サービスである。登録ューサーは、ネットワーク上から手 大なログの管理・角励ミ必のイ 1 喋になる。これに対応 午の Web プラウサにダウンロードしたアプリケーション するために、ログを管理するためのツールや、大量のロ 上で必要な竹喋をおこなう。場合によっては、ユーザーは 62 UNIX MAGAZINE 2000.8

図 1 典型的なファイアウォールの構成 従来のセキュリティ対策の本質は、インターネットに接 続されている竟を、いかにコストをかけずに守るかであ インターネット る。また、防彳卸の対象もおもに組織内ネットワークと情報 資源であった。 ファイアウォール ) 車載 UNIX Communication Notes—O ゲートウェイ DMZ このような考えから一般化した技術の代表 ( 列がファイア ウォール (firewall) である。ファイアウォールは、管理 対象のネットワークをインターネットからプロトコルレベ ル 0 鬲離し、特定のホストのセキュリティを高めることを 目的とする財懾である。 図 1 は、典型的なファイアウォールの構成である。通 常、ファイアウォールはインターネットと組織内ネット ワークとの境界に設置される。この図では、内部ネット ワークと境界セグメント (DMZ) のあいだに設けられてい る。このファイアウォールで、外部 ( インターネット ) か らの内部ネットワークへのアクセスを制御し、内部ネット ワークを隔離する。 外部アクセスの集約 ファイアウォールでは、糸目織内ネットワーク全体をイ 内部のユーサーの外部からのアクセスを 1 カ所に集約 ンターネットから隔離することも可能である。しかし、現 することもよくおこなわれる。たとえば、出張などで内部 実には外部にサーピスを提供するサーバー ( サービスサー ネットワークに直接アクセスできないとき、近隣の ISP 。ー ) があるため、通常は外部と直結された境界セグメン 経由でインターネットから内部ネットワークにアクセスす トを用意する。この境界セグメントは、 DMZ (DeMiIi- る、あるいは自宅などからダイヤルアッフ鮟続で、糸目織内 tarized Zone) と呼ばれることもある。 のモデムプールにアクセスするといった場合である。こう いった状況では、 DMZ 上に設置された特定のサーバーシ DMZ とは非武装地帯を孑一言葉だが、ファイアウォール ステムを介して内部ネットワークにアクセスさせるような ここには、、重武装 " を施したサーピスサー の運用を考えると、 橢匿にすることが多い。 ーを設置することになる。 DMZ ではモニタリンク、も重点的 におこなうため、どうも DMZ という呼称はしつくりこない。 アクセスか集中するところでは、使い捨てパスワードに ただし、国際会議などでは DMZ と呼ぶ人たちが多いのも事実 よるアクセス制彳卸、 SSH (Secure SHeII) などを用いた通 である。 信路のイ矍、さらに強力なユーザー言正を用いたアクセス このような構成にすることで、内部ネットワークへのア 樹冓を使う場合が多い。これにより、外部からのアクセス クセス管理をファイアウォールに集約できる。結果とし を積極的に管理し、不正アクセスを防止することが一ヨ殳に て、内部ネットワークに接続された個々のホストでのセ おこなわれている。 キュリティ管理の手間か成され、対策の実施漏れも少な 暗号イヒ里 くなる。セキュリティ・ポリシーについても、ファイア 通信内容をイするために、暗号化された通信をおこな ウォールにホリシーを実装するだけで、内部ネットワーク うアプリケーションも数多く利用されている。 から外部へのアクセス、外部から内部へのアクセスのポリ たとえは、 SSH は telnet に暗号化通信機構を追加 シーか、実現できる。つまり、ファイアウォールはアクセス したものと考えられる。さらに、ポート転送 (port for- に関する管理を 1 点に集約し、作業の手間を減らづ卞財冓と ファイアウォール サービスサーバー いえ乞だろう。 58 UNIX MAGAZINE 2000.8

いつでも使えるインター ネット 図 4 パターン 3 ォールがあるのにサー ー計算機に侵入されることがある のかと疑間に思う人もいるでしよう。 たしかに、ファイアウォールはセキュリティを高めて くれます。しかし、あらゆる攻撃を防いでくれるわけでは つ ありません。ファイアウォールは、あくまでもケえられた 規則にもとづいて通信を制御するだけです。したがって、 イ その規則で許可された ( あるいは明示的に禁止されていな い ) 範川内での攻撃は通り抜けてしまいます。そして、サ オ ーバー・プログラムにセキュリティ・ホールがあり、か っファイアウォールがその攻撃を防御するように明示的 に設定されていない場合、攻撃ははば間違いなく成功しま す。たとえそれが釗・の先のように小さな孔であっても、セ キュリティ上の弱点であることには違いありません。そ もそも、現在のようにプログラムを使って攻撃する日罸にに は、孔の大小は無関係です。たまたま孑しゞ空いていて、た 文献をみかけることがあります。この場合、インターネッ またまそれを衝く攻撃プログラムにアクセスされることも トと公開サーバーとのあいだの通信は、ファイアウォー あります。 ル言算機 -- ヒのフロキシーによって中継させたり、あるいは このため、サーバー側での設疋には細心の注意を払う必 NAT や NAPT を利用しているようです。 要があります。 Apache のように、安全だといわれている このような例は、、、構成が単純でお金がかからない " と プログラムを利用している場合でも、設定に間題があると いうメリットとともに紹介されていますが、たいへん危険 そこから侵入されることがあります (CGI についても同 なので避けたほうが難です。 様です ) 。 この構成では、サーバーへの侵入を許してしまった場 ファイアウォールを設引するときは、、、サー 合、内部ネットワークへのアクセスを止めることができま 機に侵入されることがある " という前提を忘れてはいけま せん。攻撃者の立場て考えると、たとえばサー 一言算機 せん。 上で root の権限を奪い、内部ネットワークに流れるパス サービスごとに異なる計算機を用意する ワードを盗み、それから内部の引・算機へログインする一 - 漣 の攻撃か容易におこなえます。 理想的には、彳難リの異なるサーバーは別々の言 fr. 算機上で 山も丘は、数万円も出せば IP バケットをフィルタリング 運用したほうがよいでしよう。たとえは、 Web と FTP 、 できるルータが買えます。きわめて大切なところなので、 DNS を運用するときは 3 台の言算機を用意します。しか へんにケチったりするのはやめるべきです。 し、お金やスペースといった点で実現できないことがある かもしれません。そのような場合でも、すくなくとも想 的には別々の言算機 - E て運用したほうがよいと憶えておき ましよう。 以下ではサーバーの構築と運用について、いくつかのポ こ数年、 DNS (named) のセキュリティ・ホールが イントを説明します。ただし、 こでは特定のサーバーや 悪用されて書を受けるケースが多発しています。その意 フログラムに関する説明はしません。 味でも、できるかぎり named は独立した計算機で運用 ファイアウォールがあっても侵入される ? したほうがいいと思います。どうしても無理なら chroot こまで、「サーノヾ一言算機に侵入されたときのことを を利用し、さらに一 - ューサー権限で動くように設定しま 考えて・・・・・・」と書いてきました。おそらく、ファイアウ す。このような設定は、 OpenBSD を参考にするとよい インら一ネリト 。。内トワ ~ り サーバーの運用 52 UNIX MAGAZINE 2000.8

RFC ダイジェストー RFC2832 で定義されているのは、 RRP のプロトコル・ BCP. 、 P Ferguson 他 ( RFC2267 置換 ) ( 別称 BCP 38 ) デザインと、ドメイン名登録に必要な機能を提供するコマ IP バケットの始点アドレスを言′ : した DOS けーピス ンド君物 ) 田である。 不能 ) 攻撃を防ぐためのガ去として、ネットワークの境界 でのフィルタリングを提案している。ン則点での最良の RFC2860 Memorandum of Understanding Concern- ing the Technica ハ /Vork ofthelnternet Assigned Num ガ去 " として 2000 年 5 月に公開された。 RFC2267 を置 bers Authority き換えている。 BCP シリーズ (BCP 38 ) としても公開 IANA の業務に関する協定書 されている。 fo. 、 B. Carpenter 他 インターネットの普及により、そのユーザー数やユー 2000 年 3 月 1 日に IETF と ICANN (lnternet Cor- サー層は引瞿的に増大した。これはたいへん望ましいこと poration for Assigned Names and Numbers) のあ だが、その一方でネットワークを利用した悪意の攻撃によ いだで調印され、 3 月 10 日に ICANN で承認された る被害も増大している。なかでも、ネットワークを利用し 「 IANA の業務に関する協定書 (MOU 文書 ) 」を公開し て被害者のホスト / サイトでのサーピスを停止させる DOS ている。、、広報 " として 2000 年 6 月に公開された。 攻撃は、 ISP ( インターネットサーピス・プロバイ夘は この MoU は、 IETF と ICANN のあいだの合意事項 もとより、インターネットに接続されているすべての組織 を記した文書である。これまで IETF および IRTF を補 にとってきわめて有害であり、さまざまな刈策を駆使して 完してきた IANA の業務について述べている。 に E しなければならない。 DNS 関連 RFC2827 では、インターネットの接続点 (ISP のダ イヤルアップ・ポートなど ) から始点アドレスを偽造して RFC2845 Secret Key Transaction Authentication for 侵入してくる DoS 攻撃を仙 . E するために、ネットワーク DNS (TSIG) への流入トラフィックのフィルタリングを提案している。 TSIG : DNS 用の秘密鍵トランサクション認証 始点アドレスによるフィルタリングは、すべての DoS PS. 、 P. Vixie 他 ( RFC1035 更新 ) 攻撃を阻止するものではないが、すくなくとも始点アドレ 共有秘密鍵を用いたトランザクション認証である TSIG スを偽造した ( すなわち攻撃である可能性の高い ) バケッ を定義している。現在の状態は、、標準化への提唱 (Pro- トがインターネットに侵入することは防げる。 RFC2827 posed Standard)" である。 RFC1035 を更新する RFC では、ユーサーにインターネットへの接続点を提供する として 2000 年 5 月に公開された。 ISP は、自分の管工危囲内にあるアドレスプロック以外の DNS はインターネットの基幹システムであり、そのセ 始点アドレスをフィルタリングすることを推奨している。 キュリティの向 .- ヒを求める声は多い。たとえば、クライア ントからの重加勺更新に対する認証や再帰ネームサーバーか RFC2828 lnternet Security GIossary らの応答に対する認証が必要と考えられている。 インターネット・セキュリティ用語集 fo. 、 R. Shirey ( 別称 FYI 36 ) RFC2845 では、共有鍵および一方向ハッシュを用い てトランザクション・レベルの認証をおこなうプロトコル インターネットのセキュリティに関連する用語集であ である TSIG を定義している。 TSIG を用いることで E る。、、広報 " として 2000 年 5 月に公開された。 FYI シ 己の要求を充足・可能である。 リーズ (FYI 36 ) としても公開されている。 ー殳の用語集や辞書と同様に、用語力ワルファベット順 セキュリティ関連 に説明されている。セキュリティ関連の RFC などを参照 RFC2827 Network lngress Filtering: Defeating De- する際に利用するとよいだろう。 nial of Service Attacks which employ 旧 Source Ad- dress Spoofing RFC2831 Using Digest Authentication as a SASL ネットワーク入口フィルタリングコ P 始点アドレス淋 Mechanism を用いた DoS 攻撃への対応 ダイジェスト認証を用いた SASL 機構 一三ロ 139 UNIX MAGAZINE 2000.8

だからといって、神茴敏になる必要はありません。セ キュリティの専門家たちも悪事へのヌ寸抗策を着々と打ち出 し、防御のための技術や道具を開発しているからです。 れらをうまく組み合わせて使えば、「悪霊退散」「鬼は外、 福は内」と叫ぶことができます。 「よく『セキュリティ対策が必要』とか言われてるけど、 お金がかかるんやろ ? うちにはそんな金はないで。手間か けたらええいわれても、人手もあらへんし・・ 世の中には、ファイアウォール ( 防火壁 ) と呼はれるハ ードウェアやソフトウェアか売られています。ところが、 それらの多くはメーカーなどの技諸に設置してもらわな ければならなかったり、サポート料を毎月支払う必要のあ るものはかりで、家庭や小規模な会社で気軽に買えるよう な製品ではありません。 「ほなら、自分で作ったるわ ! 」 と勇ましく叫んだところで、はとんどの人は何をどうした らいいのか見当もつかないのではないでしようか。そんな 人たちのために、フリーな UNIX やツールを使ってファ イアウォールを作るガ去を解説した囓籍や雑誌もあります ・・ ) 。しかし、 OS やツールのイン ( 私も書いていますが・ ストールはじ、得のない人には難しく、まして設定ファイル を間違いなく主するなど、夢のまた夢という人も多いは すです。ファイアウォールの作成は、日曜工のようには いきません。かといって、最初から勉強しなおすのでは大 変です。 それでは、お金も知識も時間も気力も人手もない人は、 常日妾続をあきらめるしかないのでしようか。 そこはそ捨てる神あれは拾う神ありです。すぐ手の 届くところに、いいものがあります。それはルータです。 ISDN 経由で ISP に接続している人のなかには、 ISDN ルータを使っている人も多いのではないでしようか。そし て、 ISDN ルータには、、バケット・フィルタリング " とい う機能か備わっているはすです。 山も丘の ISDN ルータには、どんな人でも簡単に設定で きる、、お手軽、かんたん設定 " のようなイ督はみが用意され ています。これを利用すると、 Web プラウサで最低限の 情報 ( 電話番号やアカウント名、パスワード ) さえ入力す れば ISP に接続できます。とりあえすはそれで用が足り るので、自分のルータにフィルタリングなどという機能 UNIX MAGAZINE 2000.8 個人の常時接続環境を考える ( 2 ) があることさえ知らすに使っている人もいるかもしれませ ん。しかし、せつかくイ叫リな機能があるのですから有効に 活用すべきです。つまり、 ISDN ルータを使ってファイ アウォールを作るのです。 ADSL や CATV 回線を経由してインターネットに接 続している人は、専用のモデムを使っているはすです。 れらのモデムには、おそらくバケット・フィルタリンク饑 能は備わっていないと思います。このような場合は、格安 のルータを使えはいいでしよう。たとえ値段は安くても、 フィルタリンク 1 幾能さえあればファイアウォールか作れま す。あるいは、格安のファイアウォール専用機という〕尺 肢もあります。高価なファイアウォールとくらべると、設 定オプションが少ない、スルーブットがあまり高くない、 サポートがないという制約はありますが、家庭や小規模な オフィスのネットワークならこれで十分です。 「ところで、、、ファイアウォール " ゆうても、ほんまに壁 があるわけやないやろ ? 実際のところ、どんな形しとんね んな。そもそも、ファイアウォールってなに ? 」 この特集は、イな回線でインターネットに接続する比 較的小規模なネットワークを対象とし、、、最低限のコスト ( お金と手間 ) でセキュリティ対策を講しる " ことを目的と しています。今回はファイアウォールを構築・運用するう えで必要な基イⅢ識を説明し、次回に実際のルータ製品を 用いてファイアウォールを構築する例を紹介します。 ロセキ = リティ対策は必要 ? さきほども書いたように、インターネットには悪いこと を考えている人たちがいます。そんな人たちに悪知恵を授 ける人や、悪いことをするための道具 ( プログラム ) を提 供する人も少なくありません。さらに悪いことに、それら のなかにはたいへんよくできている道具もあります。あま りの素晴らしさ ( ? ) に、「もしかしたら、攻撃対象のプロ グラムよⅵ東されてるんとちゃうか」と、思わすうなっ てしまうことさえあります。 多くの攻撃プログラムは、タテマエ上はセキュリティ・ ホールの存在を実証するために作られます。そのため、ユ ーサー・インターフェイスは二の次で、ある程度の知識が なければ使えないものがほとんどです。しかし、なかには 丁寧に書かれたマニュアルや使いやすい GUI カ咐いてく 35

個人の常時接続環境を考える ( 2 ) lllustration ・盛本康成 しなさいと規定しているのです。 もちろん、これは努力義 務ですから、しなかったからといって罰せられることはな いでしよう。しかし、何かあったときに社会的な責任を問 われる可能性はあります。 もう 1 つ付け加えると、おそらく個人が所有する計算機 はこの法律の対象にならないのではないかと思います ( 私 は法律の専門家ではないので間違っているかもしれませ ん ) 。たとえ対象に含めようとしても、捜査官の絶対数が 少ない現伏では不可能でしよう。 いずれにせよ、則点では法律はあてにできません。自 分のサイトの言 t. 算機は自分で守りましよう。 こ 6 っ ! ! ちっ・爺とこは 趙んたのに . こらこらっ 0 ちゞ ・クンイ 0 6 えている方もいるでしよう。 「そやそや。不正アクセスしたら罰が当たるんやから、セ キュリティ対策なんかせんでもええねん。うちのサーバー に不正アクセスしたヤツは、お上にしょっぴいてもろたら ええわ」 残念ながら、法律ができたからといって不正アクセスが 減るとは思えません。禁止法の内容はともかく、計算機へ の侵入に対してすでに比較的厳しい罰則を課している北米 やヨーロッパの状況をみれは、効果のほどは推して知るべ しです。 前記の「不正アクセス行為の禁止等に関する法律」に は、次のような条文があります。 ファイアウォールって何 ? 第 5 条 ( アクセス管理者による防笹財昔置 ) セキュリティ上の弱点を抱えた言 1 算機をインターネット アクセス制笹曦能を特定電子計算機に付加したアクセス に接続すると、その部分が外部の危険なエリアに茁妾さら 管理者は、当該アクセス制笹曦能に係る識別符号又はこ されることになります。ちょうど、ケガをしたところに絆 れを当該アクセス制御機能により石忍するために用いる 創膏も貼らすに泥んこ遊びをしているような感じです。絆 符号の通正な管理に努めるとともに、常に当該アクセス 創膏などて傷口を覆わないと、そこからバイ菌が入ってし 制御職能の有効性を検証し、必要があると認めるときは まいます。さらに、絆創膏だけでは不十分なので、定期的 速やかにその機能の高度化その他当該特定電子言算機を に消毒したりします。あるいは、傷口か完治するまてバイ 不正アクセス行為から防御するため必要な措置を講ずる 菌がウョウヨしているようなところでは遊はないように注 よう努めるものとする。 意されるかもしれません。 残念ながら、現在のインターネットには悪いことをし 「ひらがなやカタカナ、漢字カ並んどるけど、ほんまに日 ようと企んでいる人 ( バイ菌くん ) がウョウョしています。 本語 ? 」と言いたくなるような文章ですが、大雑把にまと そして、バイ菌くんたちは、弱い部分 ( 傷口 ) がある計算 めると「管理者は、セキュリティ対策を講しるように努力 機をせっせと探し、みつけるとそこから侵入するなどの悪 しなければならない」ということです。たとえは、戸締ま さをします。 りを忘れて空き巣に入られた場合、「空き巣も悪いが、鍵を もちろん、弱い部分を完全になおしてからインターネッ かけなかったあんたにも落ち度がある」と言われるでしょ う。これと同じように、この条文は最低限のことは自分で トに接続するはうがよいのですが、次のような理由があっ 37 UNIX MAGAZINE 2000.8