初心者のためのセキュリティー講座

インターネットでの不正行為

その傾向と対策

速に膨れ上がったインターネット社会

急

近年、急激なインターネットユーザーの増加に伴い、インターネット社会が一気に膨張しました。この状況をよく観察してみると、新しくインターネット社会に参入してくるユーザーには、今まで個人的にパソコンを単なる趣味の道具として扱ってきた人や、あるいはまったくのコンピュータの初心者レベルの人が増えてきています。

インターネットが普及するにつれて、これまでになかった悪質な行為が多発してきています。今月から始まるこの連載では、JPCERT/CC（ジェイピー
サート・シーシー／コンピュータ緊急対応センター）が、そういった不正行為について解説します。無意味に怖がることはありません。被害に遭わないためのセキュリティー知識を身に付ければ避けられることなのですから。

第一回
不正行為を避けるためのリテラシーとはそれ以前に、本格的にコンピュータやインターネットを使っていたユーザーは、基礎的かつ必要最小限の技術的な知識はユーザーとしてのリテラシー（教養）であり、当然持つべきものとの共通の認識がありました。そして、コンピュータ・セキュリティー、あるいはインターネット・セキュリティーと呼ばれるセキュリティーの知識も、リテラシーの一部に含まれると理解されていました。
現在では、そのような意識は希薄になり、

JPCERT/CC（コンピュータ緊急対応センター）
jhttp://www.jpcert.or.jp

コンピュータ・リテラシーとしてのセキュリテ
ィー知識を持たぬまま、インターネット社会に参加しているというのが現状です。
一方、それらユーザーを受け入れる側のイ
ンターネット社会の実情を見てみると、セキ

360 INTERNET magazine 1997/9

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&Dュリティ知識を持たぬままインターネットをの対応といっても、その街や国に昔から長く●安全に利用できるほどには、技術も社会的な住んでいる人にとっては、ごく日常的なレベコンピュータ緊急対応センター（JPCERT/制度も、まだまだ未成熟です。それが、現在ルのことなのです。郷に入れば郷に従えの教CC -- Japan Computer Emergency Res-のインターネットブームの1つの問題点であり、えのとおり、そこでの日常的なリスクや暮ら

ponse Team /Coordination Center：編集

また、そこからある種の歪みが生まれてきてし方を知らなくてはなりません。

部注

います。

ジェイピーサートシーシーと発音）

また、その社会での暮らし方をアドバイス

は、インターネットを安全に利用するため、これは、基幹サイトやサーバーを管理するするような情報がもっと多く提供される必要

不正アクセス対策などの活動を行うことを目人だけではなく、すべてのユーザーに当ては性があります。残念ながら、今まではアドバ的に1996年10月に設立した中立的な組織でまります。PCといえどもソフトウェアによっイスというよりも、事故や事件に対して興味す。コンピュータネットワークを介して行なて、多目的に利用できる機械です。しかも、本位に取り上げ、煽るような情報が多かった

われる不正アクセスに対応する活動、それに最近は驚く程の高性能です。それゆえに、そのも事実ですし、またその反対に、リスクに付随するセキュリティー情報の収集と分析、のような機械を正しくコントロールし、利用対してまったく無頓着な情報も同様に多かっ再発防止策の検討、情報の提供や普及などしてゆくには、操作技術のほかに、その環境たのも事実です。の業務を行ないます。

や状況に関する知識や経験が同時に必要なのリスクに対して正しい対応をするためには、JPCERT/CCは、いわゆるカスタマーサーです。それは、自動車を運転するには、安全利用する1人1人が正しくリスクを認識し、よビスといった類のサービスを提供する組織で運転には機械的操作技術も必要ですが、それり有用なアドバイスが簡単に手に入ることがはありません。不正アクセスを受けて問題を以上に、路上において役に立つ知識や経験ができる状況を作り出す環境を作り上げていく

抱えている方と、その問題を技術面で支援で大切であるというのと似ています。

必要があります。

きる方とが、それぞれの立場を離れて問題解決へ向けて協調して活動できるように調整す会になったインターネット

PCERT/CC とは何か都J

インターネット社会は、天国のように善人だけが住む世界でもなく、あるいは、無政府

さて、ここで私たち、JPCERT/CCのことを少しご紹介いたしましょう。

る役割を担うセンターを目指しています。あくまでも、問題を主体となって解決するのは「当事者」であり、JPCERT/CCはそれを支援するという立場です。

状態の世界でもありません。それは限りなく現実に近い社会です。
ただ、昔のように研究コミュニティーが利用者の中心であった小さな村ではなく、今や誰でもが入ってきて、仕事や日常の連絡、あるいはオンラインビジネスで利用する、巨大な都会へと変貌しています。そこには、それなりの悪意も、犯罪も、事故も存在するのです。にもかかわらず、多くのユーザーはそういったリスクを気にとめることもなく、無防備のままに利用しているのが実情です。そして、実際にトラブルに巻き込まれています。この図式は、「日本人観光客は、海外でも日本の外務省が出している海外旅行安全ガイド。

jhttp://www.mofa.go.jp/
mofaj/toko/leaf/passport/index.html

感覚で旅行するため、事故や犯罪の被害に遭いやすい」と言われているのとよく似ています。その場その場の状況に応じたセキュリティー・リスクを認識し、そのリスクに対して正しい対応をしていないため、トラブルに巻き込まれる場合がほとんどです。しかも、そインターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

INTERNET magazine 1997/9361

JPCERT/CCの役割と活動内容

JPCERT/CCの役割や活動範囲ではない
相談事例

不正アクセスを受けた方々からの情報提供の受け付け

法律の相談
パスワードを盗んだ犯人を探してほしい

被害状況の把握

パソコンの使い方がわからない

侵入手口の解明

インターネットにつなぐ方法を知りたい

再発防止を目指した関連技術情報の提供

インターネットを始めるので、プロバイダーをインターネットセキュリティーに関する技術情報の収集・分析紹介してサーバーやシステム設定のコンサルタント業務

不正アクセス防止策の検討と勧告文書の発行
緊急時の関係者間の連絡網の整備

通販でのトラブル相談
クレジットカードが他人に使われたときの対処

セキュリティー技術の普及・啓発

相談

海外の関連機関との情報交換および緊急時のキャッシュカードから金が引き出されたときの連携

対処相談

ぜ警察ではないのか

正アクセスのトラブルが発生したらな

不JPCERT/CCのホームページ。不正アクセスに関する最新の情報が入手できる。

jhttp://www.jpcert.or.jp/

密は守られるのか

秘犯罪を構成するような不正アクセスが発生

もし不正アクセスのトラブルが発生したら、届け出を受けた不正アクセスに関する情報した場合、警察はおそらくその犯人を捕まえ「不正アクセス情報 届出様式」に、必要な情は、届け出た方から特に許諾を得ない限り、てくれるでしょう。しかし、それだけでは、す報を添付してJPCERT/CCへお送りください。

外部へ開示することはありません。

べての解決にはなりません。問題を解決をす

不正アクセス被害状況の受け付け手順、連るためには、システムにおけるセキュリティー

絡先などの詳細に関してはJPCERT/CCのウ上の技術的弱点 （セキュリティーホール） をェブページに説明を掲載してあります。

解消することが重要です。もし、セキュリティーホールを解消せずに放置したままでおけば、何度でも同じ不正アクセスが発生するでしょう。

PCERT/CCの活動の対象

Jの連載の提供するもの

こインターネットを利用するうえで、日常的別に調査してくれるのか個な知識として必要なセキュリティーに関するリテラシー（教養）と、ごく初歩的なユーザ届け出を受けた不正アクセスの内容を検討

ーが持っているセキュリティーの知識には大し、インターネットを経由した不正侵入、破きなギャップがあります。本連載では、その壊、妨害、またはそれを目的とした不正アク

日常的な知識として必要なリテラシーをユーセスで、その影響が広範囲に及ぶ可能性があザーが身につけて実践していくために必要な情報を提供していきます。

JPCERT/CCが活動の対象としている不正るとJPCERT/CCが判断した場合には、個別アクセスとは、日本国内の組織およびユーザに調査する場合があります。JPCERT/CCがなお、本連載では、基本的な知識を中心

ーへの、インターネットを経由したシステム個別対応を行うかどうかは「コンピュータ緊とするため、システム管理者やコンピュータへの不正侵入、破壊、妨害、またはそれを目急対応センター不正アクセス情報 届出様式」

技術者が必要とする専門的なセキュリティー的とした不正なアクセスで、その影響が広範の形 式 で届 けていただいた情 報 により知識の範囲すべてをカバーするものではない囲に及ぶ可能性があるものです。

JPCERT/CCで判断いたします。

ことをあらかじめお断りします。

362 INTERNET magazine 1997/9

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

初心者のためのセキュリティー講座

んなことがリテラシーなのか

ど手先に届かず、エラーとなって管理者に宛先ったり、運用規程があいまいであったりする不明で届く場合です。

場合もありますので、どこまできちんと管理

電子メールは、よくハガキにたとえられる

もちろん、多くの善良な管理者は秘密保持しているかは、外部からはわかりません。

ように、故意、偶然にかかわらず、その配送に努めてくれるでしょう。しかし、こんなこ●

途中で誰かに見られてしまう危険性を常に伴とを想像してください。ある会社の社員と別さて、このような知識を持つことによって、います。この事実を知ることは、1つのリテラの会社の社員が、あまり公にしたくないプラ

電子メールはハガキと同じようなものであるシー（教養）と言えるでしょう。

イベートな情報を電子メールでやりとりしてということがわかりました。この知識を得た

さて、電子メールはなぜハガキと同じなのいるとしましょう。その時、配送途中にある後は、たとえば電子メールでクレジットカードかを考えてみましょう。電子メールの配送も、メールサーバーのどれかが不調になり、その番号を書いて送ることにどのようなリスクが郵便と同じで、相手に届くまでにはいろいろ電子メールが途中のメールサーバーの管理者伴うのかを、日常的な知識として思い浮かべな中継局（メールサーバー）を経由します。に届いたとしたらどうなるでしょうか。
「王様られるはずです。これがリテラシーなのです。

そのため電子メールは、配送途上にあるメーの耳はロバの耳」の話を思い出せば、どのよルサーバー上で、一時的に保存されます。

うな状況になるかは想像がつきます。

回から次受け取った電子メールがどのようなメール

もちろん悪意に満ちた電子メール覗きといサーバーを経由しているかは、各電子メールうのも考えられます。途中でいろいろなメー

次回は、「不正アクセスとは何か」についのヘッダー部分にある Received:

以下のルサーバーを経由して電子メールが届くわけてお話したいと思います。
「不正アクセス」の部分に情報として記録されます。自分の受けですが、私達は1つ1つの経由するメールサー

定義は、「システムを利用する者が、その者取った電子メールがどのようなメールサーババーが、どのような人間により、どのようなに与えられた権限によって許された行為以外ーを経由してきたかを一度、じっくりと観察形で管理されているかを知るよしもありませをネットワークを介して意図的に行うこと」

してみてください。

ん。もし、どこかのメールサーバーに悪意をとなります。もちろん、これだけには何のこ持つ管理者がいたら、そこのメールサーバーとなのか、わかりません。そこで、不正アクを経由する電子メールはアウトです。

セスとは、具体的にどのようなものなのかを一時的に保存される以上は、配送途上にあるどのメールサーバー上でもメールの内容プロバイダーやパソコン通信事業者は、電を見ることができます。

解説したいと思います。

配送途中で電子メールが偶然に他人の目に気通信事業法により厳しく情報管理を義務

まず、不正アクセスの全体像をつかんでも触れてしまうケースとして多いのは、メールづけられています。しかし、一般の組織内にらってから、個々の問題となるテーマとそのサーバーの不調で電子メールが配送できず留おけるサイト管理では、明確な業務とは認め背景、および技術的問題点や対処法を続けまってしまった場合や、なんらかの理由で相られずにオーソライズされた管理者がいなかていきたいと思います。

電子メールはいろいろなメールサーバーを経由してくる。その途中で間違って中身を見られてしまう可能性はある。
あるいは、わざと見ようとする人も…。

電子メール

この部分に、経由してきたメールサーバーが表示される。

パソコン

メールサーバー
メールサーバー
電子メール

メールサーバー

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

メールサーバー

INTERNET magazine 1997/9363

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.