初心者のためのセキュリティー講座

セキュリティー対策に一歩踏み出そう
前回は、SOHO環境ではシンプルなポリシーが適用できるという所で終わりました。今
回は具体的なSOHO環境でのセキュリティーポリシーを考えてみましょう。
1つ1つのサイトで利用しているユーザーの目的もいろいろと違うでしょうし、もちろんスキルにもいろいろなレベルがあると思います。ここでは、ベーシックな利用モデルを考えてみます。あくまでも一例ですので、自分の管理するサイトに対しては、自分自身で考インターネットでの不正行為その傾向と対策えることが求められます。
何かをまねるのも1つの手ではありますが、基本的な部分の理解がないまま設定だけをまねていては、正しくセキュリティーポリシーを守ることができているかの評価は難しいでしょうし、また、どうしてもセキュリティーホールができやすくなってしまうことでしょう。
このようなことを言うと、多くの読者の方がためらってしまいそうです。しかし、インターネットに接続された莫大な数のサイトを自動的にスキャンするような不正アクセスの手法が行われている現在では、まったくセキュ先月からこの連載ではSOHO環境のセキュリティーについて解説しています。

リティーについて考慮していないサイトは許前回はSOHO環境におけるセキュリティーの基本的な考え方について解説しされない時代になりつつあります。まねであました。
今回は具体的なSOHOモデルを例にとりながら、実際の設定についてれ、何であれ、まずはセキュリティー対策を解説します。設定についてのセキュリティーポリシーを知ることで、どんな状況施すことに一歩踏み出す必要があります。にでも応用できます。今回紹介する内容はあくまでも一例ですので、自分の環SOHO環境を使うユーザーについて考えてみよう

境に合わせて考えてみましょう。

第 13 回SOHO環境のネットワークセキュリティー
その2
JPCERT/CC（コンピュータ緊急対応センター）
jhttp://www.jpcert.or.jp/

ネットワークに接続されたSOHO環境をどのようなユーザーが何のために使っているかを明確にしましょう。

1ユーザーが誰か、何の目的でマシンを使っているかを明確にできるか

2ユーザーが外部のネットワークにアクセスする目的は何か

3ユーザーがネットワーク内部のほかのマシンにアクセスする目的は何か

282 INTERNET magazine 1998/10

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

ウェブサーバーに新しく用意したHTMLファ

このサーバーは、外部ネットワークへの情まず最初の「ユーザーが誰かを明確にできイルを置く」とか「メールサーバーに配送さ報の提供、内部ネットワークへの情報の提供るか」というのは、いったい誰が何のためにれているメールを取り出す」などがあるでしを同時に行なう重要なサーバーであるとともサイト内のマシンを使っているかを明確にすょう。に、外部からの攻撃を受けるときの前線に立ることです。誰が何のためにマシンを使ってさて、ここでモデルケースと図1のようなもいるのかが不明では、防御する対象が明確にのを考えてみます。このサイトでは、外部のここではサーバーが1台であることで話を進できません。「事務担当Aさんが事務処理のネットワークからユーザーの使用しているコンめます。本来は、サーバー1台で複数のサーために使っている」とか「デザイナーBさんがピュータに直接アクセスする必要がないので、ビスを提供することは望ましいことではありDTPデザインのために使っている」といった外部からのアクセスはサーバー以外へは一切ません。
「1つのバスケットに全部の卵を入れ内容でもかまいませんし、あるいは「家族が許さないこととします。

るな」という古い言葉のように、1つのサーバちます。

ーが侵略されたらすべてのサービスが影響を共有して、電子メールやWWWブラウザー、サーバーの構成を考えてみよう

ワープロなどに使っている」でも構いません。

受けるという危険があります。
しかし、現実的にはSOHO環境で何台もサ

次に、「ユーザーが外部のネットワークにアクセスする目的は何か」ということを明確に外部とのサービスのやりとりを集中して処ーバーを用意するというのは、非常に難しいしましょう。たとえば「IRCを楽しむ」とか理するために、ネットワーク内に専用サーバことです。もちろん、サーバーは完全にサー「特に目的はないがウェブページの閲覧を楽しーを用意します。これは、セキュリティーのバーとしてのみ使われているものとします。サ

む」といったものでもいいですし、「外部から問題を局所化する戦略でもあります。後に説ーバーであると同時にユーザーのマシンとして必要なソフトウェアやデータを入手するため明しますが、ルーターの機能を活かして外部も使うようなことは絶対に避けてください。にFTPを使う」とか「業務に必要な情報収集からは唯一このサーバーのみにアクセスできるのため特定のウェブページを常に参照する必ようにします。

要がある」というのもあるでしょう。
最後に「ユーザーがネットワーク内部のほ許すようなセキュリティーポリシーにすることかのマシンにアクセスする目的は何か」を明によって、ほかのユーザーのマシンの防御を確にしましょう。主にユーザーの使うクライより確実なものにします。このような役目のアントマシンから内部に用意されたサーバーサーバーを要塞ホストとも呼びます。本文でへのアクセスになると思います。
「内部にあるは単にサーバーとだけ呼びます。

SOHO環境のモデルケース

図2

ウェブデザイナー2人が発注を受けたウェブページのデザインするために、各々1台の個人使用のコンピュータを割り当てている。この2台のコンピュータがどのようにネットワークを使うかについて考える。

インターネット

ファイルの転送（FTP）
ファイルのダウンロード（FTP）

WWW■外部へのアクセス
・WWWブラウザーを使って外部のウェブサイトへアクセス
・FTPで必要なソフトウェアを入手
・FTPで外部のFTPサイト上へHTMLファイルや画像を転送■内部へのアクセス・内部のメールサーバーへPOPを使ってアクセス・送信するメールを内部のメールサーバーに中継してもらう
・内部のウェブサーバーへ作成済のHTMLファイ
ルや画像を転送

ごく基本的なサービスを図2に羅列してみました。ただし、常時接続でもインターネッ

サーバーでのサービス
内部

外部

HTTP

WWW

FTP

FTP

リモートログイン

内部

SMTP

電子メールの送受信

メールサーバークライアント

さて、このサーバーで何をサービスするかを書き出してみましょう。

FTP■外部へのアクセス・SMTPで外部のホストにアクセス■外部からのアクセス
・SMTPでメールの配送を受ける
・HTTPでウェブページをアクセス・FTPでファイルを提供■内部からのアクセス・POPでメールを転送
・リモートログイン
・（個々のユーザーによる）FTPでのファイルの転送
・ウェブページへのアクセス

SMTP

メールサーバークライアントウェブサーバーHTTP

TELNET

図1

ISPのサービスを活用してみよう

外部からのアクセスをこのサーバーのみにPOP

ファイルの転送（FTP）

SMTP
サーバー（要塞ホスト）

サーバー

ウェブデザイナーインターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

INTERNET magazine 1998/10283

トサービスプロバイダー（ISP）によって提供（Incident Response Teamの略で不正アク考慮せずに作成されているものがあり、トラされている各種のサービスを使うと条件が変セスに対応するための組織）から出ているのブルを起こすケースが多く見られます。

わってきます。

で、ウェブサイトなどを参考に確認してくだ

たとえば、図2 のサービスの中にはDNS

さい（主要IRTのドキュメントも下記サイト（ドメインネームサーバー）は含まれていませに置かれています）。

ん。DNSはホスト名とIPアドレスを相互に変jhttp://www.jpcert.or.jp/換するサーバーなので、常時稼働している必要があります。SOHOレベルの常時接続サー
ビスでは、ISP側でDNSを用意している場合

今 まで調 べたことをふまえて、 安 全 なサーバーのソフトウェアで注意すべき点が多いので、それを使うことにして、なるべく自分のサーバーの管理を軽減することも可能です。

安全なネットワーク構成を考えよう

SOHOのネットワーク環境の構成を考えましょう。規模の大きいネットワーク環境とは違い、少ない資源で効果的なセキュリティーを本文で想定しているようなSOHO環境のサーバーでよく見られるトラブルは、ウェブサー保つことが、SOHO環境では特に強く求められます。

また、ISPによってはDNSの機能だけではバーのCGI-BINプログラム（以下CGIとしま

複数のルーターを用意できるような所は稀なく、メールサーバーを用意している場合もす）です。CGIはユーザーが簡単に追加できでしょう。SOHO用ルーターを1台使用してあります。これらは、セキュリティーを考えるインターフェイスプログラムであるという特いるのがほとんどであると思われます。そのよた場合、むしろ自分のサイト内で管理するよ徴があります。しかし、先程サーバーで使用うな環境では、スクリーンドホスト構造と呼りもISPのサービスを使ったほうが楽な場合もするソフトウェアとして列挙したものと同格ばれるものが効果的です（図3）。ルーターがあるので、十分に考慮する価値があると思いに扱う必要のあるソフトウェアです。なぜな

厳密に外部と内部の通信の必要なものだけをます。

らば、外部から直接CGIにアクセスされると取り出します（フィルタリング）。

さて、上記のようなサービスを提供するたいうことは、CGIプログラムにセキュリティー

現在では、SOHO用ルーターはIPフィルタめに用いるソフトウェアをユーザーのときと同ホールが存在した場合、サーバー全体に対すリングやNATなどの機能が標準的に用意され様に書き出して確認しましょう。チェックポ

る脅威に発展する可能性があるからです。ています。その機能を活用することによって、

イントは、安全性が確認されたバージョンでCGIプログラムは、ウェブサーバーとの間にセキュリティーを高めることができます。NAT

簡便なアプリケーションインターフェイスを持は内部ネットワークで使われているプライベソフトウェアの脆弱性に関してのレポートっているので、簡単なものであればすぐに作ートなIPアドレスを、インターネット側で割は、CERTやJPCERTといった各国のIRT成できます。そのためか、セキュリティーをり当てられているグローバルなIPアドレスに割あるかという点です。

図3

スクリーンドホストの構造

図4

SOHOルーターの設定例ISPから割り当てられるグローバルIPアドレス . . . . .133.XXX.96.8/29
サーバーのグローバルIPアドレス . . . . . . . . . . . . . . .133.XXX.96.9

インターネット

サーバーのプライベートIPアドレス . . . . . . . . . . . . . .192.168.0.2■機種A

ip nat 1 192.168.0.2/*/* 133.XXX.96.9
ルーター
外部へは限定されたプロトコルのみ

サーバー以外はパケットは届かない■機種B

nat address global 133.XXX.96.9-133.XXX.96.
14 133.XXX.96.9=192.168.0.2

クライアントクライアントクライアントサーバーへは限定された サーバー
プロトコルのみ

284 INTERNET magazine 1998/10

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

初心者のためのセキュリティー講座

り当てる機能です。NAT機能を使うことによイプのソフトが、サーバーから外部へネット使用することが望ましいといえます。ただし、って、内部のマシンは外部に接続できても、ワーク接続を行うようなコマンドが実行されユーザーの使うマシン上で適当なSSHクライ

外部からは内部のマシンにアクセスできないた場合にサーバーを守ることができます。

アントを用意できない場合があります。

次に、ユーザーが使うマシンに関するルー状態を作り出せます。
この構造では、内部ネットワークのマシンで外部からのアクセスを許すのは、唯一サーバーのみです。このサーバーのみがグローバルルを設定します。
・外部へ HTTP、FTPるテーブルに、サーバーのグローバルなIPア設定することによって、さらに安全を高めることができます。たとえば、フリーソフトのTCP Wrapperなどが有 名 です。 これは、UNIXの上でフィルターとしてよく使われていなIPアドレスに対応してアクセスできるようにします。ルーターのNATのルールを記録す接続を監視するフィルターをサーバーにも二重三重の防御を施してミスを防ごうるものです。接続のフィルタリングだけではなく、詳しい接続記録を取れるようになります。
既 存 のF T P サーバーやP O P などは、ドレスとプライベートなIPアドレスの対応を登録します。このテーブルに登録されていなルーターでフィルタリングすると同時にサinetd.confというファイルでTCP Wrapperをいサーバー以外のネットワーク内の機材は、ーバー自身にも防御を施します。ルーターの使えるように設定できます。あるいは、最近割り当て対応のルールがないので、外部からフィルターが無効になった場合でも、二重三のs e n d m a i l のようにコンパイル時 にアクセスできません。これらのルールの記述

重の防御を施すことによってさらに安全性がtcpwrapperのライブラリーを指定し、内部は、使っているルーターの機種によって異な高まります。人間が操作を行う以上、オペレに組み込むタイプのものもあります。

りますので、詳しくはマニュアルをよく読んーションミスは付きものです。新しい機材がでください（図4）。

入ったり、あるいはソフトウェアが増えたためにルーターのルールを書き換えようとしたりフィルタリングには「All Deny」を適用しよう

FTPやウェブサーバーの設定に気を付けようするとき、うっかりミスで無効にしてしまう場合がままあります。同じミスでも、接続で外部に公開しているFTPサイトはさまざまきなくなった場合はユーザーがネットワーク資な注意が必要です。常に、バグのない最新のルールを決める前に、確実で最も安全であ源を使えなくなるような不具合が発生するのFTPサーバーを使うようにしてください。参る初期設定を行います。まず最初に外部からで問題は発見できます。しかし、「接続でき照するディレクトリーのユーザーの権限の許内部へと、内部から外部へのどちらに対してる」場合は、通常ユーザーにはなんの不具合可に注意してください。ユーザーの権限を間も、すべての送信元、すべての送信先、すべも発生しないので、長い間気が付かないまま違えて設定すると、外部からの侵入に使われてのプロトコル、すべての送信先ポートに対になってしまうことがあります。ミスとは発生たり、ファイルを破壊されたり、あるいは不して通信を拒絶する設定を行います。これはしやすいものですし、簡単に見逃してしまう正中継に使われたりする危険があります。

「All Denyのルール」と呼ばれる設定です。こものです。したがって、二重三重の防御を施うしておけば、万が一設定を忘れても、すべしたほうが確実になります。ての通信が閉ざされているため、大きな被害に結び付くことはありません。
次に、サーバーに関するルールを設定します。

ウェブサーバーが参照するファイルのユー
ザーIDは、CGIを実行するときに使われる実行時IDと異なるユーザーIDにしておく必要がセキュリティーのためのソフトを使おうあります。さらに、このファイルに対して書き込み不可というユーザーの権限を与えておくとよいでしょう。また、CGIで入力された・外部から SMTP、HTTP、FTP

まず、そのままではパスワードを見ること・外部へ SMTP
内部から外部へ攻撃するわけではないので、内部からは自由にアクセスできてかまわない

データで外部に対しては隠しておくべきものができないシャドウパスワードという仕組みがを、HTTP経由で参照できるような、たとえ用意されているシステムであれば、これを使ばHTMLファイルが納められるディレクトリいます。

ーに一緒に保存するようなことは、絶対にしように思われるでしょう。内部から外部へのできることなら、UNIXのリモートログインてはなりません。それはほかのHTMLファイアクセスを限定するのは、内部になんらかののサービスであるtelnetdやrlogind、またルと同じように、データをサーバー上で公開形で送り込まれて内部の情報を勝手に持ち出rshdといったリモートシェルを無効にし、代したことになります。

すようなトロイの木馬タイプの攻撃に対するわりにSSHのような通信を暗号化するような対応です。サーバー内にあるトロイの木馬タ

セキュリティーの高いサービスに入れ換えてインターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

INTERNET magazine 1998/10285

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.