初心者のためのセキュリティー講座

インターネットセキュリティーの春夏秋冬
今回は、初心者講座という所から少し離れて、97年を振り返るという形で、不正アクセスの傾向を考えてみたいと思います。本文で取り上げる問題は、サイト管理者に対しての情報ばかりですが、一般の利用者であっても、不正アクセスに関する広い知識という意味で、無駄にはならない情報だと思います。

97年の流行

インターネットでの不正行為

その傾向と対策

97年の特徴は、春夏秋冬の季節にあわせて不正アクセスの流行があったことです。インフルエンザのように不正アクセスにも流行があるのは面白い傾向です。しかし、どの不正アクセスの方法も広く知れ渡り、かつ、既に防御方法が用意されている古典的な方法ばかりでした。これは、きちんと不正アクセスに対する適切な処置を事前に行っていれば、防げる（防げた）ということを改めて確認したと言えるでしょう。
ただし、残念なことに、このような広く知られた基本的、古典的ともいえる不正アクセ

昨年ほどセキュリティーの問題が、新聞や雑誌、テレビなどのメディアで取り上げスの手法であるにもかかわらず、対処を行っられた年はなかったのではないでしょうか。インターネットという世界に入ってていないサイトがまだまだ存在するのも事実きた人間が増えたことで、さまざまなトラブルが起きています。'98年の本連載ですし、また実際に被害も出ています。そのの最初は、'97年の不正アクセスの動向を振り返ってみましょう。

中でもJPCERT/CCへ報告されたのは、成功不成功にかかわらず、不正アクセスが行われ第7回1997年のインターネットセキュリティー問題を振り返るている事例のごくごく一部でしょう。
よく氷山の一角という言葉がありますが、JPCERT/CCに報告して頂いた不正アクセスは、全体の不正アクセスから比べると、さらに少なく氷山の一角にも満たないのではない

JPCERT/CC（コンピュータ緊急対応センター）
jhttp://www.jpcert.or.jp/

かと考えています。
多く初心者の方は、「広く知られた」「基本的」「古典的」と言われるようなセキュリテ
ィーの問題をなぜ放置しておくのか不思議に思うかもしれません。理由はいくつか考えられますが、なんといってもセキュリティーに対

292 INTERNET magazine 1998/3

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

する認識不足、あるいはセキュリティーに対年末年始のように、長期間に渡ってシステ月初めにかけての攻撃が/etc/passwdを盗むして積極的に注意を払っていなかったというムログをチェックできない日が続くような時攻撃だったので、それがログに記録されていのが最大の理由でしょう。

は、事前にログを保存する期間を長くするなないかをチェックしているにすぎませんので注

どして、確実に管理者がログを参考できるよ意してください。古いsendmailを使っているうにしておく必要があります。

場合は、同様な手口で他のファイルを盗むこ

今回取り上げるすべての不正アクセスに対する対処法がJPCERT/CCのウェブサイトから入手可能です。もし、対処していないケー

さて、この古いsendmailへの攻撃ですが、スがありましたら、早急に対処を行うことをこの攻撃の主目的は、パスワードファイルの推奨します。対処に必要な関連情報は次の盗用（不正コピー）です。不正アクセスの最URLから入手できます。

終目的はルート権限の詐取ですが、アカウン

jhttp://www.jpcert.or.jp/

ト狙いは、そこに至る道筋の重要な通過ポイントです。とが可能です。

S対処法

最新のsendmailにアップデー
トします。

春

春〜ネットニュースへの攻撃

本稿の中では、ソフトウェアの安全な最新パスワードファイルが盗まれたからといってバーションに関してのバージョン情報は、あ直ちにシステムへの侵入が始まるわけではあえて載せていません。それは、本稿執筆時に安りません。パスワードファイルには既に暗号

春はINN に対する攻撃が流行しました。

全なバージョンであっても、読者が本稿を読化されたパスワードが収められていますが、そINNは、インターネットのネットニュースの送む時には、それがまだ安全であるという保証の暗号化されたパスワードを手掛かりに、元受信および中継をする代表的なシステムです。

がないからです。ですから、最新の情報に関のパスワードを探しださなければいけないからそのINNのバージョンが1.5.1より前には、コしては、前途のURLを必ず参照してください。

です。パスワードの安全性に関しては、97年

ントロールメッセージに書かれたコマンドを実

また、最新のソフトウェアに関する情報は11月号を参照してください。また次のURLか行するというセキュリティーホールが存在し次のURLを参照してください。

らも情報を入手できます。ていました。春のINNへの攻撃は、そのセキ

jftp://ftp.jpcert.or.jp/pub/cert/jhttp://www.jpocert.or.jp/ュリティーホールを悪用されて行われたので

lastest_sw_versions/magazine/beginners.html/

す。これも以前から指摘されているセキュリティーホールでした。

冬

この春 のI N N に対 する攻 撃 は、 / e t c /とはいえ、盗難にあってからパスワード変冬〜電子メールへの不正行為更の対処を行うまで、パスワードを探しださ

passwdれる危険性は、そのタイムラグに比例して高攻撃が与える危険性には2つの場合が考えらを盗むというものでしたが、この96年年末から97年年始にかけて大規模にくなります。特にパスワードに関するセキュれます。もちろん攻撃されたサイトでのデー

不 正 アクセスが行 われました。 これは、リティー教育をユーザに徹底していないサイタの盗用、あるいは破壊の危険があるのは当

sendmail R5と一般によばれる古いバージョ

トでは、簡単に破られてしまう危険性がさら然ですが、もう1つは、INNの攻撃をそのままンのsendmail（UNIXのメール転送プログラに高まります。

他のサイトを攻撃するための踏み台として利ム）への攻撃です。このsendmailというプロ

このときの攻撃を検出する方法は、まずグラムは、インターネット上のサイト間でメsendmailのログを収めたファイルの中に、用される危険も可能性として考えられます。

ールをやり取りするときに使われるソフトウェ/etc/passwd

アで、現在のインターネットのメール配布の列がないかをチェックします。もしログの中S対処法中心を占めるソフトウェアでもあります。に /etc/passwd

り前のものである場合は、直ちにアップデ

ただし、この攻撃は古いバージョンに対してのみ有効な以前から広く知られている攻撃だったので、きちんとメンテナンスさえ行われといったような不審な文字という文字があったら、それに対応するメールの送信記録があるので、ます。特に1.5.1バーションよートします。

それをチェックします。
もし送信記録に stat=Sent という記録があればそれはサイトから /etc/passwdていれば、被害がありません。

最新のINNにアップデートし夏

夏〜cgi-binプログラムへの攻撃

技術的な面では見るべきところがありませがメールで送りだされたということを意味しんが、年末年始の連続した長期休暇を狙ったています。ただし、相手が本当にメールを受け不正アクセスであることが特筆すべき点だと取ったかどうかは、送信側には分かりません。

ドに対する攻撃が流行しました。cgi-bin

なお、この例は、96年12月末から97年1（あるいはcgi-binプログラムとも呼びますが）言えるでしょう。

夏にはcgi-binプログラムの中のphfコマン

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

INTERNET magazine 1998/3293とはWWWサーバーと協調して利用者のリクcgi-binプログラムのphfを削

ログラムがシステム管理者の権限（ROOT権除する。それ以外にも不必要限で）で実行されるという、危険度が高いもエストを処理するプログラムの総称です。こS対処法

れは、プログラムの中の1つであるphfを不正なcgi-binプログラムは削除しておきます。のです。

秋

S対処法

利用するような攻撃でした。
現在では、すでにWWWサーバーの配付パッケージからはphfは削除されていますので問題はないですが、古い配付パッケージをインストールしたり、以前のphfが削除されないまま残っている場合は問題となります。

秋〜IMAPへの攻撃

安全が確認できていないIMAPを使用している場合、サービスを停止するか、あるいは、ワシントン大学で開発したIMAPの最新バージョンへ早急

秋にはIMAPサーバーに対する攻撃が流行にアップデートする必要があります。

しました。IMAPとは、メールサーバーからメ

最近ではphfへの攻撃というのは、あまりールを取り出す1 つの方法（手順）です。にも有名になってしまっていて、定番と呼べIMAPに対応したメールリーダーがクライアンるほどになっています。WWWのシステムをトとなり、IMAPと通信し、メールをクライ管理している人は、httpdはエラーのログも取アント側（パソコン側）に取りだす働きをしれますので、そのエラーログの中にphfというます。

TCP/IPのバグはなぜか秋に現れる？？

文字がどれくらいの現れているかをチェック

IMAPにはいくつかの異なる実装形式があかなり安定していると言われているUNIX系してみると良いでしょう。特定のサイトへのりますが、そのうちのいくつかのIMAPサーバのTCP/IPですが、古くから潜んでいるバグに不正アクセスを狙う時も、必ずといっていいー（と、IMAPサーバーを参照するようないよるセキュリティーホールが、なぜか96年、ほど、真っ先にサイトに対しphfの攻撃が有くつかのPOPサーバーも含む）がセキュリテ

97年、と2年連続で秋に現れています。この

効かどうかを確認するといっても過言ではなィーホールを持っています。たとえば、ワシ

2つのバグは、BSD UNIXと呼ばれるUNIXがい程です。

ントン大学の開発したIMAPではIMAP4rev1

持つTCP/IPのコードから継承されてきた古くより前のバージョンは、このセキュリティーホからのバグですが、必ずしもすべてのUNIX系ールを持っています。のオペレーティングシステムが持っているバグphfが存在していた場合、サイト上のファイルを盗んだり、あるいは改竄、破壊が行われる可能性があります。

ではありません。

このセキュリティーホールを持つIMAPは、96年の秋は、一般にPing Of Deathとして不正アクセスを行う者が送り込んだ不正なプ

250
総件
数

131サイト294 INTERNET magazine 1998/315サイト

︶
を悪用した
攻撃
12サイト

12サイト

プロ
グラ
ム
を悪用した
攻撃

総件
数
61サイト

5サイト

1997年4月1日〜1997年6月30日

INN

1996年10月1日〜1997年3月31日

︶
への攻撃
・
悪用

電子
メール
配送
プログラム
︵ウェブ
サー
バのシ
ス
テ
ム
への不正
侵
入

ネッ
ト
ワー
ク
ニ
ュ
ー
ス
・
サー
バー
︵sendmail

7サイト

0INN

49サイト

パケ
ッ
ト
盗聴
プロ
グ
ラ
ムによる
攻撃

ネッ
ト
ワ
ー
ク
ニ
ュ
ー
ス
・
サー
バー︵sendmail50︶を悪用した
攻撃

電子
メー
ル
配
送
プロ
グ
ラ
ム
︵cgi-binINN

100

ウ
ェブ
サー
バの215サイト

ネッ
ト
ワー
ク
ニ
ュー
ス
・
サー
バー
︵︶
への攻撃・
悪用︶を悪用した
攻撃
29サイト

7サイト

シス
テ
ム
への不正侵入プログ
ラム
を悪用
した
攻撃

総件
数
107サイト

74サイト

11サイト

1997年7月1日〜1997年9月30日

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

cgi-bin150

sendmail

200︵電子メール︶配へ送のプ
攻ロ
撃グ
・ラ
悪ム
用

注：ここに挙げた件数は、JPCERT/CC が受け付けた報告の件数であり、実際の不正アクセスの発生件数を類推できるような数値ではありません。また不正アクセスのパターンごとの実際の発生比率を示すものでもありません。

初心者のためのセキュリティー講座

知られている、長いパケットを受け取るとオ推論すると、成功不成功に関係なく、非常ペレーティングシステムがダウンしてしまうバに大規模な範囲にわたっていると想像できまグが発見されました。

す。JPCERT/ CCに情報が届けられたものは、それから約1年後の97年秋には、一般にLAND Of ATTACKとして知られている、送全体の数からは非常にわずかであると考えざるを得ません。

信先偽造のパケットを受け取ってしまうバグ

JPCERT/CCが、不正アクセスの全体像やが発見されました。どちらもオペレーティン

傾向を正確につかむために、不正アクセスのグシステムがダウンしてしまう危険性がある

具体的な被害がなくとも、あるいはJPCERT/

重大なバグですが、バグ自体は非常に単純なCCの支援が必要なくとも、不正アクセスをバグで、今まで誰も気が付かなかったのが不受けたならば、その情報を不正アクセス情報思議に思えるほどです。

届出形式にて届けて頂ければ非常に助かりま

さて、これには1つの教訓があります。それは、どんなに以前から広く使われているようす。次のURLにアクセスしてください。

まとめ
97年に流行した不正アクセスに関して、大きく2つのまとめができると思います。
第一点目は、対象を絞らずに、多数のサイトに対して攻撃を行っていたということ。第二点目は、それらの攻撃手法はすでに知られているものであり、きちんと不正アクセスに対する防御を事前に行っているサイトに対してはそれらの攻撃がすべて不成功に終わったという点です。

jhttp://www.jpcert.or.jp/form.html/

なものでも、セキュリティーホールとなるバグが潜んでいる可能性があるということです。

不正アクセスの全体像や傾向がいち早くつ昨日まで長い間安全だったものも、明日になかめるようになれば、緊急報告や対処に必要れば安全ではなくような可能性が常に存在しな情報などをさらに効果的に出すことも可能ているのです。常時セキュリティーに対するになります。

情報をチェックしておかなければ、サイトの安全な運用が難しいと言えるでしょう。

それが、攻撃者への先手を打つ形で利用でき、まだ不正アクセスの被害に遭われていな

この両方のセキュリティーホールですが、いくつかのUNIXベンダーは、すでに気が付いていサイトの防御に役立ててもらえることにつながるかもしれません。

いて独自に修正していたため、これらの問題が出なかったUNIX系オペレーティングシステムもいくつかあります。もちろん、これらの問題はすでに対処できています。次のCERT/CCのアドバイザリーを参考にしてください。

* CERT Advisory CA-96.26 - Denial-ofService Attack via pingクラッカー

* CERT Advisory CA-97.28 - Teardrop̲Land
情報届出

JPCERT/CC

CERT/CCが発行するすべてのアドバイザ
リーは、CERT/CCの許可を得て、次のURLにミラーを用意しています。
発行

jftp://ftp.jpcert.or.jp/

不正アクセスの届け出に関して

便乗組
クラッカー
・緊急報告
・技術メモ
・etc

97年は、春夏秋冬とそれぞれの季節にそれぞれの不正アクセスの流行があったわけですが、流行した不正アクセスは、その手法から

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

INTERNET magazine 1998/3295

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバー
アーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.