セキュリティ対策の実際
名古屋大学情報連携基盤センター
大規模計算支援環境研究部門
長谷川 明生今日の話題• 学内LANの現状紹介• IDSのログに見る脅威の分析• IDSやファイアウォールの設計と問題• 運用上の問題点• 問題点の解決のために– セキュリティポリシや管理体制• まとめ学内LANの現状• 端末数 約１７，０００• NICE III （１０GbE，GbE,FastEther）• セキュリティ関連– FireWall-1＋Big-IP– Dragon IDS

端末接続数の変化
台
16000
12000
8000
4000
0
３年

４年

５年

６年

７年

パソコン

８年

ＷＳ

９年

１０年 １１年 １２年 １３年

その他

名古屋大学対外接続の構成

Ｂ
Ｉ
ＧＩ
Ｐ

ＯＣ４８ｃ
名古屋大学
ルータ
Fujitsu
Ｒ９４０

ＤｒａｇｏｎＳｅｒｖｅｒ

Ｄｒａｇｏｎ Ｓｅｎｓｏｒ
Ｄｒａｇｏｎ Ｓｅｎｓｏｒ

ＳｕｐｅｒＳＩＮＥＴ
ルータ
Ｃｉｓｃｏ１２４１０ＨＵＢＦＷ
ＦＷ

Ｂ
ＩＧＩ
Ｐ

Ｈ
Ｕ
Ｂ

Ｈ
Ｕ
Ｂ

ＨＵＢ

近隣大学接続用セグメン
ト 集合ルータ接続：４３組織（＋孫接続： ７組織）
ルータ持ち込み： ５組織

ＨＵＢ

Ｈ
Ｕ
Ｂ

Ｂ
Ｉ
Ｇ
Ｉ
Ｐ

Ｈ
Ｕ
Ｂ

ＦＷ
ＦＷ

対外接続用
ルータ
ＳＲ８８００

中央ＧＳＷ
Catalyst6513

Ｂ
Ｉ
Ｇ
Ｉ
Ｐ

Ｈ
Ｕ
Ｂ

１３３．６．０．０

Ｄｒａｇｏｎ Ｓｅｎｓｏｒ
Ｄｒａｇｏｎ Ｓｅｎｓｏｒ

ＢＩＧＩＰ

負荷分散システムＦＷ

ＧＰ７０００Ｓモデル２２Ｒ； ＦｉｒｅＷａｌｌ−１

負荷分散装置（ＢＩＧ−ＩＰ）

ファイアウォールIDSシステムホストスキャン件数の推移
050

100

150

200

250

300

2001年5月
2001年7月
2001年9月
2001年11月
2002年1月
2002年3月
2002年5月
2002年7月
2002年9月
2002年11月
2003年1月
2003年3月

FTP
SSH
TELNET
HTTP
HTTPS
その他

プロトコル別割合
プロトコル別割合（2001年5月〜2003年3月）

HTTPS
3%

その他
13%
FTP
36%

HTTP
26%

TELNET
14%

SSH
8%

ワームの動向

35000

CodeRed

30000

CMD.EXE

250000200000

25000
20000

15000015000

100000

10000
50000

5000

00
7/1

8/1

9/1

10/1 11/1 12/1
図１ CodeRedとNimda

1/1

2/1

クラッキングの発生例

••
•
•
•
•
•
•
•

CGIスクリプトによるパスワードファイル取得
FTPサーバの不備によるルート権限奪取
statdのバッファオーバーフロー（Solrais）
IISのバグによるWebの改ざん、不正侵入
OpenSSHのCRCコードのバッファオーバーフロー
OpenSSLのバッファオーバーフロー
telnetdオプションのバッファオーバーフロー
Windows SQLサーバのバグ攻撃
Windowsのバグによるウィルス感染（Nimda等）

IDSからわかること• 攻撃には，流行がある。古典的なものは常に存在する．
• スキャンと攻撃件数は比例しない．
– ピンポイントの攻撃が増加している．購入直後の侵入の増加• 攻撃ツールのネットを通した急速な拡散• ステルスが増加している．
• ADSLやCATV常時接続が踏み台の温床

ホストスキャン、攻撃の傾向• ホストスキャン件数の増加• SSLへの攻撃が急増• スキャンと攻撃ホストの分散化• 見慣れないポートへのスキャン– （例 １７３００/TCP)• DDoSツール、SPAMツールの普及• rootkitの普及• Warezの増加• ネットプリンタや無線アクセスポイントのWeb設定IDSからわかる問題
1.

OSの保守がなされていない．
•パッチの不足

2. 利用しないサービスの起動
3. だれでもアクセスできるアカウントが放置されている．
4. アクセス制限がない（Web設定、無線LAN）
5. セキュリティ情報に無頓着．
6. 問題サイトへのアクセスに無頓着．
7. 管理者が明確になっていない．

学生気質の変化による問題• ハードウェアの損傷・盗難– キーボード、マウス、ディスク装置等• ソフトウェアへのいたずら– .forwardに大量のアドレスを書く– 外部の掲示板やチャット荒し（高校生でも）– xxx.acドメイン取得によるwww.xxx.acを使ったイタズラWWWページ• ネットワークの商業利用

ネットワーク倫理問題• 内外からの苦情の増加– メールマガジンへの無断登録– 架空名義による商品発注– インターネット・ダフ屋– チャットのトラブル– インターネット・ストーカー– 著作権無視（P2Pソフトウェアの普及）• 内外からの個人攻撃– なりすましによるニセ投稿– インターネット・ストーカー– プライバシーの不当漏洩イントラネット神話の崩壊• Nimdaは，あっさりファイアウォールを越えた．
– メールやWWW閲覧に伴う問題は，完全には防御できないことを証明した．

• 内部に問題はないという前提は消えた．
– ファイル共有や認証情報共有の問題• よき隣人も幻想となった．
– 問題メールは，知り合いから来る．

セキュリティ対策とは• セキュリティ対策はコンセンサス作り– コストと安全性– 利便性と安全性• セキュリティポリシと組織体制• 界面での対策＋個別セキュリティ最低限のセキュリティ対策• 最低限の施錠は必要（建物の鍵と不法侵入監視）– ファイアウォール– 内外の監視＝IDS,MRTG• ホストの日常管理（部屋の施錠）– 認証方式の監査– ソフトウェア監査– ログ監査– ファイルの統一性管理– ウィルスチェッカー、パーソナルファイアウォール• 構成員の教育（防犯教育）

ネットワークの問題• 無認証のDHCP• 無許可のバックドア• 無許可もしくは信頼できないサイトとのVPN• 無線LANの認証および暗号化• 不適切なローカルアドレスの利用

現在のファイアウォール• 高速化への対応ー＞負荷分散• IDSとの連携• パケットトレース• 法律的問題（構成員への周知）学外ネットワーク

外部向けメールサーバ

SPAM中継拒否
SPAMフィルター

ウィルス検出サーバ

ウィルス削除内部向けメールサーバ

学内メールサーバ群
ウィルス検出とSPAM対策の併設例

ホスト管理者のジレンマ• 利便性と安全性• コストと安全性• 侵入されたことは証明できても，侵入されていないことの証明は不可能

ホストの問題• 設定の済んでいない装置の接続• 不要なサービスの起動• アクセス制限• ファイル共有• パスワード問題• 物理的問題（盗難等）

最低限のホスト管理• 情報漏洩の防止– named,finger,rwho,whois,portmapper• 遠隔管理やファイル共有システムの防御– SGIのWEB– sadmind,NIS,NFS,Windowsファイル共有• アクセス制限（tcpd）• タイムリーなパッチ作業

侵入検出のためのツール一覧
名前tcpdsnort
logsurferswatch機能
アクセス制限，記録
攻撃やスキャンの検出
自動ログ監視自動ログ監視ファイルの整合性の検査

起動タイミング
備考
inetdから起動
フリー
ブート時起動フリー
ブート時起動フリー
ブート時起動フリー
cron に よ り 定 期 的 ASR は 教 育 機 関 にかtripwireに起動する．
ぎりフリー
snoop
パケットモニタ
コマンド
Solarisコマンド
tcpdump
パケットモニタ
コマンド
フリー
sps
プロセス状態確認
コマンド
フリー
top
負荷の重いプロセスの表示
コマンド
フリー
lsof
開かれているファイルやソケット コマンド
フリーとプロセスの関係の表示
ifstatus/ ネットワークインターフェースの コマンド
Solaris用フリー状態確認
cpm
find̲ddos trin等のDDoSツール検出
コマンド
フリー，Linux,Solaris用
chkrootkit rootkit検出
コマンド
フリー，Linux,Solaris用
truss
プロセスの動作トレース
コマンド
システムコマンド侵入が発見された場合• 不必要な情報漏洩の防止• ログの確保• 侵入経路の確認と影響範囲の確認・連絡• ネットワークからの切断• ファイルバックアップ• クリーンメディアからの再インストール• 全IDとパスワードの変更• ファイルの復元

侵入を発見した場合の対応• 組織内への連絡・報告– 被害拡大の防止– セキュリティガイドラインを参考• JPCERTやIPA等への報告– 被害拡大の防止• 警察に被害を届けるかどうか？
– 踏み台にされた場合には防衛的措置として考慮する．

管理体制の問題• 24時間，365日面倒が見られるか？
• システム管理は，学生や一部教官のサービス– 権限と責任の所在があいまい– 技術レベルが平均していない• 統一的ポリシがないー＞名古屋大学セキュリ
ティポリシーとガイドラインの策定• 対外窓口がない– 社会的問題（マスコミ，警察）– 法律的問題（損害賠償等々）

その他のセキュリティ対策• Ｎｏｒｔｏｎ ＵｎｔｉＶｉｒｕｓ Ｃｏｒｐｏｒａｔｅ Ｅｄ．
– ４０００ライセンス• Snort+Scramによるサーバ監視• ｔｃｐｄ＋ブービートラップ機能の利用– メールによる違反アクセスの監視• Macfee Interscan Virus WallSPAM被害・加害対策• Outlook等のフィルタ機能の活用• SPAM対応ソフトウェアの導入– 例 bsfilter,bogofilter,spamassasin• 侵入されない対策（加害防止）– タイムリーなパッチ– 異常検出やパーソナルファイアウォール

セキュリティソフトウェア利用上の注意• 重複インストールはトラブルのもと– 常駐型の同じような機能のセキュリティソフト
ウェアは、要注意• 動かなくなるソフトウェアの存在– ファイル共有– サーバ・クライアント型ソフトウェア• 可能ならログを保存

まとめ• ファイアウォールやIDSは補助対策• 末端の端末管理が基本– アクセスの自由には，義務が付随している！
（でも，すべての構成員がそうとは限らない．）