Memoirs of the Faculty of Science
Kochi University (Information Science)
Vol.29 (2008), No.4

Web サーバログ解析によるセキュリティリスクの評価
小山 貴和子†

菊地 時夫††

要旨
近年，コンピュータとネットワークが発達してきており，ネットワーク社会の健全な発達を図っていく必要がある．セキュリティ対策を実施していても，不正アクセスによる被害を受ける場合がある．セキュリティ対策の一例として，定期的なログ監査の実施やアクセスログ解析の実施が挙げられる．本研究では，情報科学教室が運用している Web サーバのアクセスログを解析した．情報科学教室の Web サーバへの不正アクセスの攻撃パターン，アクセス元(国)，被害の有無を検証していった．また，日常的なログ監査方法についても提案した．本研究を通じて，情報科学教室のセキュリティ対策が十分機能していることが明らかとなった．

1

はじめにセキュリティ対策を実施していても，不1.1 背景

正アクセスによる被害を受ける場合があ
近年，コンピュータとネットワークが発る．不正アクセスによる被害は減少するこ達してきており，ネットワーク社会の健全とがあっても，無くなることはないというな発展を図っていく必要がある．ソフトウのが現状である．

ェア開発支援や情報処理技術者試験，情報セキュリティ対策などを行っている経済

1.2

着眼点

産業省の独立行政法人である情報処理推

不正アクセスをされても，被害を受けて進機構[1]は，2007 年度のコンピュータ不いるかどうか気付かない場合がある．さら正アクセス届出の内容に，侵入・メール不には，知らない間に被害が拡大し，加害者正中継・DoS 攻撃・アドレス詐欺・ワームとなってしまう場合もある．このことから，感染・アクセス形跡(未遂)・ワーム形跡な不正アクセスには早期発見，早期対処するどがあると報告した[2]．

ことが必要であると考えられる．そこで，定期的にログ監査を実施することで，早期発見が可能となる．また，システムの安全†

高知大学理学部数理情報科学科
Department of Mathematics and Information
Science, Faculty of Science, Kochi University††
高知大学理学部
Faculty of Science, Kochi University

性を確認することもできる．以上のことか

12ら，セキュリティ対策として，定期的にロ不正アクセスグ監査を実施し，アクセスログ解析を実施
2.1する必要があると考えられる．

不正アクセスの定義

不正アクセスとは，あるコンピュータへ1.3の正規のアクセス権を持たない人が，他人目的のパスワードを用いたり，ソフトウェアの本研究の目的は，情報科学教室が運用している Web サーバのアクセスログを解析し， 脆弱性などを悪用したりしてアクセス権を取得し，不正にコンピュータを利用する，
不正アクセスによる被害の有無や，不正アクセスの攻撃パターン，アクセス元(国)なあるいは試みることである．国内では 1999

どを検証し，不正アクセスの実態を明らか年に不正アクセス行為の禁止等に関するにすることである．また，本研究を通じて，法律[7](通称：不正アクセス禁止法)が成

情報科学教室のセキュリティ対策の安全立し(施行は 2000 年より)，不正アクセス性が明らかになると考えられる．

行為は犯罪行為として処罰される．

1.4

2.3

研究の方法

不正アクセスの対策

一般的にアクセスログ解析には，Analog基本的なセキュリティ対策を実施して[3]や wwwstat[4]や The Webalizer[5]などいれば，不正アクセスによる被害はほとんの解析ツールが使用されている．しかし，ど免れる．以下にその対策例を挙げる[2]．

本研究では解析ツールは使用せず，Python[6]で実装し解析を行った．Python の正規システム管理者

表現を使用することで，アクセスログの分ID やパスワードの厳重な管理及び設定類が容易に行える．

セキュリティホールの解消(パッチ適用不可の場合は，運用による回避策も本研究では，2007 年 1 月～12 月のログデータを基にアクセスログ解析を行った．

含む)

まず，どのようなアクセスが来ているか各ルータやファイアウォールなどの設定月ごとに統計を取り，どのアクセスが不正やアクセス制御設定アクセスであり，どの程度危険であるか検定期的なログ監査証した．さらに，アクセス元について各月個人ユーザごとに統計を取り，どこの国からアクセスOS やアプリケーションソフトのアップがあるか検証した．また，不正アクセスのデート

攻撃パターン及びアクセス元(国)についパスワードの設定と管理(複雑化，定期て 2007 年度年間の統計を取り，傾向を検的に変更，安易に他人に教えないなど)証した．

無線 LAN や PC 共有についてのセキュリ
ティ設定確認ルータやパーソナルファイアウォールの活用

2

3

アクセスログライアントと Web サーバとのやり取りを記録している．ここでは，図 1. の設定に示

3.1

Web サーバの構成

されるように httpd.conf にデフォルト

高知大学理学部情報科学教室の Web サーで定義されている combined の書式に従バの構成を表 1 に示す．サーバソフトとしって，アクセス元の IP アドレス，日付とては，フリー・オープンソース・ソフトウ

時刻，HTTP コマンド，サービス状態コード，ェアである Apache httpd [8]を用いてい送信バイト数，リンク元のページの URL，る．Apache httpd は Netcraft[9]の調査でユーザエージェント(訪問者の Web ブラウ

インターネット上の Web サーバの過半数をザ名や OS 名)が記録されている．1 回の動占めている．

作につき，これらの項目を列挙した 1 行の表 1. Web サーバの構成
ハードウェアオペレーティング

ログデータが生成される．

富士通

一般に，アクセスの多いサーバでは大量PRIMEPOWER 250のアクセスログが生成されるため，定期的Solaris 10に整理する必要があるが，本サーバでは毎システム

月 1 日に cron によって起動されたコマン

サーバソフトウェア Apache httpd 2.0

ドでログファイル名を書き換え，新しいログファイルに記録されるようにしている．

情報科学教室の Web サーバでは，さらにアクセスログ
リクエスト

VirtualHost を設定することで，複数の名index.html というデータを送って下さい

前を持つ仮想 Web サーバとして動作させている．また，今回問題にするようなホストクライアント

名を指定しないアクセスに対しては，基本レスポンス
はいどうぞWeb サーバ

的に何もコンテンツを提供しないように，VirtualHost 設定の最初の項目がデフォ

図 2.

HTTP のやり取りルトであることを利用して，ここにダミーの設定を書いている．

3.3

HTTP メソッド

HTTP メソッドとは，リクエスト URI，つNameVirtualHost *:80
<VirtualHost *:80>
ServerAdmin webmaster@dummy-host.example.com
DocumentRoot /www/docs/dummy-host.example.com
ServerName dummy-host.example.com
ErrorLog logs/dummy-error_log
CustomLog logs/dummy-access_log combined</VirtualHost>

まりどのファイルを HTTP サーバから取得するかを示すコマンドである．クライアン
トからの HTTP リクエスト内に，HTTP メソッドが入る．HTTP メソッドは RFC1945§
8[10]及び，RFC2616§9[11]で規定されて

図 1. VirtualHost の設定いる．以下に HTTP メソッドの種類を示す．
3.2

アクセスログ

GET

アクセスログとは，Web サーバの動作をリクエスト URI で識別される情報を取得記録したものである．図 2 に示すようにクするためのメソッドで，最もよく使用され3

る．1 行で書ける範囲で何でも書けるので，ているか)を通知したり調べたりする場合

Web サーバの脆弱性を悪用する場合にも頻に使用するメソッドである．

繁に使用される．
TRACE
HEAD

特定のサーバに接続し，そこからループサーバがレスポンスに対してオブジェバックを起動するために使用するメソッ

クトボディーを返してはならないことをドである．プロキシサーバの動作を確認す除けば，GET メソッドと同一の意味のメソるときなどに用いられる．

ッドである．ファイルの最終更新日や属性を調べる場合に使用するが，GET によるコCONNECTマンドが実行可能であるかどうかのチェ

プロキシや SSL 等のプロトコルで暗号化ックにも利用できる．

されたものにトンネリング接続を要求するメソッドである．プロキシサーバが有効POSTになっているとき，このメソッドが悪用さクライアントからの情報をサーバへ転れることがある．

送するために使用するメソッドである．
GET メソッドでも同様のことができるが，POST メソッドではより多くのデータを転3.4

HTTP ステータスコード送することができる．
コード

コメント

PUT

1xx(100 番台)

Informational

FTP の PUT メソッドに似ていて，ローカ2xx(200 番台)

Success

ルにあるファイルをサーバに転送するメ3xx(300 番台)

Redirection

ソッドである．Apache httpd では，WebDAV

4xx(400 番台)

Client Error

で利用できるが，本研究に使用した Web サ5xx(500 番台)

Server Error

ーバには実装していない．

表 2.

DELETEHTTP ステータスコードの分類

HTTP ステータスコードは，Web サーバかPUT メソッドの逆で，URI で指定したリらのレスポンスの意味を表現する 3 桁の数

ソースをサーバ上から削除するメソッド字からなるコードである．大きく 5 種類にである．PUT 同様，本サーバには実装され分類でき，先頭の 1 桁を見れば，リクエスていない．

トの成功やエラーなどの状態が大体把握できる[表 2.]．HTTP ステータスコードは

OPTIONS

RFC1945§9[10]及び，RFC2616§10[11]でリクエスト URI 先にあるリソースへの通規定されている．以下に代表的なコードと信オプション(どのメソッドをサポートし本研究で頻繁に出てきたコードを示す．

44200(OK)

情報科学教室における 2007 年の不正アクセスの動向

OK．リクエストは成功し，レスポンスとともに要求に応じた情報が返される．ブラ4.1

ウザでページが正しく表示された場合は，メール不正中継

CONNECT メソッドを用いて，リモートホほとんどがこのステータスコードを返しストの 25 番ポートに接続しようとするアている．

クセスが多くあり，年間のアクセス数は合計 544 件あった．

400(Bad Request)

これは，メール不正中継を試みようとし不正リクエスト．クライアントのリクエたアクセスであり，Apache HTTP Server でストの書式がおかしい(定義されていないメソッドを使用するなど)場合に返される．

は Proxy サーバを有効にして外部からのアクセスに制限をかけないと悪用されてしまう．本サーバには効果のない攻撃であ403(Forbidden)

るが，メール不正中継を許可してしまうと，禁止されている．リソースにアクセスす攻撃者に踏み台サーバとして悪用され，攻ることを拒否された．アクセス権限がない

撃者から送られてきた迷惑メール(SPAM)

場合やクライアントホストがアクセス拒を第 3 者に送信し，加害者となってしまう否設定されている場合などに返される．

恐れがある．また，大量の迷惑メールの送信で Web サーバが過負荷となり，通常のメ404(Not Found)ールが送れなくなるといったサービス低見つからない．リソースが見つからなか下に陥る可能性もある．

った．

これらのメール不正中継アクセスについて，クライアントホストの IP アドレスか414(Request-URI Too Long)

ら whois コマンドを利用して，アクセス元リクエスト URI が大きすぎる．URI が長の国名を調査した結果，中国(96%)とアメ過ぎるのでサーバが処理を拒否した場合リカ(4%)からであった[図 3]．に返す．

アメリカ
4%

501(Not Implemented)
未実装．サーバが実装されていないメソ

中国
96%

ッドを使用した．

図 3.

5

メール不正中継のアクセス元

この不正アクセスは 2 月～3 月に集中しなお，このアクセスに対しては応答コーており，4 月以降はほとんど来ておらず，8ド 403 が返されており，本サーバはこの攻月以降には各月 0 件であった[図 4.]．Web

撃に対して脆弱ではない．

サーバの脆弱性対策によりメール不正中40継可能なサーバが新たに見つかることは

3530

アクセス数

無くなっているためかもしれない．
300

2520
1510250

アクセス数

5200

0
1150

23456789101112月

100

図 6.オープンプロキシチェック

50
0
1

23

4

567

8

9

10

11の月別アクセス数(2007)12月

4.3 CGI-BIN プログラムを狙った攻撃
図 4.

メール不正中継の月別アクセス数

CGI-BIN プログラムを狙った攻撃が毎月(2007)

4.2あった．本研究では，年間で特に多かった

オープンプロキシチェック

事例の“POST /cgi-bin/guestbook.cgi”

オープンプロキシかどうかを確認しよという攻撃について傾向を検証した．このうとしたアクセスが毎月あった．オープン

アクセスは 1995 年の「全国ニューメディプロキシであると，メール不正中継の踏みア祭 in 高知」で使用されたゲストブック台として悪用され易い．本研究では，年間CGI に対するものではあるが，本サーバでで特に多かった事例の“GET http://www.

は CGI の利用が許可されていないので，応anonymitytest.com/cgi-bin/azenv.pl”と答コード 403 が返される．

いう攻撃について傾向を検証した．
この不正アクセスは，ほとんどが中国

ウクライナ
ロシア 7%8%からであった[図 5]．また，毎月来ており，

香港 モルドバ
6%
2%

ブラジル
1%

アメリカ
55%

最近はアクセス数が減少傾向にある[図 6]．
エストニア
21%
アメリカ
1.7%

図 7. CGI に対する攻撃（国別）

フランス
0.4%

この不正アクセスは，約半数がアメリカ中国
97.9%からであった[図 7]．また，4 月以前は来ていたが，5 月以降は全く来ていない[図8]．最近の傾向として，CGI-BIN プログラ

図 5.

オープンプロキシチェッ

ムに対する攻撃は下火になっていると思クのアクセス元

われる．

6

アクセス数一度に来るアクセス数が多い[図 10]．なお，

50
45
4035
30252015
1050

本サーバにおいては phpMyAdmin はインストールされていないので，応答コード404 が返される．
300

1234567891011250

12

図 8.

アクセス数

月

CGI に対する攻撃(月別)

イタリア
香港
カナダ
アイルランド
アメリカ
ドイツ

200
150
100
50

4.40

phpMyAdmin の脆弱性を狙った攻撃

1MySQL 用の管理ツール phpMyAdmin[12]の

図 1023456 7
月

8 10 11 12phpMyAdmin に対する攻撃

脆弱性を狙った攻撃が最も多くあり，年間のアクセス数は合計 702 件あった．アクセ
4.5

ス元を調査した結果，ドイツ(53%)，アメリカ(21%)，アイルランド(8%)，カナダ(8%)，

WebDAV の脆弱性及びバッファオーバーランを狙った攻撃“SEARCH /\x90\x04H\x04H･･･（省略）･･･

香港(8%)，イタリア(2%)からであった[図\x90\x90”という不正アクセスがたまに来9]．ていた．とても長いアクセスログであるたアイルランド
8%

カナダ
8%

香港
8%

イタリア
2%

め，少し厄介である．この不正アクセスは
W32.HLLW.Gaobot.gen[13]というワームにドイツ53%よるもので，Windows 2000，Windows NT，Windows XP の TCP ポート 80 番を使用している WebDAV の脆弱性を狙った攻撃であっ

アメリカ
21%

図 9.

た．この攻撃に対して，本サーバは応答コ

phpMyAdmin に対する攻撃元ード 414 を返す．
また，この不正アクセスと一緒に“POSTphpMyAdmin の脆弱性を狙った攻撃は，/_vti_bin/_vti_aut/fp30reg.dll”というphpMyAdmin の中のプログラム main.php なアクセスが来ていた．この不正アクセスはどにアクセスしようとしたものであった．

Microsoft FrontPage Server Extensions

アクセスログでは，“GET /phpmyadmin/mainのデバッグコンポーネントでバッファオ.php”などである．アクセス方法に特徴がーバーランを狙った攻撃であった．本サーあり，phpMyAdmin の様々なプログラムに対バでは応答コード 404 を返す．

して一度に連続的なアクセスを試みていアクセス数はごく少数で，年間のアクセた．これは，手当たり次第に脆弱性のあるス数は合計 12 件であった．また，アクセプログラムにアクセスし，リモート実行でス元を調査した結果，2 月と 4 月は日本かきるかどうか調査していたと考えられる．
傾向として，毎月来ている攻撃ではないが，

7ら，7 月はアルジェリアから，8 月はルー

マニアからであった[図 11]．2004 年に流攻撃パターンの種類

行した不正アクセスで，ほとんど対策が行メール不正中継の試みき届いてきているためか，最近はまれにしオープンプロキシチェックか見られないようである．

CGI-BIN プログラムを狙った攻撃
phpMyAdmin の脆弱性を狙った攻撃

6

WebDAV の脆弱性を狙った攻撃

アクセス数

5
4

バッファオーバーランを狙った攻撃

日本
アルジェリアルーマニア

3
2

どの攻撃も成功していなかった
不正アクセスによる被害はなかった

1

脆弱性を狙った攻撃が多かった

0
1

図 11

2

3

4

5

6
月

7

8 10 11 12

アクセス元は，中国が最多であった

月別グラフ(WebDAV に対する攻撃)

情報科学教室の Web サーバについて，セ4.6

アクセス元(国)キュリティ対策はしっかりと実施されて情報科学教室 Web サーバに不正アクセスおり十分に機能していると考えられる．しをしてきた国は年間で 34 カ国あった．中かし，セキュリティ対策が万全であっても，国からの不正アクセスが最も多かったが，システムの安全性を保つために，今後も定

これは，メール不正中継やオープンプロキ期的なログ監査を行う必要はある．

シチェックの攻撃回数が多かったためで本研究では過去のログデータについてある．これに次ぐ，ドイツ・アメリカから調査を行ったので，日常的なログ監査方法の攻撃は phpMyAdmin の脆弱性を狙ったもについて提案する．のが多かった．[図 12]．

カナダ
2%
香港
2%

アイルランド イギリス
2%
1%

日本
2%

インド
3%

アメリカ
15%

攻撃パターンに応じた正規表現を使って，エストニア
1%

攻撃の種類と回数をまとめる
その他
5%

攻撃元（国）の回数をまとめる

中国
51%

新規の攻撃パターンを報告する
これらを毎月のログローテートと同時

ドイツ
16%に実行し，ログ監査を行う．また，毎月来
図 12

年間アクセス元国別グラフているアクセスで確実に安全であるものは別のログに記録し，問題がある可能性があるものだけをログファイルに残すよう

5

おわりににすると，ログ監査が容易に行える．日常的なログ監査は大変であるが，セキュリテ

本研究で調査した期間の結果を以下に

ィ対策やシステムの安全性を保つためにまとめる．

も必要である．

86

謝辞

http://httpd.apache.org/,
1996-2008

本研究を進めるにあたりご指導，ご支援[9]Netcraft, February 2008 Web server

頂きました地球環境情報学研究室の皆様

survey,に感謝し，心より深く御礼申し上げます．

http://news.netcraft.com/archives/
2008/02/06/february_2008_web_serve
r_survey.html, 2008.

参考文献[10] Berners-Lee, T., Fielding, R., and[1] 独立行政法人情報処理推進機構,
http://www.ipa.go.jp/, 2008.

HTTP/1.0(RFC1945),

Frystyk, H., Masinter, L., Leach, P.,

http://www.ipa.go.jp/security/txt/and2008/documents/2007all-cra.pdf,

Berners-Lee,T.,

Hypertext

Transfer Protocol – HTTP/1.1 (RFC2008.
logfileProtocol

Transfer[11] Fielding, R., Gettys, J., Mogul, J.,

届出状況について”,

WWW

Hypertextt, 1996.

“2007 年コンピュータ不正アクセスの

Analog,H.,

http://www.ietf.org/rfc/rfc1945.tx[2] 独立行政法人情報処理推進機構,[3]

Frystyk,2616),

analysis,

http://www.ietf.org/rfc/rfc2616.tx

http://www.analog.cx/, 2005.

t, 1999.

[4] wwwstat, HTTPd Logfile Analysis[12] phpMyAdmin, The phpMyAdmin Project

Software,–Effective

http://ftp.ics.uci.edu/pub/websoft

MySQL

Management-,

http://www.phpmyadmin.net/, 2008

/wwwstat/, 1994-2001[13] Symantec co., Security Response[5] The Webalizer, What is your web

W32.HLLW.Gaobot.gen,

server doing today?,http://www.symantec.com/region/jp/

http://www.mrunix.net.webalizer,

sarcj/data/w/w32.hllw.gaobot.gen.h

2008.

tml, 2003[6] Python Software Foundation, Python
programming language official web
site, http://www.python.org/,
1990-2008.
[7] 不正アクセス行為の禁止等に関する法律,
http://law.e-gov.go.jp/htmldata/,
H11/H11HO128.html, 1999.
[8] Apache Foundation, Apache HTTP
Server Project,9