WWW システム構築におけるネットワークセキュリティに関しての検証
解 析 事 業 部 電 力 システム部 システム開 発 課

牧正樹

はじめにます。現在 WWW システムとして代表的なもの

今日フレッツ・ISDN、xDSL サービス、CATVとして Apache と IIS の 2 種類があります。■■■■

インターネット接続サービス等の常時接続サービ

Netcraft2が 2001 年 9 月に行った調査によると

スの普及により個人でサーバを立てて WWW サ

Apache は全世界で稼動している WWW システム

イ トを 構築し よ う と 考え る 人が 増え てき ていまの約 60％と、2 位の IIS の約 27％の約 2 倍となるす。しかし常時接続における WWW サイト構築シェアを占めています。同調査機関の WWW シ

1

は設定に注意しないとクラッカー などの標的にステムの OS の調査では Windows が 50％占めてなるおそれがあります。クラッカーによる被害がいるにもかかわらず、これだけ Apache が使用さサーバ管理者のみの問題ですむ場合は少なく、クれていることは Apache のソフトの質が高いことラッカーによりサーバに混入されたプログラムがが世界で証明されていることを示していると考え他のサーバに対してのクラッキングの足がかりとます。それ故、このレポートにおいては Apacheして利用される場合がほとんどです。もし運営しを WWW システムに使用した場合におけるセキているサーバがそのようなクラッカーに侵入され

ュ リ テ ィ 対策に つ い て 考え て い き た い と 思い また場合、社会的信用を損なうばかりでなく、足がす。■■■■■■■■■■■■■■■

かりにされたことにより被害を受けた他サーバの次に WWW システムを動作させる OS を選定し被害も補償しなければいけない事態になる可能性たいと思います。Netscraft が行った調査結果にが 十分ありま す 。 こ の よ う な事態にな ら な い よ う

よると WWW システムとして使用されている OSに、WWW サイト構築における最低限のセキュリとしては Windows が５０％で 1 位、次に Linux がティ対策方法について考えていきたいと思いま３０％で 2 位です。それ以降は Solaris が７％で３位、す。■■■■■■■■■■■■■■

ＢＳＤが６％の４位となっています。今回はApache を WWW システムとして選択しましたの

1. Ｗ Ｗ Ｗ システムの選 定

で OS は 1 位の Window ではなく 2 位の Linux ま

まず WWW システムの選択を行いたいと考え

たは４位のＢＳＤに代表される PC-UNIX を推薦したいと思います。なぜなら PC-UNIX は Apache

1 他人のパソコンに侵入してパソコンを乗っ取ったり、不正行為の足がかりに使用したりする人々の総称

2 Netcraft : http://www.netcraft.com/survery/
1/6

3. パスワードの設 定 方 法の主要稼働環境である UNIX の一派であるためApache との親和性が高く、なおかつ UNIX 文化にまず(1)のパスワード設定について考えたいと思いて 培わ れ た 豊富な フ リ ー ソ フ ト ( セ キ ュ リ テ ィ 対ます。■■■■■■■■■■■■■■■■

策ツールを含む)が利用可能であるからです。ま

WWW システムのセキュリティ対策として最もた PC-UNIX は基本的に無料であるため Apache

基本的な対策は他人にわからないパスワードを使を用いて WWW システムを構築する場合、PC-用することです。このパスワードが安易に解読でUNIX は安定面・セキュリティ面・価格面に関してきるものであるとすぐにクラッカーにより解読され3

最適な OS の一つであると言えます。 ■■■■てシステムを乗っ取られてしまう可能性がありま

これらのことより以下では Apache ＆ PC-す。そこでパスワード決定時は最低限以下の点にUNIX を用いての WWW システム構築に関しての考慮したものを使用することを心がけてください。

セキュリティ対策に対して考えていきたいと思い① 辞書に載っている単語を使用しない。

ます。■■■■■■■■■■■■■■② 身近な単語を使用しない。
(誕生日、電話番号、名前 etc)
③ パスワードの文字数は８文字以上にする。

2. 安 全 なＷ Ｗ Ｗ システム構 築 方 法
PC-UNIX を用いての WWW システム構築にあた

まず①ですが、クラッカーはパスワードを調べり、必要最低限のセキュリティ・ポリシーには大別してる時、多数の電子辞書を用いて調べます。それ故、以下の５つが存在します。■■■■■■■

辞書に載っている単語を使用することはすぐにク(1) 他人にはわからないパスワードを利用

ラ ッカ ー に 調べ ら れ てし ま い ま す 。 ■■■■

(2) 不要なサービスを立ち上げない。できればその次に②ですが、このような身近な情報はクラッサービスの元になるアプリケーションはインスカーにとって調べあげることは困難ではないためトールしない。

使用す るこ とは避け るべきです。 ■■■■■
最後に③についてですが①や②の条件をクリ(3) 特定のコンピュータからのみ接続可能にする。

アーしたパスワードでもパスワードの文字数が 6必要なポートだけを開ける。
(4) OS やアプリケーションに関してのセキュリテ

文字程度であれば現在の高性能なパソコンを使用ィ情報の収集を欠かさず行う。セキュリティ・すれば数時間もあれば解析することが可能です。

パッチは欠かさず当てるようにする。■■■■■

しかし 8 文字以上になるとどんなに高性能なパソコンを使用しようと解析に数日を有します。それ(5) 定期的なメンテナンス
この 5 点に関する対策方法について順次説明し故、①、②の条件をクリアし、なおかつ文字数が 8ていきたいと思います。■■■■■■■■

文字以上であればそう簡単にクラッカーに調べあげら れ る 心配が な く な る の で す 。 4 ■ ■ ■ ■ ■ ■3 もちろん価格の面で可能であれば商用 UNIX でのサーバ構築も選択項目に含まれます。

4 ユーザ名もこの規則にしたがって作成することにより更なる安全性が保障されます。
2/6

ナーなサービスほどセキュリティ ホールの対策

4. 不 要 なサービスの停 止次に(2)の不要サービス削除について考えていきが十分されていないため、起動しているだけでリたいと思います。今回 WWW システムのサーバ

ス ク を 背負う こと に な りま す。 で き る だ け 不要なとして選択した PC-UNIX は通常インストール直サ ー ビ ス は 停止し て お く こ と が Ｗ Ｗ Ｗ シ ス テ ム

後の状態のまま使用すると WWW システムではを安全に運営するためには不可欠です。では、こ使う必要のないサービスまでが稼動している状態

れらのサービスの起動・停止を制御するためにはになります。サーバは機能が多いほど優れているどうしたらよいのでしょう？一度起動して毎回不という考えの方が多いですが、こと WWW システ

必要なサービスを停止していたのではきりがありませムのように固有の機能に対してのサーバを構築すん。■■■■■■■■■■■■■■■■

る場合は使用しないサービスはセキュリティホーですので不要なサービスは起動しないようにすルになるばかりでなく、パフォーマンスの低下にべきです。PC-UNIX は起動プロセス毎に起動用つながるので停止すべきです。■■■■■

スクリプトが存在します。それ故、その起動用スクリプトを編集・削除することによって、起動サー

4.1. 最低限必要なサービスは？

ビ スを制限することが 可能です。 Re dHat 系
Linux であば/etc/rc.d/rc3.d 以下、Debina 系

通常、最低限必要なサービスのみ起動した状態にすると、外部と接続しているポートが少なくな

表１ 代表的なサービスるため進入される危険性が減少します。■■■
WWW システムとして最低限必要なサービスはサービス名HTTP(80/TCP)を制御する httpd サービスです。しかし実際問題として httpd サービスだけではサーバ設定作業等で大変不便です。5それ故、少WWW システムとして最低限必要なサービス

http80/TCP

他の用途で必要なサービス

ftp

21/TCPssh

22/TCP

telnet23/TCP

ｓyslogd

514/UDP

X11

6000/TCP

cannna5680/TCP

しずつ起動サービスを追加(セキュリティ面で妥協)していくことで、サーバ運営を快適にする必要があります。次に httpd サービス以外に起動する

必ずしも必要ではない
サービスサービスを限定する方法について検討したいと思います。■■■■■■■■■■■■■■■

4.2. 起動サービスの限定方法

ポート

wnn

22273/TCP

smtp

25/TCPlpr

515/TCP

linuxconf

98/TCP起 動し て い る サ ー ビ ス を 減ら す こ と は 、 セ キ

time

37/TCP

ュリティのリスクを減らすことに直結致します。マイfinger

79/TCPauth

113/TCP

portmap

111/TCP

5 リモートログイン、FTP などが使えないため直接サーバにて作業を行う必要があり作業効率が大変悪い状態になります。

111/UDP
3/6

Linux では/etc/rc2.d 以下、FreeBSD であればしいツールであることも事実です。したがっ/etc/rc.conf 又は/usr/local/etc/rc.d 以下にあるて、WWW システムをインターネット公開するな

スク リプ トフ ァ イ ルを 編集・ 削除する こ と により、らば是非とも導入すべきツールです。■■■■

サ ー ビ ス の 起 動 制 限を 行う こ と が 可 能で す 。

6

5. 接 続 可 能 コンピュータの制 限

表１は 主な サ ー ビ ス と 使用ポ ー ト の 一覧で す 。

次に(3)の接続可能コンピュータの制限について
4.3. リモートログインの安全性強化考えてみたいと思います。これまでの作業により
7

通常 WWW システムは、実際にサーバの画面不必要なサービスが起動しない状態になりましたで作業を行うよりはリモー トログイ ンにて作業をのでかなりセキュリティホールが減少しました。

行う こ と が 多い と 思い ま す 。 現在リ モ ー ト ロ グイ

しかし現在の状況では起動しているサービスに対ンサービスとして最もよく使用されているサービ

してはどのパソコンからも使用することが可能でスは telnet サービスです。しかしこの telnet サーす。これでは起動しているサービスにセキュリテ

ビスは、 リモートコンソールから入力したコマンィホールがあった場合に不安です。それ故、現在ドを平文のまま送受信を行うため、通信データが起動しているサービスに対して接続可能なパソコ

第三者によって盗聴される危険性が高いサービス

ンを制限することはさらなる安全性が保証されるとして知られています。したがって、telnet サー

こ とに なりま す。 こ の 接続ユーザ の 制限方法は

ビスと同一のリモートログインサービスであるがPC-UNIX の各種ＯＳまたは起動サービスにより公開鍵認証等による暗号通信を行うことによりセ異なりますので一概に説明することは困難です

キュリティ機能を強化した ssh サービス 8 を使用

が、Linux の inetd に関する制限は/etc/hosts.

することを推奨します。■■■■■■■■

allow に■■■■■■■■■■■■■■■■■■

この ssh サービスはユーザ認証用に使用する個許可するサービスの実行ファイル名：許可する
ＩＰアドレス

人鍵、公開鍵の作成などの作業を行う必要があるを記載し/etc/hosts.deny に、ため導入にはそれなりの技術力が必要です。それ故すぐに導入する事は困難ですが、ＷＷＷシステ

ALL ： ALL

ムの最も弱い部分をがっちりガードしてくれる頼もと記述しておけば/etc/hosts.allow に記載されている IP アドレスから同ファイルに記載されているサービスに対してのみ接続可能な状態になります。

6 起動ランレベル等によっては編集するファイル構成が異なります。

たとえば FTP サーバの wu-ftpd なら、/ e t c / h o st s . a llo w に ■■■■■■■■■■

7 X サーバにもセキュリティホールが存在します。それ故サーバには可能であれば X のインストールをしないことを推奨します。

in.ftpd: １７２.１６.１.１ , １７２.２０.４１.１ （例）といった感じで記載し、これに加えて、/etc/hosts.deny に

8 PC-UNIX ではフリーの SSH として OpenSSH が広く使用されています。
4/6

行う必要があります。いくら(1)〜(3)の方法を用い

ALL ： ALLと記載すれば「１７２.１６.１.１」,「１７２.２０.４１.１」以外て セ キ ュ リ テ ィを 固め た とし ても ど こ か に セ キ ュの IP からの FTP 接続はできない状態になります。

リティホールがあった場合、そこからクラッカー

OS・起動サービスによっては設定方法が多少異なに侵入される可能性があります。それ故、WWWり ま す が 同じ よ う に 設定を 行う こ と によ り 安全性システムを構築している PC-UNIX のセキュリテを高めることが可能です。■■■■■■

ィ情報や最新パッチを提供しているサイトは日常つぎに接続可能ポートの制限ですが、一般的な的にアクセスすることをお勧めします。それ以外

方法として/etc/services ファイルを編集する方にも JPCERT 11 のように最新のセキュリティ情報法があります。それ以外にもカーネルバージョンを提供し ている メーリングリストに加入し て最新2.4 を採用した Linux であればほとんどのディス情報を入手するなどの方法もあります。 ■■■ト リ ビ ュ ー シ ョ ン 9 に お い て イ ン ス ト ー ル 時に 接

最新のセキュリティ情報を公開しているサイト

続可能ポートの制御が可能です。たとえばは 多数存在い た し ま すが 代表的な サ イ ト として●Securityfocus

RedHatLinux7.0 以降をベースにしたディストリビューションではインストール時に ipchains と呼http://www.securityfocus.com

ばれる Linux カーネルに実装されているファイア●CERT/CC

ウォール機能を用いて必要なポートのみを開くよ

http://www.cert.org

うに設定することが可能です。 10 このほかにも、などがあります。

ごく基本的な対策としてルータ(ダイヤルアップ

これ以外にもルータ他)などの機能を用いて接続可能なポート●セキュリティ memoを制御する方法があります。ネットワーク環境、

http://www.st.ryukoku.ac.jp/˜kjm/

使用 OS により設定方法は異なりますがこのようsecurity/memo/に接続可能ポートを制限することはクラッカーに●日本の Linux 情報

よる被害の可能性を減少させるためには有効な手

http://www.linux.or.jp

段ですので、設定されるべき項目です。■■■■■など多数存在しますので、ご自分の環境に合った情報源を見つけていただき、安全な WWW システム

6. セキュリティ情 報 の収 集の構築・ 運営し てい ただきた い と思います 。

次に(4)のセキュリティ情報の収集について考えていきたいと思います。WWW システム構築などを行う場合、セキュリティ情報の収集は欠かさず
9 Linux における各種類の総称。RedHatLinux、Debina などが存在する。
10 インストール後も/etc/sbin/setup を実行することにより設定が可能です。

11 JPCERT : http://www.jpcert.or.jp
5/6

7. 定 期 メンテナンス

た し ま し た 情報を 参考に いた し ま し て 個々 の

これまでいろいろな WWW システムのセキュリティ

WWW システムにおいて最適な方法を皆様の方で対策に関して述べてまいりましたがセキュリティ対策改良していただければと考えております。■■■■

はこれだけではありません。■■■■■■
参考文献

これ以外にも

１） 日経 Linux 2001 １０月号

①定期的なデータバックアップ②各種ログの管理及び解析

特集：カーネル 2.4 時代のセキュリティ対策などに代表される定期メンテナンスがセキュリテ入門
日経 DP 2001.11

ィ対策に欠かせない作業であります。■■■■

２） UNIX ネットワークセキュリティ導入・運用①の定期バックアップはデータ更新頻度が少ないサイトにおいては忘れがちですができる限りバガイド

ックアップするように心がけてください。■■■■

高町 健一郎 著
秀和システム 2001.4②のログ管理・解析にはアクセス解析ツールが欠かせません。アクセス解析ツールには、商用、

３） OpenSSH セキュリティ管理ガイド

フリーの物があります。ここでは、使いやすくなおか新山 祐介/春山 征吾 著

つフリーである Analog を紹介いたします。■■■

秀和システム 2001.６
４） SoftwareDesign 2001 １０月号

Analog は、http//www.analog.cx/が公式サイトのフリーソフトウェアです。日本語対応は日

特集：Apache でゼロから作る Web サイト

本 Analog ユーザ会(http://www.jp.analog.cx/) が技術評論社 2001.10

行っていますので日本語で使用した い 場合

５） Linuxmagazine 2001 ５月号

は、そこからパッケージをダウンロードして使用

特集：ネットワークセキュリティを固めるすることにより可能です。またインストール 方

ASCII 2001.5
６） Linuxmagazine 2001 ７月号

法・設定方法等は日本 Analog ユーザ会のサイトに詳しく紹介されていますのでここでは控えさせて

特集：インターネットサーバらくらく公開術いただきます。■■■■■■■■■■■■ASCII 2001.7

8. 最 後 に
ここま でいろいろと 述べ てきまし たセキュリテ
ィ対策は膨大な課題であるためどうしても概論的な説明になってしまいました。ですから WWWシステムの構成においてはこれだけでは不十分な場合も多々あると思います。それ故、今回記載い6/6