セキュリティー管理責任者はいま何を考えるべきか

企業のリスクをマネージする戦略考
ネットワークやシステムの管理作業のオーバーヘッドを軽減するために、これまで種々の管理ツールが開発されてきた。しかし、たとえばネットワーク管理を考えてみると、いまだに熟練管理者が使うツールは 第十一回管理ツールの高度化

ping、traceroute、telnetが主流である。これではいつまでたっても管理ツールは普及しない。一方で、管理ツールが必要とされ、実際に管理作業に使われている環境も登場してきている。管理ツールの導入の成功の秘訣はどこにあるのか。

UNIX系ツールを使いこなす「腕」

text :

山口英 奈良先端科学技術大学院大学情報科学研究科教授

者ごとに大きく異なるような状況もよくる。
このようなシステム設計になった理由目の当たりにする。このことからも、ネットワーク管理者が使用する管理ツはいろいろあるが、最大の理由はプログ

UNIX系ツールの多くは、使う人の技量ールには三種の神器がある。それはラマーが使って十分に納得して満足できによって効力が左右されると言っても言UNIX 系 OS で用意されている ping、るプログラム開発環境であるようにと開い過ぎではない。

traceroute、telnetである。これらのツー発されたOSであるからだ。つまり、UNIXルのうち、tracerouteだけが多少新しく、を使いこなすユーザーであれば、当然プ10年ほど前にリリースされたものだが、ログラミング能力を備えていると仮定しそれ以外は4.3BSD時代（1990年頃）かていたと言えよう。そのため、各ツールをさて、なぜシステム管理で私たちはツら長い間使われてきたツールである。

シェルスクリプトで組み合わせて利用すールを使うのか。これは、システム管理UNIXのネットワーク管理を学んだユー

るのは当然のこととしても誰も困らなかの品質アップと大きく関係している。

ザーであれば、誰もがこの3つのツールったのである。このことは、ある1つの事については自由自在に使いこなせるよ実を浮き彫りにする。

なぜツールを使うのか

1つの理由は、管理作業の効率化である。もともとツールは、同じことを何度UNIXのツールを100パーセント使いも繰り返したり、あるいは、いくつものこなすためには、実はプログラマーとしツールを使った手間のかかる作業を一また、誰もが後進に管理者としての使いての素養を持ち、それを日々の業務の中度に処理したりするために利用とするの方を教授してきたツールだからだ。

で実践することが必要なのである。そのである。ツールを使うことによって、管うになっているに違いない。
というのも、そのくらい誰もが利用し、その特徴は、現在さまざまなサービス

意味では、UNIXの標準ツールは、使い理者は 1 つの作業にかかる時間を短縮を提供する管理ツール（システム）と比こなすのにはそれなりの「腕」が必要ででき、ひいては管理作業の品質を高め較すると、極めて単純なツールとして開あるということなのである。

ることができる。

発されている点にある。もともとUNIX

大抵のネットワーク管理者は、ping、

たとえば、自分の管理環境に同じベン

は、単機能の単純なツールをいくつも用traceroute、telnet を使うことができる

ダーから供給されたルーターが30台あ意し、シェルスクリプト等で複数のツーが、しかしツールの使い方も人によってったとしよう。フィルタリングの設定をルを組み合わせ、より高度なツールを各千差万別である。また、同じ使い方をし30台すべて設定しなければいけないと利用者が目的に応じて作り上げていくているように見えても、ツールの実行結したら、あなたはどのようにするだろう

ようなシステム環境として構築されてい果から得ている情報とその解釈が管理か。30台のルーターにtelnetを使って順

144 +++ internet magazine 2004.04 +++インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

セキュリティー管理責任者はいま何を考えるべきか

次アクセスし、手作業で設定ファイルをこのような人たちがネットワーク管理書き換えるだろうか。しかし、大抵はツ作業に携わった場合、既存のツールをールを使ったり、ちょっとしたシェルプロ使って効率的な管理作業を行うことはでかなり強力な管理ツールを使い始めグラムを書いて対応したりするのが普通きるものの、ツールのソースコードからると、いろいろな管理作業を自動化しよだろう。このように、ツールを使うこと管理作業の中味を理解して継承するこうとする試みを誰もが一度は経験するとで、作業時間を短縮させるだけではなくとはできない。特に、古いツールを使っ言ってよい。ところがこれにはいろいろ作業で単純ミスを避ける効能もある。ている場合には、そのツールがなぜ作らな落とし穴が潜んでいる。

自動化は福音となるか？

もう1 つの理由は、管理作業においれたのかも忘れ去られてしまうし、さら自動化の最大の問題点は、設計あるて、その経験を継承するためにツールをにはツールのメインテナンスに支障をきいは期待どおりに作業の自動化が行わ利用するということである。ソースコーたしてしまうことも間違いない。

れているように見えて、実際には大きなドが提供されている管理ツールの場合、このため、いくら先人たちが優秀なツトラブルを発生させてしまうことがある

そのツールを作った人が何を考えて、どールを作って継承していたとしても、ネという点だ。そして、それは結構見つけのように問題解決に至ったかを紐解くこットワーク管理作業に携わる素人であっにくいことなのである。とができる。言い換えると、このようなても使いこなせるツールを使うようにし10年ほど前、私のスタッフがUNIXサツールの中味を学ぶことで、先人たちがているケースが、現在ではほとんどだ。

ーバーの管理作業の自動化で起こった行ってきた管理作業を直接学ぶことがでそして各管理者の前提知識や能力にできごとを紹介しよう。

関係なく、管理作業を効率よく行い、さその当時、システムの規模は現在のシらには何らかの形で経験を継承できるステムとは比べ物にならないくらい小さ

管理用には多くのシェルスクリプトやようにしようとする企業や組織が増えてなものであった。とは言うもののシステPerlプログラムを用意し、それらを使っきている。

ムのバックアップはそれなりに大変な作きるのである。
実際、筆者自身の経験でも、システムてアカウント管理やネットワーク管理を行うようにしている。そして、実際にこのようなスクリプトを用意することで、同じシステムを共用している他のユーザー

戦
略
1に、私が管理作業で何を行っているか

ネットワーク管理ツールは、最近は誰もが使えるツールを基盤にして活動・展開することが重要だ。これにより、ツールを使った効率的な管理作業が可能で、同時に、管理者同士での経験の継承にも役立つ。

が理解できるような糸口を与えているとも言えよう。

業であった。特に、テープなどへのバックアップは時間もかかり、その作業自体が忍耐を必要とするものであった。
さて、筆者たちが当時利用していたサーバーは、私のオフィスのスタッフのA君が作業をしていた。彼はサーバーのもう1つ重要なのが、使用しているツバックアップ作業を任されていたのだ

特に長年運用してきたシステムともなールのメインテナンス作業も同時に行が、ある日バックアップを自動化するツると、大変昔から継承されてきたツールうことだ。特に古い環境で稼働していたールを作ったというので、早速使い始めが必ず１つや2つは存在するだろう。

ツールについては注意が必要である。

ることにした。

もしも自分が開発したツールであるのな

彼の計画では、家に帰る前にテープらば、OSのバージョンアップやネットワをセットすれば次の日の朝には安全な形

ーク構成の変化によってツールが使えなでバックアップが行われているというも

ところが、現在のインターネット管理くなるような状態を極力避けて、メインのであった。

は、必ずしもプログラミングの素養があテナンス作業を行わなければならない。

このシステムも彼がプライベートに作る人たちばかりが行っているわけではな

また、新しいツールに対して機能を継ったプログラムであったので、大したコい。むしろ最近では、商用インターネッ

承させようとするならば、新しいツール

ードレビュー（コード検査）もしないで運トの基盤環境の急速な広がりによって、に機能を移植しなければならない。

用に入ってしまった。しかし、ここに大誰もが使えるツールの重要性

どちらかといえばソフトウェア開発の経験も素養もないネットワーク管理専業の管理者がネットワーク管理業務作業を行っていると言ってもよいだろう。

戦略
２

使用しているツールについては、できる限りきちんとメインテナンスを実行する。場合によっては、誰もが使えるツールあるいはプラットフォームへの移植も検討する。

きな落とし穴があったのだ。
実は、このプログラムは24時間に一度決められた時刻に単純にバックアップを作るようなものであったので、テープインターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ internet magazine 2004.04 +++145

は、必ずA君が毎日入れ替えなければならなかった。
しかし、ある日、A 君が大騒ぎして私のところにやって来た。
「先生、バックアップテープが壊れてしまいました」。

管理作業の自動化は、相当慎重に行ったほうがよい。仮に管理作業を自動化しなければならないのであれば、そ
戦
「実装」
「テスト」
略 のシステムの「設計」
３ 「運用」の各フェーズで誰かが責任を持ち、徹底してトラブルを排除することが必要である。

管理ツールと付き合っていくほうが、長成長するツールに知見が集約

セキュリティー管理で使うツール期間にわたる知見の蓄積が可能となることも多い。
戦
略４

ツール自体が長い時間の中で成長するようなものの場合、うまく使うことでツール上に知見の集約が可能となる

バックアップ作業中にシステムがクラッシュしたのだ。さらに最悪なことに、A君は前日にテープの交換をし忘れていた。このため、前日のバックアップテー

また、ヒューレット・パッカード社のさて、この連載の本題である「セキュプがそのまま使われた。前日のバックアOpenViewのような大規模なネットワーリティー管理」であるが、以前は比較的ップデータはすべて廃棄され、改めて今ク管理ツールを使った場合、何人もの手作業による管理作業が大半であった日のバックアップを始めたのだ。そして、管理者が協力し合って、ツールそのものが、最近は少しずつツールを使いながらバックアップ作業中にシステムがクラッをどんどん成長させるという共通の目的作業を進めることができる。

シュしてしまったので、このバックアップをもって取り組んでいってもよいだろう。

1つは最近のアカウント管理のように、テープの内容は不完全なものになってしたとえばOpenViewであれば、ネット単純にコンピュータのログインアカウンワークの構成機器と SNMP（Simple

トだけでなく多種多様な作業が含まれNetwork Management Protocol）と いるようになったものでは、ツールを積極うネットワーク監視・制御用プロトコル的に使うようなっている。

まったのである。
この実際にあった話から見出せる問題点は次のとおりである。

で通信することで、ネットワーク内の機たとえば組織内ポータルでのアカウン（1）テープの入れ替えをA君が自分自身器の状態を把握する。OpenView を導ト管理を考えてみれば、ICカードが認証で行う方法をとっていたにもかかわ入すると、最初はすべてのネットワークシステムと連携して本人確認を行う手続

らず、人的ミスへの対応が考えられ機器とSNMPで通信ができ、次に、ネッきが入り、さらにはネットワーク環境にていなかったこと。

トワーク機器をネットワーク構成（トポロ対するログインと経路設定を端末ごとにジー）図として表示するところまでは必行うというような処理が発生することもずできるだろう。

十分考えられる。このような一連の処理（2）実際にシステムを動かすまでのテスト段階で、この問題を発見できなかったこと。

しかし、OpenViewが本当の力を見せをいちいち手作業で行うのは大変な手（3）仮に単一のエラーを発生させてしまるのは、さらに管理者が念入りな設定を間がかかってしまう。そのため、ツールっても、そこから問題なく復旧するこし始めたときである。たとえば、特定のを用意して一連の作業を漏れなく行うシとができる代替手段を確保してなかネットワーク機器にSNMPとSNMP trapステムにしているところも多い。

ったこと。

発生条件を設定し、特定の回線がダウ2つ目に利用頻度の多いツールは、フンしたならば、即座に携帯電話にメールァイア ーウォール や I D S（ I n t r u s i o nを送って管理者に注意を促すような仕組

Detection System、侵入検知システム）化をするのであれば、本当にスモールスみも作れる。OpenViewの場合、その設などのセキュリティー製品に付属するデタート、つまり、さまざまなチェックを事定も管理者がOpenViewを正しく学べばータ解析ツールや、セキュリティーポリ前に試めせる小さな規模でスタートする可能となる。

シー設定ツールなどであろう。

このようなことから、管理作業の自動のが一番よいだろう。

このように、管理ツールも単純に通り

これらは、高度な機能を持ったネット一遍の設定だけではなく、管理者が管理ワークシステムの機能を補助するソフト「テスト」を行い、さらに運用状態になっツールをしっかりと学び、そして設定をウェアとして開発されていることが多い。

たら、最初はさまざまなテストをして正し行っていくことで、さまざまな機能を実3つ目は、ネットワーク管理ツールと一く動いているかどうかを何度も確認する装できる。その意味では、成長するツー

体 に な って、不 正 アク セ ス や D o Sほうがよいだろう。

ルとしてシステムあるいはネットワーク（Denial of Service、サービス妨害）攻そして十分に慎重な「設計」「実装」

146 +++ internet magazine 2004.04 +++インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

セキュリティー管理責任者はいま何を考えるべきか撃などを検知して管理者に通知するシス

より高度なツールに期待テムである。

を概観してきた。筆者は、近年のネットワーク管理用のツールについては、二これは IDS とは多少異なり、従来のさらに現時点では実現できていないSNMPを基盤としたネットワーク管理シが、研究開発が続けられているツールもステム上に構築され、特別なポートへのある。

極化が著しいと考えている。
一方はウィンドウズベースで、誰もが使える管理ツールを用意して発展させてアクセスや、閾（しきい）値を超えたトラたとえば、source IP addressを偽装いく組織もあるだろう。また、一方では、フィックの受信などを検知する機構になした分散型DoS攻撃が発生した場合に、プログラミング能力を前提としたUNIXっている。

そのDoSトラフィックが生成されたホス型の複数のツールを組み合わせるシス

この機構は、ネットワーク管理のプラトを発見する「IP trace-back」いう技術テムも依然として広く使われている。

ットフォームを積極的にセキュリティー管があるが、これを実現するツールはいま理に利用しようというものだ。

だ現れない。

しかし、ネットワーク管理者がネットワーク管理を専業として扱うようになって

これは、これまでも多くのネットワーまた、シンプルかつ非常に強力なユきている現在では、プログラミング能力ク管理者に実行されてきた方法で、特ーザー認証の方式も長年検討されてきを前提としたシステムでは、管理者も管に、既存のネットワーク管理ソフトウェたが、本当の意味で問題可決を果たし理作業を行えないことになってしまう。

アとの相性がよく、導入コストが低いとたツールは登場していない。

そこで、誰もが使えるプラットフォームにいうことで、多くの企業や組織でこの方法が使われている。

このようなことから、まだまだネットワークが絡んだ分散型情報処理システム整合性を確認するツールはない機能を集約していくことが、今後は強い魅力となってくるに違いない。

に対しては、有効性の高いツールが何でネットワーク管理ツールはこれまでのも提供されているわけではないのだ。

長い開発の歴史の中で、一定のレベルと機能を安定して提供できるようになっ

ところが、セキュリティー管理では、緊急対応でのツール利用もことがある。
大規模なネットワーク管理において、特にセキュリティー面での設定が「セキた。しかし、セキュリティー管理の助けとなるツールの提供はまだまだ少ないと現時点でツールではどうしてもできないなんらかのセキュリティートラブルが言える。特に、セキュリティーポリシー発生したときに、利用すると役立つツーでの記述と、実際のコンピュータやルールもいくつか存在している。

ターでの設定には、その抽象度に大きくュリティーポリシーに照らし合わせてみ緊急対応時に必要なことの1つに、実乖離があることから、セキュリティーポリて整合性があるかどうかを検証する作施した作業の内容についての記録を作シーとシステムの設定の整合性を確認業」がある。

成することがある。これは、特に大規模するためには人間の手によって行うしかたとえば、管理対象のネットワークになトラブルになればなるほど、複数のチない。セキュリティーポリシーをコンピ30台のルーターがあったとしよう。ここームが分散して緊急対応に携わることにュータ上で処理できるための記述方法

で、30台のルーターには、セキュリティなるが、記録は正確に残しておかなけれの定義や整合性確認のためのツール、さー管理の立場から、さまざまなパケットばならない。

らに各種設定の整合性チェックを行うツールは、いまだ提供されていない。

フィルターが設定されているとする。こそこで、「トラブルチケットシステム」あの場合、30 台のルーターに設定されてるいは「クレームトラッキングシステム」

さらに、インターネット環境での不法いるパケットフィルターが、セキュリティというツールを使うと、観測された事象

パケット送信者の発見ツールなどは、まーポリシーと整合性を保ちながら、矛盾とその対応を順次記録していくことがでだまだ研究開発の真っ最中にある。こがないように設定されているかどうかをきる。の意味では、今後多くのツールがいろいろな研究開発の成果を基にして提供さ検証したいと思うことはよくあることだ。
しかし、現時点ではセキュリティーポ機能集約型のツールが魅力ルは存在しない。

れてくるに違いない。それを期待しながら、現在の管理基盤環境を構築していくリシーとの整合性を確認するためのツー
今回は、ネットワーク管理と、特にセことが必須であろう。

キュリティー管理で役立ちそうなツール

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ internet magazine 2004.04 +++147

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.