サーバのセキュリティ対策に関して
学習開発研究所
副代表 三輪和

アジェンダ 自己紹介 セキュリティとは セキュリティポリシー
 ネットワークのデザイン
 サーバの運用
 まとめ

2004.2.6

学習開発研究所

2

自己紹介


学習開発研究所
特定非営利活動法人認可申請中
ユビキタスラーニングの実現に貢献することを目的



主な実績
教室内LANシステム開発
全国の教育ネットワーク調査
http://www.cec.or.jp/es/E-square/h9seika2/index.htm
 http://www.cec.or.jp/es/E-square/h10seika/html-II/II-Index.htm
 http://www.cec.or.jp/es/E-square/books/chiiki/index.htm


教育ネットワークの構築・運営
京田辺市小中学校間ネットワーク
 京都府情報教育ネットワークヘルプデスクなど
2004.2.6

学習開発研究所

3

「セキュリティ」とは
 何から何を守るのか？

何を守る 個人情報？

何が個人情報？
 機器の安定稼動

なぜ守るのか？
 不正利用（目的外使用）を防ぐ？

どのように守るのか？
 鍵をかける
 隠す

2004.2.6

学習開発研究所

4

交通事故対策は

啓蒙
交通安全教室
長期休暇前にプリント配布
自転車の乗り方
集団登校



警察
取り締まり
規制や信号



行政
道路の改良
ガードレール

保険
自賠責保険、任意保険
生命保険

2004.2.6

学習開発研究所

5

結局はリスク管理
発生数を減少させることはできる
 事故の規模を小さくすることはできる
 しかし…
事故発生を０にすることは無理
目指すのは

安心、安全、安定
2004.2.6

学習開発研究所

6セキュリティ管理
 適切なコストで耐久性の高い「システム」の実現
 見渡しの良い実施構造

目標設定＝ セキュリティポリシー
実現のための手段
 使えるものは全て使う
 技術、制度、慣行、契約、….

状況変化への対応
 見直し

平常時と緊急時の対応
 万が一のときに備える
 短時間で平常時へ復旧

2004.2.6

学習開発研究所

7

セキュリティポリシー
 事故発生を前提に
 利用者も含めて全員が関係者
 運用方針（どのように守るのか）不要な人には利用させない（保管） アクセス管理 パスワード管理

誰が使ったかを明確に（記録） 記録をきちんと採取する

事故発生時の対策（危機管理）
 誰が誰に報告し、迅速にどう対処するか

2004.2.6

学習開発研究所

8セキュリティの対象 ネットワークセキュリティ
 サーバセキュリティ
 パソコンのセキュリティ
 ソーシャルセキュリティ

2004.2.6

学習開発研究所

9

ネットワークのセキュリティデザイン
 守りのためにファイアーウォールとDMZ
便利さと危険さと…無線LAN対策
複数のセグメントに分割
 指導者用（事務職、管理職、教材研究、…）
 学習者用 部外者用（PTA、学校開放などでの地域住民利用）

2004.2.6

学習開発研究所

10危ないのは機器よりも「ヒト」
ソーシャルセキュリティ
敵は内にあり

イントラネットの内側から攻撃があったら？
雑誌の付録のソフトでちょっと実験した「代わりに○○するからパスワードを教えて」と言われたら？
 「警察ですが…」と電話があったら？


セキュリティと便利さは相反する不便だから、ちょっとくらい設定を…
パスワードが覚えられないから…



日ごろからの心構え
わたしだけは大丈夫だから…しなくても2004.2.6

学習開発研究所

11

ファイアーウォール
 対外防護壁のこと
 ルータの設定や専用機器で実現
 利用できる通信がある＝これ以外の対策も必要

2004.2.6

学習開発研究所

12

無線LAN
覚えておくべきキーワード


通信規格



WEPとWPAと802.11i

802.11b、802.11a、802.11g


グループ化

暗号化



認証
802.11x

ESS-ID

802.11b802.11a802.11g
2004.2.6

使用周波数
2.4GHz帯
5GHz帯
2.4GHz帯
学習開発研究所

最大通信速度
11Mビット/秒
54Mビット/秒
54Mビット/秒13

グループ化 ESS-ID(Extended Service Set Identifire)

アクセスポイントを識別するためのID「ANY」
 だれでも参加できるID
 セキュリティが無いに等しい

推奨されるESS-ID
 利用者を推察しにくいもの
 無機質で機械的なもの

悪い例
 会社名や組織名、個人名
2004.2.6

学習開発研究所

14

暗号化 WEP（Wired Equivalent Privacy)

無線データを暗号化する
 64ビットキー方式：キーデータは40ビット（5文字） 128ビットキー方式：キーデータは104ビット（13文字）

クラックツールもあり、安全な暗号ではない
 WEPの弱点を克服した802.11i

しかし、規格化が遅れた
暫定規格としてWPAが利用可能に
2004.2.6

学習開発研究所

15

認証
 802.11x

端末、アクセスポイント、認証サーバが連携リンク確立
認証開始
認証要求
認証方式通知通知された方式で認証実施
WEPキー配布

通信開始

2004.2.6

学習開発研究所

16

無線LANの注意点（１） 使用できる通信能力

有線LANのハブなら100Mbps全2重のスイッチ
無線LANは10Mbps半2重ダムハブ以下 チャンネルを複数使っても限界がある

802.11bでは14チャンネルある
機器によっては11チャンネルまで4チャンネル空けないと電波が干渉＝同時利用は３もしくは4チャンネルだけ
2004.2.6

学習開発研究所

17

無線LANの注意点（２） セキュリティ対策（１）

第3者の不正使用を防止
MACアドレス制限
 MACアドレス：LAN機器固有の番号
 許可していないMACアドレスの機器を接続しない

DHCPを使用しない
 DHCP：IPアドレスなどを自動的に配布する機能
 不正利用者にIPアドレスなどを渡さない

2004.2.6

学習開発研究所

18

無線LANの注意点（３） セキュリティ対策（２）無線LAN装置によっては以下の設定が可能
ESS-ID遮蔽
 ESS-IDを放送しない機能

ANYアクセス拒否
 ESS-IDがANYの機器からの通信を無視

2004.2.6

学習開発研究所

19

無線LANで実際におこったこと注意しないとホットスポットになる ある百貨店でPOSデータが丸見え
 ホテルの窓際がホットスポット

ホテルの近所の家庭に接続？
 隣家の無線LANに接続

自宅よりも隣家の電波が強い
2004.2.6

学習開発研究所

20サーバとパソコンのセキュリティ
 設定での注意 コンピュータウィルスに対する注意microsoftのProtect your PC ファイアーウォールを利用 Windows Updateの使用
 最新のウィルス対策ソフトを使う

 利用に当たっての注意

2004.2.6

学習開発研究所

21

設定について（１） サーバ、クライアントともに基本なんですけど…

GUESTアカウントを無効にする
Administratorグループに所属するユーザは限定
Administratorグループ所属のユーザアカウントにパスワードを設定
ドライブのファイルシステムはNTFS
WindowsTimeサービスで時刻合わせ インターネットのNTPが利用可能

WindowsUpdateなどでセキュリティパッチは確実に適用

2004.2.6

学習開発研究所

22

設定について（２） ソフトの導入

ウィルス対策ソフト
 ウイルスデータベースの更新をお忘れなくパーソナルファイアーウォール
 サーバではセキュリティパッチ（WindowsUpdate)はちょっと注意 動作しなくなるソフトがあるかも SQLserverはWindowsUpdateで更新できないサーバでは作業をしない（ネットサーフィンは×）
2004.2.6

学習開発研究所

23

設定について（３）サーバでは（続き）

Win2000で最低限必要なサービス不要なサービスは停止＆無効

DNS Client

何が不要なサービスなのかわからない
NMAPなどのポートスキャナでサーバをスキャン
不審なポート番号を確認
fport.exe（Foundstone社）でポート番号とそれを使用しているプログラムの対応を確認

Event Log

1.

2.
3.

Logical Disk Manager
Plug and PlayProtected Storage
Remote Procedure Call (RPC)
Removable Storage
RunAs Service
Security Accounts Manager

日経ネットワークセキュリティ
プロが薦める！最強ツール 42〜51ページ

2004.2.6

学習開発研究所

ServerWindows Management
Instumentation Driver Extensions
24Windowsのライフサイクルに注意
Windows95/NT3.5はすでにサポート打ち切り
 WindowsNT4


セキュリティサポートが2004年6月30日まで


Windows98/ME「セキュリティ」サポートのみ2006年6月30日まで延長

Windows 2000 professional、Windows 2000 Server
セキュリティサポートは2007年3月31日まで

Windows XP Home Edition
セキュリティサポートは2006年12月31日まで

Windows XP Professional
セキュリティサポートは2008年12月31日まで
http://www.microsoft.com/japan/windows/lifecycle.asp
http://www.microsoft.com/japan/windows2000/support/lifecycle/

2004.2.6

学習開発研究所

25

管理者としての勘所 情報収集に努める

新聞の情報はぜんぜんだめ
雑誌にはちょうちん記事があると思え
ネットの情報にはガセも多い
信頼できるネットワーク（人脈） 上司と信頼関係を緊急時にどう対処するか
 自分のカンを信じる

このパッチは今適用すべきか、待つべきか Microsoftのアップデートプログラムがトラブルの元になることも2004.2.6

学習開発研究所26

日々のマメさが重要

ファイアーウォールがあっても装置自体のセキュリティホールやバグ対策
ネットワークの裏口があったら

ダイアルアップ装置や、VPNソフト（SoftEther）の無断利用、無線LANが窓際にあったウィルス対策ソフトがあってもウィルスデータの更新が必要
MSBlastみたいにウィルス対策ソフトで対策できないもののある

ファイアーウォールの内側にいるからWebブラウザでネットサーフィンするだけで情報漏えいも

ネットワークにつながないからウィルスはフロッピーからでも感染する

2004.2.6

学習開発研究所

27

情報の収集 ホームページ

セキュリティホール memo
http://www.st.ryukoku.ac.jp/%7Ekjm/security/memo/

ITPro
http://itpro.nikkeibp.co.jp/

Microsoft TechNet
http://www.microsoft.com/japan/technet/default.mspx

Net Security
https://www.netsecurity.ne.jp/

 ツール

Microsoft Baseline Security Analyzer(MBSA）1.2
 現在はHFNetChkの最新版としてCUIで使用

WindowsUpdate2004.2.6

学習開発研究所

28

MBSA1.2

2004.2.6

学習開発研究所

29

パーソナルファイアーウォール
 WindowsXP

2004.2.6

学習開発研究所

30

パーソナルファイアーウォール（続） NortonInternetSecurity

このほかにもZoneAlermなどいろいろpingすら不許可にするので注意が必要
 通信テストができないことも2004.2.6

学習開発研究所31

発想を変えることも重要

おまけのソフトの利用をやめる
InternetExplorerにはセキュリティ上の問題がよく見つかる
OutlookExpressはウィルスに感染しやすい

Windowsをやめる
セキュリティ対策やウィルス対策を軽減
ブラウズするだけなら、LindowsCD
 サーバはUnix
 OfficeソフトはStarSuit

HDDの利用制限
感染してもすぐ回復（障害対策も兼ねる）
HDDガードソフトで、ユーザはインストール不可に ディスクレスのシステムを採用
2004.2.6

学習開発研究所32

まとめ セキュリティ対策

守るものを明確に守り方
 コストとのバランス
 便利さとのバランス

万が一のときの準備 休日でも夜間でもすぐに対処できるか機器に頼らない 問題を起こすのも、対処するのもヒト

2004.2.6

学習開発研究所33

おまけ 事象(事故とかトラブルとは呼ばない）発生時

できるだけ正確な報告書を早急に作成する
 中途半端な報告は解決を遠ざける
 迅速な手当てが被害を小さくする

自分のミスがあっても決して隠さない ゴマカシがあればどんどんぬかるみにはまる ミスがミスを呼ぶ

しかるべきルートできちんと報告する
 業務上の問題は業務処理のルールで処理することが鉄則

2004.2.6

学習開発研究所

34