初心者のためのセキュリティー講座

それでも不正アクセスを受けたら物事に取り組む場合、常に最悪のケースを想定してこれに対応できる準備をしなければなりません。前回と前々回は、「不正アクセスを防ぐため」の話に集中しましたが、今回は「不正アクセスを受けてしまったら」という観点から話を進めます。また、SOHO環境におけるネットワークセキュリティーに関しての連載は、ここで一区切りを付けたいと思います。
よく「不正アクセスを受けてもマシンの中インターネットでの不正行為その傾向と対策には貴重なものなどないので、マシンをネットワークから切り離し、ディスクをフォーマットしてシステムを再インストールすれば問題ない」という話を聞きます。もちろん、この方法は確実ですし、推奨できる方法の1つだと言えます。
それであっても、大切な前提が抜けています。それは「不正アクセスを受けていることを察知する」という部分です。もし、不正アクセスを受けていることに気が付かない場合は、対処のしようがありません。また、どのような不正アクセスを受け、何が原因だった

前回までは、不正アクセスを事前に防ぐための方法について 解説してきまのかをきちんと把握し、その問題を解決できしたが、今回は不正アクセスを受けてしまった場合に気を付けなければなる目処が立ったうえで対処することが肝要でらないことを中心に解説しましょう。不正アクセスを未然に防げるならばす。もしかすると、ディスクをフォーマットしそれに越したことはありませんが、不正アクセスを受けてしまった場合のてシステムを再インストールしたとしても、根対処を知っておくこともシステムを管理するうえで重要になります。ここま本的な問題を解決していないために、また同での一通りの知識を身につければ、不正アクセス対策の基本的なレベルはじ不正アクセスが繰り返されてしまう可能性クリアしたといえるでしょう。

があるからです。

第 14 回スクラップ・アンド・ビルド
に関して

SOHO環境におけるネットワークセキュリティー
その3
JPCERT/CC（コンピュータ緊急対応センター）
jhttp://www.jpcert.or.jp/

内容的に先走りしてしまいますが、SOHO環境でのスクラップ・アンド・ビルド（以前のものを破棄して新しく構築する）に関して少し考えてみたいと思います。
SOHO環境の場合、大きな組織で運用しているより利点があります。それは、比較的小規模なシステムのため、システム全体に対320 INTERNET magazine 1998/11

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

を明確にする必要があります。

してスクラップ・アンド・ビルドを行いやすバックアップとは少々考え方を変えなければいことです。大きな組織で運用されている大いけない部分があります。システムのセキュ規模なシステムになればなるほど、スクラッリティーに関連しないデータは比較的問題な・どんなデータをバックアップするかプ・アンド・ビルドは非常に困難になります。

いのですが、システムのセキュリティーに関連・どんなタイミングでバップアップするかもちろん、すべてのSOHO環境がスクラッするデータ類のバックアップには細心の注意が必要です。

プ・アンド・ビルドを適用できるとは限りま重大な侵 入を受けた兆候の察知せんが、SOHO環境がコンパクトである点はたとえば、パスワードファイルがすでに侵入一般的な傾向としてスクラップ・アンド・ビ者によって書き換えられていた場合、あるいルドの適用の可能性を高めてくれています。

はパスワードファイルの中に侵入を許したア

侵入を受けた兆候を察知するための方法にカウントがあるような場合を考えてみましょ関するドキュメントとしてCERTの「Intruderう。システムを再構築し、パスワードファイ

Detection Checklist」（侵入者察知チェック

ルをバックアップから戻した時点で、また不リスト）があります。

データのバックアップには注意が必要

正アクセスの問題が発生します。

このドキュメントをベースとして、SOHO不正アクセスを受けたマシン上のすべてのトロイの木馬のようなプログラムがユーザ情報を破棄してしまい、ゼロからインストー

ーのディレクトリーの中に潜んでいた場合もルするのも1つの手ではありますが、多くの場同様です。せっかくシステムを再インストー●Intruder Detection Checklist入手先

合、貴重なデータを捨てるわけにはいかない

ルして安全になった場所に、バックアップを

jftp://info.cert.org/pub/tech̲tips/in

環境での侵入チェックを考えてみましょう。

truder̲detection̲checklist

戻すと、トロイの木馬が戻ってしまいます

ことがほとんどです。
不正アクセスを使ってマシンに侵入した者（図1）。

1アクセスログを調べるが、証拠いん滅のためにディスクの中のすべしたがって、不正アクセスを受けたときにての情報を破壊して逃げた場合、その被害は戻すためのデータとしてバックアップするの甚大になります。このような事態を防ぐためは、戻しても安全であることが保証できるよ

UNIXのsyslogやlastといったログをチェッにデータをバックアップしておきましょう。

うなデータに限定するべきでしょう。

クするのは、外部から不正なアクセスがあ

ただし、セキュリティーを考えたときのバ

セキュリティーポシリーの一環としてバッったかどうかを調べるのに最も基本的な方

ックアップは、通常のディスク故障のためのクアップのポリシーを考えるときは、次の点法です。また、F TPが転送結果を記録する

図1

セキュリティーのためのデータバックアップ

図2

ルーターやサーバーのログを別のマシンでとる■通常のバックアップ

必要なデータインターネット

ディスク故障に備えたデータのバックアップは必要なデータをMDやテープなどのバックアップメディアに保存して、必要なときにデータを戻すだけでいい。

ルーター

セキュリティーに関するデータルーターや侵入のターゲットになりやすいサーバーのログをまったくほかのマシンでとることによって、侵入者はログの存在に気付かず、消去されたり改ざんされたりする恐れがない。

トロイの木馬
■通常のバックアップ

変更された
データ

セキュリティーに関連するデータをバックアップする際、データのバックアップをとるマシンが不正アクセスを受けていると、データが改ざんされていたり、トロイの木馬タイプのプログラムが置かれていたりする可能性がある。この場合は、せっかくバックアップをとったデータをそのままマシンには戻せない。

アクセスログ
WWWサーバー
SMTPサーバー

侵入のターゲットになりやすいサーバー

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

侵入のターゲットになりにくいサーバー

INTERNET magazine 1998/11321

xferlogのように、サービスを行っているソます。侵入者がよく行うパターンとしては、一番オーソドックスな方法は、配布メディフトウェアが用意しているログも重要です。

/bin/sh（あるいはこれに相当するコマンア（たとえばCD-ROM）の内容と、UNIXさらにTCP wrapperのようなセキュリティド）などをどこかに別名でコピーし、そののcmpコマンドなどを使って直接比較するーツールを使用して、より詳しいログをと偽造シェルにrootのsetuidを設定して使用ことです。配布メディアの内容と単純にはるといったことも有効です。

するというのがあります。この偽造シェル比較できない場合があります。たとえば、このほか、ルーターのログも非常に役に立を使えば、rootでのログインの形跡を残さインストール後にパッチを当てた実行コマちます。SOHO環境向けのダイアルアップなくともroot権限を使えるようになります。

ンドや、あるいは自分で再コンパイルしたルーターでも、ほかのマシン上でログの記録

このようなファイルは、UNIXのfindコマンような実行ファイルをチェックする場合でを取れる機能を持っているものがあります。

ドを使うと効率的に探せます（図3）。

す。このような場合は一貫性チェック（イこのようなルーターのログを解析することによって外部からの侵入を察知できます。

ンティグリティーチェック）と呼ばれる方3トロイの木馬を探す法が有効です。

侵入のターゲットになりやすいサーバー以一貫性チェックで、侵入者が仕掛けたトロ

外のマシン上でsyslogやルーターのログなすでにインストールされている実行ファイ

イの木馬を検知するためには、最初のインどが記録されている場合、侵入者がアクセルの代わりに、侵入者がトロイの木馬を仕ストール時（あるいは、パッチを当てた直スログの存在に気が付かない可能性が高く掛けるような場合があります。これは、後など）に実行ファイルの記録をとっておなります（図2）。もちろんこのマシンもセrootが作業中、知らない間にトロイの木馬かなければなりません（図4）。

キュリティーを高めておくことは言うまでを実行してしまうことを期待しています。

通常はファイルの内容が同じかどうかを高もありません。

システムの設定に不備があり、本来はアク速にチェックするのにUNIXコマンドのsumセスが許されないディレクトリーや実行フが使われますが、改ざんを強力にチェック

2setuid やsetgidが付いているァイルに書き込みができる場合、侵入者はするmd5sum が便利で安全です。md5

不審なファイルを探す

このような実行ファイルの代わりにトロイsumで出力されたリスト内容を保存したフの木馬を仕掛けることがあるのでチェックァイルをフロッピーディスクやテープに保存

所 有 者 がr o o t である実 行 ファイルに、が必要です。特に、rootの使用している実しておきます。データを保存したフロッピ

setuidやsetgidが 設定されていた場合、行パスに含まれる実行コマンドが改ざんさーディスクやテープは、物理的に書き込みその実行ファイルはrootの権限で実行されれていないかをチェックします。

不可の状態にして、侵入者が変更できない

図3

不審なファイルの探し方

図5

rhostsによるバックドア

find / -user root -perm -4000 -print

図4

一貫性チェックの仕方■リスト作成% md5sum /sbin/*/usr/sbin/*/bin/*... >md5̲check̲list
telnetなどのログインアクセスを制限しても、.rhostsを用いてrloginなどでネットワークログインできるようにしておくのは、結果的にバックドアを作るようなもの。

■チェック% md5sum < md5̲check̲list

図6

不審なファイルの探し方/sbin/agetty: OK/sbin/arp: OK% find / -name '..*' -print -xdev ¦ cat -v/sbin/badblocks: OK% find / -name '.*' -print -xdev ¦ cat -v

322 INTERNET magazine 1998/11

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

初心者のためのセキュリティー講座

6不審なファイル名を探すようにしておきます。

また、システムに影響を与えないようなデータをバックアップから戻したときも、そのデ4 自動的に実行されるエントリーを侵入者はファイルを隠すときに、見つけづータの中にトロイの木馬のようなプログラムチェックする

らいようなディレクトリー名やファイル名をが隠されていないか、バックドアなどが隠さ作る場合があります。たとえば、ファイルれていないかを注意深くチェックしてくださ/etc/rc*、/etc/rc.d/*、/etc/init.d/*のよ

名やディレクトリー名を .. （ドット、ドい。また、実行ファイルを戻すときは、さらうな起動時に実行されるスクリプトファイット、空白）であるような名称、あるいは、に注意が必要です。その実行ファイル自身がルも注意が必要なファイルなのでチェック..^Gといった名称にして隠しておく場

改ざんされてトロイの木馬として使われてはします。

合があります。そこで、findを使って探しいないか、相当厳しくチェックする必要があ

また、一定時間ごとに処理を実行するためます（図6）。

ります。の機能であるcronや、特定の時間に処理

ただし、これは必ずしも有効とは限りませを実行するatのエントリーに不審なものがん。一見、ごく普通のファイル、たとえば仕掛けられていないかをチェックします。ま.xた、cronやatで呼び出されている実行ファともらしい名称にして隠す場合もあるからイルが改ざんされていないかどうかをチェッです。

とか .pop

関連ドキュメントといったような、もっ不正アクセスに対抗して安全にシステムを運 用 していくときのドキュメントなどはJPCERTのWWWサイト上にある次のウェブクする必要があります。

5 システムの設定ファイルの書き換

バックアップしたデータを戻す

ページを参照してください。

jhttp://www.jpcert.or.jp/secinfos.html

えをチェックする
万が一、侵入者に情報を改ざんされたり、侵入者にパスワードファイルが書き換えらあるいは破壊されたりした場合、それを復旧

CERTが提供しているTech Tipsに含まれれていないか、あるいは不正なネットワーしなければいけません。通常のハードウェアる数々のドキュメントが役に立ちますし、まクサービスが追加されていないかなどをチの障害の復旧と同じく、そこでバックアップた、RFC2196

ェックします。

してとっておいたデータを使って復旧しようなども非常に参考になります。

特に/etc/passwdや/etc/inetd.confなどとするのが一般的な考え方だと思われます。

は重点的にチェックします。また、/etc/

しかし、先に説明したように通常のハード

hosts.equivや/etc/hosts.lpdといったネ

ウェア障害からの復旧と、不正アクセスを受ットワークで資源を共有するような設定、けて侵入されたシステムの復旧は、まったくあるいは.rhostsなどがあるかもチェックし様相が違ってきます。

Site Security Handbook

これらのドキュメントは上記URLからたどることができます。

お知らせ

システムがネットワークに接続される前に1 年数か月のあいだ、毎月連載していた外部から厳しくログインアクセスを制限しバックアップをとっておいたものを使うのなら「インターネットでの不正行為 その傾向と対ているマシン上 ではユーザーレベルで安全でしょう。しかし、侵入がいつから行わ策」は、ここで一休みします。今後は、特にも.rhostsを用いて自動的にネットワークロれていたか確信が持てない場合は、バックアみなさまにお知らせしたいようなトピックがあグインするのは好ましくはありません。こップを行ったデータの中にすでにトロイの木ったときに紙面を通してお目にかかることにれは秘密の抜け道を作る一種のバックドア馬や改ざんされたデータなどが含まれているなると思います。

（隠し戸）と呼ばれる種類の仕掛けに使わ可能性があります。このように確信が持てな

本連載のバックナンバーは、下記のURLにれかねません（図5）。/etc/hosts.access

い場合、オペレーティングシステムに関連すPDF形式のファイルとしてまとめてあります。
みなさまのご参考になれば幸いです。

ます。

や/etc/hosts.denyのような、外部からのる部分は再構築（再インストール）するほうアクセスを制限するような設定に関連するが確実になります。大変といえば大変です。

ファイルも、外部からの侵入を行うためにしかし、大規模な企業のシステムとは違い、改ざんのターゲットとなりやすいものです。

SOHO環境の場合、すべてをチェックする労

jhttp://www.jpcert.or.jp/magazine/
beginners.html

力より、新たに再インストールをするほうが確
実で労力が少ない場合が多いでしょう。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

INTERNET magazine 1998/11323

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.