初心者のためのセキュリティー講座

どんなサイトでも利用価値はある
ムーアの法則（18か月で半導体製品は2倍の能力を持つという法則）に従い、時間とともにハードウェアのコストが下がっていきます。10年前では数百万円という価格帯のコンピュータの性能が、今日では、普及品のパーソナルコンピュータのレベルとして提供されている状況になっています。また、ネットワークの普及とともに、ネットワーク接続コストも低くなってきました。
数年前までは、企業や大学、あるいは研究所のような組織でしか用意していなかったよ
うなインターネットに常時接続されているネットワーク環境が、現在では小さなオフィスインターネットでのや家庭でも可能となりました。同時に、今ま不正行為関する問題が、小さなオフィスや家庭にやっその傾向と対策
インターネットに常時接続しているSOHO環境ではどのような問題が発生するのか、また、不正アクセスに対するセキュリティーを高めるにはどのようにすればよいか。このことについて考え始めると、セキュリティーについて根本的なレベルから理解する必要があります。そこで、これから数回にわたりSOHO環境で企業や大学、あるいは研究所のような組織が抱えていたインターネットセキュリティーにてきます。
現在では、もし何も対策を施さずにセキュリティーホールを持ったままインターネットに常時接続しているようなサーバーがあれば、ほぼ確実といっていいほど外部からセキュリティーホールを見つけられてしまいます。そうなれば、非常に高い確率で不正アクセスを受ける可能性があります。なぜならば、どんなサイトであれ利用価値があるからです。後の「保護対象について考えてみよう」で述べますが、自分が甘い考えを持っていると、とんでもないトラブルに巻き込まれる可能性があでのセキュリティー対策について解説します。

ります。

第 12 回

常時接続における問題点に関しては、すでSOHO環境のネットワークセキュリティー
その1に本連載第10回「IP常時接続における問題点」（1998年6月号）でも取り上げています。
そちらも参照してください。本連載のバックナンバーはPDF形式で公開されています。詳JPCERT/CC（コンピュータ緊急対応センター）
jhttp://www.jpcert.or.jp/

しくは下記URLを参照してください。
jhttp://www.jpcert.or.jp/magazine/
beginners.html

346 INTERNET magazine 1998/9

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

ープや個人的に使うネットワークの規模でも、シー」と呼びます。コストや手間をどう効率本格的に運用されている大組織のネットワー的、効果的に扱うかということを考えると、

さて、ここでのSOHO環境とは何かを定義

クのような規模でも、セキュリティー対策のいきあたりばったりにセキュリティー対策を考しましょう。 SOHOとは、 Small Office/

基本部分は同じです。それはアクセスが許さえるよりも、セキュリティーポリシーを決めた

Home Officeの略で、一般には、インターネれた資源にはアクセスできるが、アクセスがほうがよいでしょう。これはセキュリティーにット接続だけではなく、小規模なグループで許されない資源にはアクセスできないという、限ったことではなく、おおよそどのような問コンピュータ同士をネットワークで接続した

当然すぎる目的を達するためのセキュリティ

題でも、方針と計画を明確にした後に実行し環境まで含んだ広い範囲を指している言葉でー対策です。

たほうが効率的かつ効果的であるのと同様のSOHO環境モデルことです。

す。本連載のテーマは不正アクセスなので、その前に、アクセスが許された資源とアクインターネットに接続しているSOHO環境にセスが許されない資源を明確化しなければな

四六時中システムを監視する人員を割り当話題を絞ります。

りません。そうでなければ、アクセスを許すてて試行錯誤的にセキュリティーを高めると話題を明確にするために、モデルとなるべき資源に対してアクセスを許さず、反対にいったようなアプローチは、ほとんどのSOHOSOHO環境を想定します。ここで想定していアクセスを許すべきではない資源にアクセス環境では無理でしょう。不正アクセスに対しるSOHO環境モデルの概要は次のようなものを許してしまうような事態になりかねないかて必要な対策を確実に行い、効率的、効果です（図1）。

らです。また、どのような目的で、どこまで的に行うことでコストや手間を減らすことが、のアクセスを許すのかなども明確にしなけれSOHO環境で求められる要件になることでし●インターネットに常時接続されているばなりません。これは、せっかくセキュリティょう。

●サーバー用のコンピュータが用意され、各ー対策を行ったにもかかわらず、本来の目的まずは、セキュリティーポリシーを決めるを達することができなかったり、あるいは過ために、具体的にどのようなことに注意しな剰なセキュリティーコストをかけてしまうかもければならないかを考えていきたいと思いましれないからです。

す。SOHO環境における使用目的、機材構

セキュリティーポリシー

により千差万別でしょう。1つとして同じも種サービスが行われている●LAN上にクライアントとして使われる複数のコンピュータが接続されている

成、外部へ提供するサービスは、個々の状況のがないと思われます。

アクセスの許可を明確にする

何を許し、何を許さないか、またそのため本連載でこれから示すセキュリティーポリ繰り返しますが、インターネットに常時接にどのような対処をしなければならないのかな

シーはあくまでも雛型であり、アドバイスと続する限り、SOHO環境のように小さいグル

どを明確にした方針を「セキュリティーポリしての基本的な情報です。そのままの形です

図1

SOHO環境モデル
DNSサーバー

SOHO環境メールサーバー
サービス

ルーター

WWWサーバー

常時接続

クライアントISP

インターネット

クライアント

すべてのサービスが稼動している必要はない
内部のネットワークの構成は環境によってさまざま

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

INTERNET magazine 1998/9347

べてのSOHO環境に適用できるとは考えていればならないかもしれません。あるいは、機●情報（データ）ません。したがって、実際のSOHO環境上で材の入れ換えなどによって設定を変える必要●ユーザー

不正アクセス対策に責任を持つ人が、自ら責が出てくることもあるでしょう。そのときに以●社会的信用任を負って決めていかなければなりません。

前の記録を参照できないことで、作業の手間が増えたり、ネットワーク設定などのトラブ文書に残そう

ルのために悩んだりして不必要な時間を費や

1 コンピュータ
コンピュータに対する攻撃にはいろいろなす場合も出てくるかもしれません。それ以上種類のものがありますが、SOHO環境におけまず、その前に、ちょっとしたアドバイスに、状況が変化したがゆえにセキュリティーる危険性が高いものを考えてみます。

があります。守ろうとするSOHO環境に対すの見落としが出てくる危険性も考えられます。

るセキュリティーポリシーを決めるときや実際セキュリティーポリシーを決めるにしても設●許可を得ていない外部の者によるコンピュに作業を行う際は、文書にして残しておくよ

定を行うにしても、人間が行うことなので、ータ資源の使用：一般ユーザー権限での不うにしましょう。これは、別に正式な文書や100パーセント完全であるという保証はどこ

正ログイン、不正なコマンドの実行などたいそうなドキュメントにする必要はありませにもありません。見落としやミスがある可能●管理者権限の詐取：ルート権限での不正ロん。メモ程度のものでも構いません。ただし、性は十分にあります。そのためにトラブルが必要なときにすぐに参照できる記録にしてく発生した際にも、以前にどのようなことを行ださい（図2）。人の記憶に頼ってしまうと、ったのかの記録があれば、役に立つことでし時間が経って記憶があやふやになり、困る場ょう。

グイン、不正なコマンドの実行など●メールの不正中継：スパムの中継、メール爆撃の中継など●サービス妨 害 攻 撃 （ Denial Of ServiceAttack）：提供するサービスの妨害、シス合があるからです。
最初に決めたセキュリティーポリシーやセ保護対象について考えてみようのハングアップなどキュリティーのための設定が、永遠に有効であるとは限らないことを初めから理解してください。

テムの負荷増大による運用妨害、システム不正アクセスから保護する対象には、次のこれらの中で、最初に挙げた一般ユーザーようなものが考えられます。

時間が経てばいろいろな状況が変化します。

●コンピュータのアカウントに対する不正なログインに関し新しい攻撃法が見つかり、それに対処しなけ●ネットワークては、システムにはさして重大な影響がない

図2

セキュリティーに関する作業メモの例

1998.7.2.17:00
qpopのバージョンアップ
2.4→2.5

図3

トロイの木馬

インターネット

データの漏洩

1998.7.5.19:00
ルーターのポート番号XXXを閉じる

知らない間にトロイの木馬ソフトウェアがインストールされている場合がある。

1998.7.12.13:00
サーバーマシン1のバックアップをとる
トロイの木馬ソフトウェア1998.7.19.15:30
ftpdの起動を止める
データの改ざん、破壊

日付や時間などと一緒に作業項目を文章にし、いつでも参照できるようにしておく。

348 INTERNET magazine 1998/9

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

初心者のためのセキュリティー講座と思う方がいるかもしれません。しかし、不しているかどうかなどの情報が取り出せるよ

うに少人数での使用環境では、このような作

正アクセスを行う側は、あなたの管理するホうになっています。これは、ユーザーが意図し業分担は難しい問題といえるでしょう。1人ストには興味がなくとも、そのホストを踏台てfingerサービスを提供する場合、便利な機で使用しているSOHO環境も少なくはないとにしてほかのサイトへ攻撃を行うかもしれま能であるといえるでしょう。一方、ユーザーが思います。ダブルチェックができない分、うせんし、ポルノ画像や海賊ソフトをコピーす

公開を意図しないままサービスを提供していっかりミスなどが発生しやすい点、あるいはるための中継点に使うかもしれません。あるるような場合、個人情報の漏洩につながる恐管理がルーズになりやすい点に注意する必要

いは、スパムやメール爆撃のために使用するれがあります。これはユーザーの保護にも関があります。

かもしれません。そうなれば、あなたのサイト係し、サイトごとに考えるべきことの1つです。の評判や社会的信用が大きく傷つくことでしネットワーク内部のデータの漏洩、改ざん、シンプルなポリシーを適用

破壊を考える場合、コンピュータの保護で述ょう。

2 ネットワーク

べたように、外部からの不正侵入が最も考慮

しかし、逆に小規模であることは、ユーザしなければならないポイントです。しかし、そーのニーズが明確になりやすいという利点がネットワークについて考えられるのは、たれ以外にも、トロイの木馬のような脅威も考あります。大規模な組織では、ユーザーニーとえばダイアルアップルーターにきちんとパス慮しなければなりません。トロイの木馬とは、ズが多様であったり、あるいは不明確であっワードを設定していなかったために外部からギリシャ伝説に出てくるトロイ戦争において、たりするので、セキュリティー対策は複雑にルーター機能の設定を変えられたあとに、パギリシャ軍が密かに木馬に隠れて城壁内に入なりがちで、その分コストも手間も必要になスワードを勝手につけ変えられてしまうようり込んだ戦略から取られた名称です。ここでります。また、システムとしては必要なセキなケースです。特にダイアルアップルーター

は、一見何の変哲もないソフトウェアに仕掛ュリティーであっても、ユーザーの理解を得は、モデムやTAと同様のネットワーク機材にけが組み込まれており、ネットワーク内部でることが難しいため断念するような場合もあ思われがちなので、パスワードをつけ忘れる

実行されると自動的にデータの漏洩、改ざん、るでしょう。ユーザーへのセキュリティー意識ような初歩的なミスが見られます。

破壊などを行うようなソフトウェアを指しての徹底も大きい組織になればなるほど難しくいます（図3）。

なります。せっかく十分なセキュリティー対3 情報（データ）策を施したにもかかわらず、一部のユーザー情報（データ）の保護に関して考えましょセキュリティー担当者の責任分担が知らない間にセキュリティーを台無しにするような抜け道を作るというのもありがちなう。保護しなければならない情報を大別すると、漏洩させてはならない情報と改ざんや破一般の企業や大学といった組織においてセ話です。会社や組織がデータ監査を行う必要壊されてはならない情報の2つに分類されるとキュリティーポリシーを決めて実施するプロがあるため、ある特定の権限のある者は、す思います。たとえば、サイトに届いたメール

セスとSOHO環境でのセキュリティーポリシ

べてのシステム上のデータに自由にアクセスやパスワードファイルなどは、漏洩も改ざんーを決めて実施するプロセスには若干の違いできなければならないというような場合もあるもされてはなりません。WWWサーバーで提と注意点があるので、これについて述べたいかもしれません。

供されるWWWのページは、広く誰にでも公と思います。

SOHO環境ではそのような問題に頭を悩ま開する情報かもしれませんが、改ざんや破壊一般には、複数の担当者が責任を分担されせるケースは、非常に稀といえるでしょう。

されてはならない情報です。サイト上の一切た形でネットワークセキュリティーにあたるこ

SOHO環境はシンプルなセキュリティーポリの情報に関して改ざんや破壊を許さないといとが理想とされています。ある程度大きな組シーが適用できる場合が多く、その分、全体うポリシーに関しては異論のない所ですし、織になれば、このような形態も可能でしょう。

がコンパクトでシンプルなセキュリティー対策

また、電子メールやパスワードファイルなどは漏洩しないように守る情報であるという部分も異論のない所でしょう。
しかし、時には隠すべき情報なのか、それとも公開する情報なのかを管理する人が決定･セキュリティー対策の実施担当者･不正アクセスを受けたときに対処する担当者･セキュリティーポリシーが守られているかど
うかを監査する担当者

しなければならないものもあります。たとえ実施と対処の担当者は兼任するすることがば、UNIXの「finger」コマンドは、ネットワ可能でしょうが、「監査担当者」は独立であーク経由で、ユーザーがシステムにログインる必要があります。しかし、SOHO環境のよが可能になります。シンプルであることは、コストが低く、かつ、頑強なセキュリティーを構築するうえで大きなプラスの要因になります。このように、SOHO環境のように小規模であることの利点も欠点もあることをあらかじめ理解しておきましょう。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

INTERNET magazine 1998/9349

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.