最 小コストで最 大 限 の 不 正 行 為 対 策使用するルーターについてSOHO レベルでの常時接続用IP ルーターとしては、ISDN 用のダイアルアップルーターがOCN エコノミーなどの常時接続でも利用できます。現在、常時接続といっても転送速度は128kbps 程度ですから、あまり高価な機材は必要ありません。実売価格で2〜3万円程度のもので十分です。こうした製品は、多くの場合IPルーター（以下文中では単にルーターと呼びます）としての機能よりも、ハブの機能やプロバイダーとの接続に関するオプション機能などに主眼がおかれているようです。これは、常時IP接続ユーザーよりも、ダイアルアップで接続するユーザーの方がはるかに多いため、そのユ実践

Linux

セキュリティー講座ーザーに対してより便利な機能を提供する形で開発が進んでいるからです。
まず、これから話を進めるルーターには以下の機能が備わっているものとします。

・IPフィルタリングができる・IPマスカレードができる
・リモートのsyslogへの出力ができる
ルーターの設定方法に関しては各社各様なので、ここでは設定方針の枠組みについてだけ説明します。

ルーターは防御の最前線

今回は外部に接続するIP ルーターの設定についての解説です。これが済めば外部へ接続するための一通りのセキュリティーは完了したことになります。このIP ル

ルーターはインターネット側とサイト側を接ーターでのフィルタリングは基本中の基本であり、少ない労力で効果的なセキュリ続する最前線にあるネットワーク装置で、IPパティーを確保することができます。

ケットの経路を制御します。ルーターによるIP最終回パケットのフィルタリングが、まず最初に行うセキュリティー対策であり、そしてもっとも効外部に接続するIPルーター果のあるセキュリティー対策といえるでしょう。
本章では、ルーターは次の2 つのセキュリティーの重要な役割を果たします。

ソフトウェアコンサルタント すずきひろのぶ

・IPフィルタリングにより外部からのIPパケットを排除する
・IPマスカレードによりIPアドレスとポート番号を変換する
ルーターによるフィルタリングだけでは十分とはいえませんが、それでも立派なファイアーウォールの機能を果たします。また整合性のあ352 INTERNET magazine 2000/6

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

るフィルタリングのルールを設定し、サーバーい。これは外部からの侵入者よりも、むしろ内する」と考え方は基本的には同じです。まず、側の利用環境と上手に組み合わせれば、最近部のユーザーに変更されてしまう危険性への対どのようなサービスを利用するかという、サイ話題になった省庁アタック程度の技術レベルし策です。別に悪意があって変更するわけではな

トのセキュリティーポリシーを決めます。それか持たない攻撃者ぐらいは防げます。無駄なおく、自分の使っているツールが外部へネットワにしたがって、外部からのアクセスを許可する金を使わず、既存のもので効果的なセキュリテーク接続できないため、勝手にルーターに接続マシンとプロトコルや、内部のマシンからアクィーを確保できるのです。

して変更してしまうという話を何度か聞いたこ

セスを禁止するプロトコルは何かといった、フとがあります。典型的な例がリアルオーディオィルタリングの方針を決めます。この際に重要で、リアルオーディオのサーバーはクライアンとなるのは、方向（外部→内側、内側→外トに対して6970/UDP から7170/UDP までの部）、プロトコル（TCP、UDP、ICMP）、ポート番号の3点です。

CATVの場合の注意点
本連載ではOCN エコノミーのようなネット範囲でUDP パケットを送る一種のプッシュ型ワーク接続での運用を前提としていますが、の機能を実装しています。このポートに関してどのプロトコルを利用するかは個々のサイト

CATV インターネットやインターネットマンシ

はIANA にも申請していない様子で、ポート番によって異なりますが、ここではそうした点にョンといったほかの常時接続の場合でも、IPフ号表にも載っていません。クライアント（リア

左右されない、どのサイトでも設定すべき基本ィルタリングは同様に必要となります。
「CATV

ルオーディオのプレーヤー）はこのUDPポート事項を説明します。にケーブルモデムで接続すると、他の家庭からを受け取る必要がありますが、UDPポートは一接続しているパソコンの共有ディレクトリーが見しただけではランダムなものを使用している全部丸見えの状態だった」という、笑うに笑えように見えます。まったく何も知らない人が見まず、自分のサイト内のアドレスをもったIPない話もよく聞かれます。ケーブルモデムにはたら、とにかくUDPパケットなら全部通したくパケットが外部から来たら無条件に破棄しま

フィルタリングの制御が含まれていないので、なるのも人情というものでしょう。

す。こうしたパケットは何かの設定ミスによるCATV全体が1つの巨大なLANのような状態に偽造IPアドレスの破棄本格的なルーターとは違い、ダイアルアップ事故である可能性も否定はできませんが、無意

ルーターは操作方法も簡単で誰でも操作できる味なパケットを大量に送りつけるサービス不能

現在では、CATV でも利用可能なホームIPという部分が一因でもあるようです。勝手に設攻撃（Denial of Service Attack）の可能性もルーターと呼ばれる、小型で安価なルーターが定を変更され、せっかく設定したフィルタリンあります。いずれにせよ、内部で利用している製品として出てきています。本章で解説していグを台無しにされてしまうことがないようくれ

アドレスのパケットが外部から送られてくるこるIPフィルタリングなどの手法は、ホームIPルぐれも注意しましょう。と自体、故意であれ事故であれ正常ではありまなってしまうためです。

せん。

ーターにも適用できます。CATV接続でのセキ

いずれにしろルーターはセキュリティーに重ュリティー対策を考えるならば、こうした製品要な役割を果たすシステムですので、きちんとこれはSOHO レベルでは関係ありませんが、の導入を検討してみてください。

パスワードを設定し、安全な状態にしておくと大学やプロバイダーのような内部で誰が利用しいうのは基本中の基本です。ているかわからないようなサイトは、自分のサルーターには必ずパスワードをイトから発信されるIPパケットの送付元が自分フィルタリングの方針を決める
ルーターの設定を行う前には、必ずルーターのサイト以外であるような正しくないIPパケッ
トは、その場で破棄して外部に出さないようににパスワードを設定し、第三者に勝手に設定をルーターのIPフィルタリングについては、本変更されるようなことがないようにしてくださ

連載第5回の「パケットフィルタリングを設定しましょう。それは事故か、あるいは悪質な攻撃のどちらかだからです。

1 フィルタリングの管理ノートの例
処置方向

プロトコル

外側アドレス

外側ポート

内側アドレス

内側ポート

理由

破棄外→内

すべて

内部のアドレス

すべて

（なし）

（なし）

アドレス不正

通過

外→内

TCP

すべて

すべてウェブサーバーのアドレス 80（httpd） ウェブサーバーへのアクセス

通過

外→内

TCP

すべて

すべて

メールサーバーのアドレス 25（smtp）

通過

外→内

UDP

すべて

53（domain）

すべて

1024以上メールサーバーへのアクセス
DNSからの応答※デフォルトではすべてのパケットを通さない設定になっていることが前提です。

インターネットマガジン／株式会社インプレスR&D

IANA（アイアナ／Internet Assigned Numbers Authority）：南カリフォルニア大学内に置かれた組織で、ドメイン名の管理およびIPアドレスやプロトコルについての管理を行っていた。実際には、故ジョン・ポステルの献身的な努力による活動であった。現在は、IANAの役割はICANNへと受け継がれている。
©1994-2007 Impress R&D www.iana.org

INTERNET magazine 2000/6

353

サービスへの許可

内部から外部へのフィルタリング

ると、さらにシステムが安全になります。

内部でサービスしているサーバーへのアクセ

内部のネットワークから外部へ接続を試みる

ウェブサーバーを例に取るとApache（httpd）

ス許可です。たとえばウェブサーバーやメールようなトロイの木馬の危険性は常に存在していは、通常ではルート権限で80 番ポートでサーサーバーへのアクセスがあります。この場合、ますが、内部から外部への接続を厳しく制限しバーが起動します。一般ユーザーの権限で起動外部からのアクセスはウェブならばウェブサーすぎると自由度の少ないサイトになります。こするには、一般ユーザーが使えるようなポートバーのhttpd（80番ポート）のみに、メールなれはリスクと簡便のバランスをどう取るかを、番号、たとえば10080番で起動することになりらばメールサーバーのsmtp（25番ポート）の個々のサイトで判断する必要があります。

ます。ただし、このウェブサーバーにアクセスみにといったように、接続する先のマシンと利1つは、内部から外部への制限を厳しくしてするためには、http://h2np.net:10080/という用するポートの組み合わせだけを通過させます。

しまい、内部から外部へ接続する時は、socks具合に、URL でポート番号を明示的に指定し内部のすべてのマシンに対してのsmtp ポートやhttpd proxyなどを用いることで直接個々のなければいけません。ウェブサーバーを一般ユの解除などといった、接続先を限定しない許可クライアントが外部に接続しないような方法がーザー権限で動かせば、ウェブサーバーにバッはできる限り避けるべきです。また、内部にサあります。しかし、だからといってトロイの木

ファーオーバーフローのような致命的な脆弱性

ーバーを持たない小規模な接続を開始するよう馬を必ず防げるということでもありません。

があった場合でも、直接はルート権限を詐取でなIP パケットについては、「すべてを許可しなもう1つは、セキュリティー目的での内部から外部への制限を設けず素通ししてしまう方法い」という1行だけの設定で済みます。

きないので少しは安心できます（しかし、満足できるほど十分に安全ではありません）。

これらの許可に関しては、思いつきでいきあです。ただし、内部から外部にそのまま通信でそこで、このためにIPマスカレードを活用したりばったりに行うのではなく、きちんと管理きるのは境界ネットにあるサーバーのみで、一ます。まず、Apacheを10080ポートで立ち上ノートを作って、何を許可するのかを整理して般ユーザーが使うマシンについては、境界ネッげます。これはApacheのhttpd.confファイル。こから行うと間違いが少なくなります（1）トと内側ネット間にあるPC ルーターのフィル

中のPort 設定の値を変更することで可能になうした形できちんと記録を残しておくと、あとタリングで通信を制限します。これは、一般ユります。ルーター側の設定は、外部からの80で変更を行う際にも作業が楽になります。

ーザーの利用がサーバー上ではほとんどないと。
ポートを10080ポートへ変更します（2）

ここではセキュリティーに関して述べていま

この設定は、外部と内部のIP アドレスの変いう前提に立っています。

換を指定する際に、ポート番号変換の指定をすが、これ以外にも実際のルーター設定では、「 R I P のパケットを外 部 に出 さない」 とかIPマスカレードの活用追加するだけで済みます。実質的にはルーター設定に費やす労力を考える必要もありません「netbiosを通過させない」といったものが必要になります。詳しくはルーターの運用マニュア

IPマスカレードはIPアドレスとポート番号をし、最初からウェブサーバーのポート番号を決ルに書かれていると思いますので、その記述に変換する機能です。これをたとえばウェブサーめておけば、何1つ追加作業を必要とせずに設従ってください。

バーのポート番号の変更と組み合わせて利用す定ができます。

リモートのsyslogへの出力
2 IPマスカレードの使用例

ルーターのフィルタリングの動作状況につい
外部側

内部側ては、ルーターのsyslog 機能を使って確認できます。ほとんどのルーターには、システムロルーターグをネットワーク経由で送信する機能があるので、このログをLinuxマシンで受け取る方法を。syslogのしくみや詳しい設定使います（3 ）ウェブサーバー

インターネット
IPアドレス210.145.219.253
ポート番号
80

IPアドレス
192.168.0.10
ポート番号
10080

方法については、本連載の第10回（1999年11月号）で説明していますので参照してください。
ルーター側の設定としては、ログを記録するマシンのIPアドレスを指定します。また、ファシリティー値が指定できるルーターであれば、外部からのウェブサーバーへのリクエストを、内部のIPアドレスとポート番号に変更する。

354 INTERNET magazine 2000/6

Linux マシンの側でルーターのログだけを別のインターネットマガジン／株式会社インプレスR&D

socks（ソックス）：ファイアーウォールを超えて通信するためのプロトコル。socks対応のクライアントであれば、ファイアーウォール上のsocksサーバーを通じて外部との通信が可能となる。ウェブブラウザーでは、インターネットエクスプローラとネットスケープナビゲーターは両方ともsocksに対応している。
©1994-2007 Impress R&D最 小コストで最 大 限 の 不 正 行 為 対 策

ファイルに記録できます。Linux ではlocal0する部分やもう少し細かい部分を省略せざる得（ファシリティー値16）からlocal7（ファシリなかった部分が多々ありました。また、1年半ティー値23）までローカルに使えるので、適当以上も長く連載を行っていた関係で、前半部なファシリティーを使うといいでしょう。設定分では内容的に古くなってしまっているところはLinuxマシンの/etc/syslog.confで行いますもあります。

。新規ログを作ったらログのローテーショ（4）ンなども忘れずに行いましょう。

昨今、世の中では情報セキュリティーのニー4 /etc/syslog.confの設定ズが高まっています。セキュリティーの解説本といいつつ、実際には「クラックの手口教えます」というレベルの本も世に溢れています。反す。もし、一度もこのようなログを見たことが対に全体のシステムを捉え、具体的に安全ななければ、その数の多さに驚かれることと思いサイトを構築するような本は残念ながらわずかます。よく知られた攻撃をするための事前の調です。こうした点を踏まえ、この連載をベース査であろうスキャン、あるいは、まったく何のにして、さらに加筆して1 冊の本にすることをためにやっているかわからないスキャンなど多決 心 しました。 観 念 論 や包 括 論 ではなく、種多彩です。この情報を観察することによっSOHOレベルでも安価で安全なシステムが構築て、どのような攻撃が現在流行しているか大体できるのだということを具体的に提示したいと想像がつくようになります。

思います。単行本では、「激安マシンの作り....
## ROUTER LOG （Facility Val = 16）/var/log/router
local0.*
ファシリティー番号

ログファイル名

local0 = 16
local1 = 17...

実際のログを見てみると、外部から数多くのスキャンが行われていることがわかると思いま

local7 = 23

5 CLSCANの出力画面（例）方」、「秋葉原で機材を調達する方法」など、ログの管理方法非常に具体的な、かつ、現実に即した内容も組み入れたいと思います。

システムログは1 週間も経つとかなりの量にでは、また会う日まで。

なりますが、人間が読むには面倒なフォーマットで大量に出力されていますので、きちんとチェックするには苦痛が伴います。筆者は、ログ中のデータでセキュリティーに関連するものを抜きだし、綺麗に出力するプログラムを自作して利用しています。ログを読み込み、定義ファイル中で定義された危険度にしたがって分類し、3 サイトのネットワーク構成図

HTMLフォーマットで記述された見やすい表をネットワークアドレス。またこれは親切な協力者の出力します（5 ）サイト

192.168.0.0

境界ネット

方々のおかげでSOHOレベルで利用される主なダイアルアップルーターをサポートすることが内部ネット

Serverできました。利用条件をGNU Public License

192.168.0.10

ルーター（専用機）
192.168.0.1として公開しているので自由にコピーしてご利

ネットワークアドレス
インターネット

192.168.1.0

用ください。場所は下記のURLにあります。
CLSCANのページ

h2np.net/clscan/
192.168.1.X

PCルーター

最終回のおしらせ
システムログPC

一通りではありますが、外部に接続するルーターの設定まで説明しましたので、連載はここで終了させて頂きます。誌面の関係上、補足

ブロードキャストアドレス

ブロードキャストアドレス

192.168.0.255

192.168.1.255

インターネットマガジン／株式会社インプレスR&D

GNU（グヌー／Gnu is Not Unix）：1983年にリチャード・ストールマンが提唱した、フリーソフトウェアで構成されたUNIX互換のソフトウェア・システム、およびそのプロジェク
www.gnu.org
トの名称。GNU Public Licenseは、ソフトウェアの複製や配布を自由に行うことを保証するためにGNUによって立案された使用許諾条件。
©1994-2007 Impress R&D

INTERNET magazine 2000/6355

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.