最 小コストで最 大 限 の 不 正 行 為 対 策

ウェブサーバーでの脅威
SOHOレベル、大組織のいずれにおいても、ウェブページが改ざんされることによる、もっとも深刻な「被害」は、実は信用毀損（信頼を損ねること）だと思われます。
たとえばビジネスを行っているサイトでウェブページの書き換えが一度でも発生すれば、ユーザーは誰もそのウェブサイトを信用せず、その企業と取引をする気はなくなるかもしれません。いずれにしても、企業としての信用度はガタ落ちと言えるでしょう。

実
践

Linux

セキュリティー講座

どこからでも問題は発生する
ウェブサーバーにおける脅威には、いくつかのパターンがあります。ウェブで公開している情報の書き換え、ウェブサーバーにアクセスすると別のウェブサーバーに接続してしまう（ウェブサーバーの乗っ取り）、ウェブサーバー経由で非公開のファイルをコピーされてしまう、などが挙げられます。
これらはウェブサーバーのセキュリティーに直接の原因があるもの、それ以外の部分に起今回はウェブサーバーのセキュリティーについて取り上げます。誌面の都合も因し、ウェブサーバーのセキュリティーに影ありますので、具体的な設定は次回に説明するとして、今回は何がポイントな響を与えるもの、あるいはウェブサーバーののかという概観的な話を中心に進めていきたいと思います。本連載ではEコマセキュリティーとは関係ない部分で発生してースを行うウェブサーバーのセキュリティーに関しては取り上げないことにしいるものなどさまざまです。

ます。また、ここでのウェブサーバーはApache（RedHatに付属のhttpサーバー）を前提にしています。

運用ポリシーを明確に

第13回

ウェブサーバーの運用ポリシーが不明確でウェブサーバーのセキュリティー（前編）あるために、セキュリティーに問題が発生している例がよく見受けられます。
たとえば、外部から直接リンクを張ってはソフトウェアコンサルタント すずきひろのぶ

いないものの、ウェブサーバーの公開ディレクトリー上にあるファイルを、外部の第三者にアクセスされてしまうような場合です。これは正確には不正アクセスではありません。
アクセスできるファイルにアクセスされたにすぎないのです。
過去に雑誌などで取り上げられた例として、

350 INTERNET magazine 2000/2

Apache（アパッチ）：世界中のボランティアによって開発が続けられているフ
インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

リーのHTTPサーバーソフト。Linux、FreeBSDのほか、ウィンドウズにも移植されている。SSLなど機能をモジュール単位で追加できるのが特徴。

ウェブページ改ざんの原因についてウェブから登録された個人情報ファイルにウウェブサーバー経由で出てしまうような例をェブ経由でアクセスされてしまったというもの挙げましょう。ある会社で、ウェブサーバーがあります。詳細は公開されていませんが、で公開している画像データが何者かに書き換その内容は容易に想像がつきます。HTMLフえられるという事件がありました。その画像ウェブサーバー（Apache）自体に関してァイルが置いてあるディレクトリーの中のファデータはウェブサーバー外部から更新できる

安全かと聞かれれば「かなり安全である」とイルに、CGIコマンドから取り込まれた情報ものだったのです。

答えられると思います。ではなぜ「ウェブサを書き込んでいたのでしょう。どこからもリ

このファイル更新にはFTPが使われましたーバーに侵入されてHTMLファイルが書き換ンクされていない、名前もわからないファイが、その設定がなんとユーザー不特定パスワえられた」ということがよく聞かれるのでしょ

ルは外部の者がアクセスできないと思っていードなし（いわゆるanonymous ftp）だったうか？

たのかもしれません。しかし当然ながら、単のです。これでは外部からファイルを書き換かないのでしょうか。

純な名前のファイルであれば、その存在がすえてくださいと言っているようなものです。こ答えは簡単です。HTMLを書き換える攻撃

ぐに明らかになってしまいます。独自のCGIの問題は先ほどの「運用ポリシーを明確に」

はウェブサーバーを経由しているのではなく、コマンドではなく、雑誌などに掲載されたプという部分ともオーバーラップします。

ほかのツールの脆弱性を突いているからです

ログラムを真似しただけという場合、ファイル名は広く知られているはずです。

侵入されているのにどうして気がつセキュリティーのためのシステムをどんなに（図 1 ）。また「侵入」という言葉から、遠堅牢にしても、また、ソフトウェアのセキュ隔ログインでサーバーに侵入して作業を行っこれらの例は技術的な側面もありますが、リティーホールが皆無であっても、このようているように錯覚しますが、マシンにログイ主に運用ポリシーの問題だと言えます。外部なずさんなシステム管理をしていては、まっンすることなしにHTMLを書き換えることもからアクセスされてはいけないものをアクセスたく何の意味もなさなくなります。

できます。たとえば先に例に挙げたように、できる範囲に入れておくというのが根本的な問題なのです。
扱っている情報のうち、何が公開してよいFTPの設定がまったくセキュリティーの役にウェブサーバーから防げない
場合

情報で、何が公開してはいけない情報なのか立っていないような場合、HTMLファイルを外部から自動的に書き込むことも可能です。
ウェブサーバーと同じマシン上で動くサーを明確に区別することが、まず求められます。

自分の管理しているサイト側がどんなに完バープログラムにバッファーオーバーフローなおのおのの情報の管理ポリシーを明確にし、璧であっても、自分の守れる範囲以外の部分どセキュリティーに関する重大なバグが存在その管理ポリシーに従った管理を行わない限で問題が発生する場合があります。もっともしていて、ウェブサーバー上で任意のコマンり、このような失敗は繰り返し発生するでし

極端な例はドメイン名をIPアドレスに対応さドを動かすことが可能になる場合は極めて深ょう。

せるDNSのデータの偽造です。これによりド刻です。

ずさんすぎる管理
ウェブサーバーの問題ではなくても、ほかのツールなどのセキュリティーホールの影響が
図1
CGIのバグからウェブサーバー

書き換え

アクセスされた
ファイル
ユーザーへ

HTMLファイル書き換え

このような場合、ウェブサーバー側から任ものになってしまうため、目的のウェブサイ意のコマンドを実行し、インターネット側かトに正しくアクセスできないという問題が発らファイルをウェブサーバー上のHTMLファ生します。

イルに上書きしてしまうといったこともできま1997年にはインターネットの中心DNSとすし、最悪の場合、ウェブサーバー上のファも言えるInternicのDNSがこの攻撃を受けま

イルがまるごと消去されてしまう危険性すらした。現在はさまざまな対策がとられてこのあります。これは外部から完全に自動化したような問題は発生しないようにはなっていま形でアタックできるので、確率は低いとはいすが、同様の問題が再び発生しないとは言いえ、これらのアタックは極めて深刻な事態を切れません。この問題に関しては、自分のサ引き起こします。

イトではなく、DNSを管理している組織の問題なので、トラブルが生じてもじっと回復を書き換え

ftpの管理ミス

メイン名をIPアドレスに変換する際に誤った

他のサーバー
プログラムのバグをついてウェブサーバー上のHTMLファイルの書き換えを引き起こすいく

信頼あるCGI以外は使わない待つしかありません。
このように自分では防ぐことができない問題も存在するのです。

ウェブサーバー本体であるhttpdプログラムは問題ないとしても、ウェブサーバーと連動して外部から実行されるプログラムに欠陥がつかの要因。

インターネットマガジン／株式会社インプレスR&D

DNS（ディー・エヌ・エス／Domain Name System）：インターネットで用いられるIPアドレスと名前を管理するしくみ。impress.co.jpなどといったインターネットで利用するドメインとマシンの名前は、すべてDNSによって管理されている。このDNSの運用を行うのがDNSサーバーで、クライアントのリクエストに応じて、ドメイン名やIPアドレスを返す。
©1994-2007 Impress R&D

INTERNET magazine 2000/2351

リスト1
あれば、そこからセキュリティーの問題が発

access̲log

http://localhostをアクセスしたログ生します。そのような意味でCGI（CommonGateway Interface）には常に問題が潜んで127.0.0.1 - - [04/Dec/1999:21:28:03 +0900] "GET / HTTP/1.0" 200 1982

います。CGIはcgi-binプログラムとも呼ばれ、CGIを使おうと思っている方は、これらのド本連載の対象としているパッケージである

ウェブサーバーから起動されるプログラムでキュメントに目を通しておく必要があるでし

RedHat 5.2に収録されたApacheパッケージ

す。データはユーザーが使っているクライアンょう。もし、CGIプログラムが安全であるかにはこれらのコマンドは含まれていませんのでト（ウェブブラウザー）からウェブサーバーにどうか自分で確信が持てなければ、まずcgi-心配はありません）。

送られ、そしてCGIに渡されます。

binにあるすべてのCGIコマンドの実行可能パ

このCGIの設計が悪いと、そこがセキュリティーホールになってしまうことがあります。

ーミッションを削除しておくべきです。
ftp://ftp.jpcert.or.jp/pub/cert/cert_advisories

利用しているhttpdの仕組み、CGIのメカニズム、そしてプログラミング言語の仕組みをから接続可能なウェブサーバーがあるとアタックを試みるための事前の探知（probe）がアクセスログを活用する

よく理解したうえでCGIプログラムを作成することが重要です。

いまでもこれらのcgi-binコマンドに対してチョッカイを出してくる連中がいます。外部行われます。これはそのマシン上でhttpdが動作しているかどうか、あるいは外部に公開しRedHatのRPMパッケージではウェブサーているかどうかなどお構いなしです。まず、すしかし、あちらこちらのウェブサイトで公開

バーは2つのログを残します。/var/log/httpd

べてのIPアドレスをアクセスしていきます。次されている「CGIの作り方」を見てみると、にあるaccess̲logとerror̲logの2つです。に、そのマシンからのウェブサーバーの反応が安全な設計方法まで踏み込んでいる信頼性の前者（リスト1）はhttpdへのアクセスのすあれば（ポート80へのリクエストの反応があある説明はわずかで、ほとんどは「〜というべてを記録します。後者はエラーとなったアったら）、次に既存のセキュリティーホールがのを作ってみました」というレベルで終わっクセスのみを記録します。これらのログファあるかどうかのチェックを始めます。てしまっています。また雑誌での解説や参考

イルは週単位でローテーションされており、ま最初は無難にセキュリティーホールのある本で解説しているCGIの作り方も似たりよっ

た、1か月以上前のログは残らないので注意

cgi-binコマンドが存在しているかどうかだけたりです。

してください。

をチェックします。これだけなら外部に公開UNIXのシェルプログラムや、内部で直接コ

これらはマシンが不正アクセスを受けたり、しているcgi-binを実行したにすぎませんからマンドを呼び出しているようなPerlプログラエラーが発生したりしたときの状況を記した探知している側の責任は問われません。この

ムでは、CGIの引き渡されたパラメーターが貴重な記録になりますので、有効に活用して後、これらの情報をもとにそのウェブサーバどう使われているかを注意深くチェックするください。

ーにアタックをかける段階へとエスカレートしていきます。もっと悪意のあるものは、確認必要があります。現在ではApacheが特殊文字はブロックしているとはいえ、セキュリティ外からのチョッカイの手順を踏まずに直接攻撃してきます。
ウェブサーバーの運用を始めれば、すぐにー上の致命的な問題を持っている可能性がありますので注意しなくてはなりません（図2）。

ずいぶん以前のhttpdのcgi-binには、デフこのようなcgi-binコマンドを探知した形跡やインターネットのセキュリティー問題についォルトでhandler、phf、test-cgiなどのコマ攻撃のログを見つけることになります。しかて報 告 をまとめている「 CERT Adviso-ンドが用意されており、これらのコマンドにし、慌てることはありません。なぜなら、こry」

でも、CGIに関しての危険性に注はセキュリティーホールがあったため、ここをこまでのアドバイスをきちんと守っているなら意を促しているドキュメントが複数あります。

突いて数々の攻撃が可能でした（ちなみに、cgi-binの中には上で記したようなセキュリテ

図2

図3
直接アクセス

他のプログラム

ブラウザー
入力

CGIコマンド
への指令

各種
パラメーター
ウェブサーバー

CGI
プログラム
実行

クラッカー

すぐバレる
proxy経由のアクセス

パスワード
ファイル詐取ウェブサーバー

httpdproxy

クラッカー
？？？

他のプログラム

相手がわからない

ウェブサーバー

内部のネットワーク情報を外部に公開しないためのセキュリティ
ウェブサーバーと連動して外部から実行されるcgi-binプロ
グラムはセキュリティー上の問題を引き起こしやすい。

352 INTERNET magazine 2000/2

システムへの影響
ファイル破壊ーツールであるhttpd proxyが、不正アクセスの足跡を消す便利なツールとして使われてしまっている。

インターネットマガジン／株式会社インプレスR&D

CERT（サート／Computer Emergency Response Team）：インターネットなどのネットワークを利用した不正アクセスへの対策を講じる団体。
日本にはJPCERT/CC（コンピュータ緊急対策センター）がある。
©1994-2007 Impress R&D最 小コストで最 大 限 の 不 正 行 為 対 策

ィーホールを持つコマンドは一切入っていなべませんが、外部からの利用を許したhttpdためにウェブサーバー上のデータは別のマシンいはずだからです。

proxyは不正アクセスの踏台を提供しているにバックアップされていることになります（本のと同じことになります。インターネット側

当はウェブサーバー側がバックアップで動い

どこから攻撃が来るのか
cgi-binを経由して攻撃をしかけてくるもののルーターではhttpd proxyへのアクセスを許ている）。ウェブサーバーのディスクがクラッしてはいけません。

シュして情報をすべて失ったという話をよく（*1）通過を許可しないIP接続の接続拒否記録。後に行うルー聞きますが、この方法だとウェブサーバーのクターの回で説明する予定です。

ラッシュはコンテンツに対しては影響与えまは、直接サーバーにアクセスすると確実にIPアドレスなどの足跡を残します。ですから、ほとんどと言っていいほどhttpd proxyを経由MOなどを使ったローテクなプロテクションせん。万が一悪意のある侵入者がウェブサーバーに侵入できて、そのディスクの内容を完全に破壊したとしてもコンテンツは無事です。

し、足跡を消してアクセスしてきます。
httpd proxyはサイト内部に向けてHTMLウェブサーバー上のHTMLファイルの書き唯一の弱点はMOの読み込み速度がハードをキャッシュしてネットワーク効率を上げた

換えは、あちらこちらの有名なサイトで（CIAディスクより遅い点です。しかし、SOHOレり、内部情報を外部に公開しないために使わのウェブサーバーですら）攻撃されている、現ベルでの通信のボトルネックは常にネットワれたりしています。現在では、個人ユーザー実的、かつ広く認識されている問題でしょう。

ーク回線の速度ですので、大きな欠点とまでこれは「ファイルの書き換え」ということはいかないはずです。Linuxのファイルシステが不可能であれば発生しません。そのようなムは搭載メモリー量に合わせてキャッシュ効であってもキャッシュによる効率化を考慮して利用している場合もあります。
このhttpd proxyを経由したcgi-binへのア状態をhttpdを動かすマシンで実現してしま率が上がるので、よく利用されるファイルはタックは十分に踏台攻撃の踏台として利用でえばいいのです。一番簡単な方法がMOを使（2回目以降のアクセスに限りますが）ハードきます。よく「ホストを乗っ取られて、他のう方法です。まず内部ネット上にあるLinuxディスクもMOもあまり変わらない速度でアクホストを攻撃する踏台に使われる」という説マシン上でhttpdを動かし、HTMLの記述とセスできます。

明があります。cgi-binを使ってのシステムへ動作チェックを行います。次にその作業用の以上はポピュラーなMOの例ですが、容量の攻撃は（通常の動作範囲である）proxyでLinuxマシンのディレクトリー/home/httpdが100Mバイト以下で十分であればZipでも同十分なのです。皮肉にも内部のネットワーク以下をまるごと、ファイルシステムを構築しじことができます。また逆にギガバイト単位情報を外部に公開しないためのセキュリティたMOにコピーします。MOを外部に公開すであればDVD-RAMという選択肢もあります。

ーのツールとして機能する部分が、不正アクるサーバーに持っていき、セットします。MOSOHOサーバーの場合、ISPや企業のようにセスの足跡を消す便利なツールとして使われのライトプロテクションを「書き込み不可」

容量の大きいシステムが不必要で、管理者とてしまっているのです（図3）。に設定し、MOのデバイスをを/home/httpd

コンテンツデザイナーが近くに位置し（あるこのhttpd proxyは意図的に外部にオープにマウントします。その後、httpdをスタート

いは同一人物で）、ハードウェアに直接アクンしているものか、アクセスコントロールを間させます。この方法だとHTMLのメンテナンセスできるので、このように小回りが効く方違えているのか、あるいは管理がずさんでアスは楽ですし、ファイルを外部から書き換え法が考えられるのです。SOHOはSOHOなりクセスコントロールされていないのかはわかりるといった攻撃には、ほぼ万全です（図4）。に、大きな企業ではできないような利点もあませんが、とにかくかなりの数のhttpd proxy

もう1ついい点は、実はMOで動かしているがオープンなままであるようです。一方で外部からも利用できるhttpd proxyに関しての図4ると言えるでしょう。

サイトのネットワーク構成図

問題は一般に広くは取り上げられていないよ

MOにコピーうでもあります。

MO

SOHOサイトを自分で管理してみるとわかMO

物理的にプロテクション済み

作業システム
書きかえ不可るのですが、インターネット側のルーターのリライトプロテクトを施したMOでウェ

ウェブサーバージェクトログ（*1）を見れば、国内、海外をブサーバーを運用すれば不正アクセスやハードディスクのクラッシュからコ問わず、httpd proxyに使われているポートンテンツを保護できる。

番号をねらってのアクセスの多さに驚くはずです。httpd proxyにアクセスすること自体はクラッカー

クラッカー

不正アクセスともセキュリティーホールとも呼インターネットマガジン／株式会社インプレスR&D

proxy（プロキシー）：社内ネットワークなどからインターネットに接続するとき、内部のセキュリティーを守るために境界に置く代理サーバーのこと。
また、WWWアクセスにおいては、HTMLデータなどをキャッシュし、同様のリクエストに対して蓄積したデータを返すことによって、クライアントのWWWアクセスを高速化できる。
©1994-2007 Impress R&D

INTERNET magazine 2000/2

353

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.