Web サイト改ざん検知システムのセキュア化
isAdmin と SSH Tectia ConnectSecure を組み合わせた安全な FTP データ通信

Compatibility Note2009 年 1 月

JNS 社製 isAdmin は Windows プラットフォームで動作する Web サイトの改ざん検知と自働復旧を行うためのアプリケーションとなっており、官公庁をはじめ多くの企業に導入されています。本書では、この isAdmin と SSH Tectia を組み合わせて、行われるデータ通信をセキュアにする方法についてご紹介します。

© 2008 SSH Communications Security Corp. All rights reserved. ssh

is a registeredtrademark of SSH Communications Security Corp in the United States and in certain otherjurisdictions. The SSH logo and Tectia are trademarks of SSH Communications SecurityCorp and may be registered in certain jurisdictions. All other names and marks are theproperty of their respective owners.

SSH Communications Security

目次

1 シナリオ .......................................................................................................... 2
1.1 はじめに ...................................................................................................... 2

1.1.1

isAdmin とは ......................................................................................... 2

1.1.2 SSH Tectia の透過的トンネリング機能 ...................................................... 3
1.2 isAdmin と SSH Tectia………………………………………….………………………..4
1.3 利用シナリオ................................................................................................. 5

1.3.1

既存の環境............................................................................................. 5

1.3.2

SSH Tectia によるセキュアな環境............................................................. 6

1.4 ハードウェア/ソフトウェア ............................................................................. 62 設定 ................................................................................................................. 7
2.1 isAdmin の設定........................................................................................................ 7
2.2 SSH Tectia の設定….................................................................................................. 83 動作確認 ........................................................................................................ 15

1

www.ssh.com

SSH Communications Security

1

シナリオ

1.1

はじめに

SSH Tectia ソリューションのバージョン 6 では新しい機能として既存の TCP アプリケーションの通信を SSH で透過的にトンネリングすることが可能となりました。これはさまざ
まな TCP アプリケーションに対して行うことが可能となっており、本書では JNS 社製のWeb サイトの改ざん検知システムである isAdmin で利用される通信をセキュアにする方法について記載されています。

1.1.1 isAdmin とはJNS 株式会社（http://www.jnsjp.com）が開発した isAdmin は Web サイトの改ざんを検知、管理者にメール、SNMP、コマンド実行など様々な手法で通知を行う仕組みを提供しており、また必要に応じて自動で復旧操作を行うことも可能となっています。インストールや設定が容易で利用している Web サーバにも依存しません。現在でも Web サイトの改ざんは大きな社会問題となっており、この isAdmin を使うことで効果的に Web コンテンツを守り、個人情報を正確に保護することが可能です。

isAdmin 製品の種類
isAdmin Standard:小規模 Web サイト向け
isAdmin Pro:中規模 Web サイト向け
isAdmin Enterprise：大規模 Web サイト

機能概要
Web 改ざん検知システム：コンテンツ改ざんの検知と稼働状態を監視
Web 改ざん自動復旧システム：コンテンツ/Web アプリケーションの改ざんを自動で復旧。正規更新との見極めも可能（Pro/Enterprise にて）
ファイル改ざん検知システム：コンテンツ/Web アプリケーションの改ざんを検知

2

www.ssh.com

SSH Communications Security

1.1.2 SSH Tectia の透過的トンネリング機能
SSH Tectia では Secure Shell が従来からもつポートフォワードの機能をさらに拡張し、クライアントアプリケーション側での”localhost”指定の必要がない（＝利用者にとって透過的）SSH によるトンネリング機能を提供します。

SSH Tectia でサポートしているトンネリング機能は以下のとおりです。
Transparent TCP トンネリング
主要な TCP アプリケーション通信を透過的にトンネリング。ただし FTP のみは以降の機能にて対応。

Transparent FTP トンネリング(要 ConnectSecure)
主要な FTP 通信を透過的にトンネリング。

3www.ssh.com

SSH Communications Security

FTP-SFTP 変換(要 ConnectSecure）
FTP の通信を SFTP へと自働的に変換。サーバ側には FTP サーバは不要

1.2 isAdmin と SSH Tectia
isAdmin の Web 改ざん自動復旧システム/ファイル改ざん検知システムは FTP 通信を利用して行われています。当然ながら FTP の通信は ID/パスワードをはじめ、その通信内容がネットワーク上を平文として流れるためセキュリティ上大きな問題があります。

① 自動復旧元に対して、正しい Web コンテンツを置く。
② 更新された情報を FTP を利用して自動復旧先に自動的に反映します。

4www.ssh.com

SSH Communications Security

以降の章では SSH Tectia の持つ透過的トンネリング機能を利用して、isAdmin の通信をセキュアにする方法についてご紹介します。

1.3 利用シナリオ
isAdmin の機能としてある自動復旧サービス/ファイルシステム改ざん監視サービスはい
ずれも FTP 通信が利用されていますが、SSH Tectia を導入してこれをセキュアなものへと置き換えます。この時、isAdmin への特別な設定変更は必要ありません。

1.3.1 既存の環境

5

www.ssh.com

SSH Communications Security

1.3.2 SSH Tectia によるセキュアな環境

1.4 ハードウェア/ソフトウェア

本書は以下の環境を元に記載されています。

クライアントOSソフトウェア

サーバ

Windows XP SP3

Redhat Enterprise Linux 4

SSH Tectia ConnectSecure 6.0.7
SSH Tectia Server 6.0.7
isAdmin Enterprise 2.6.3

IP アドレス

192.168.1.1/24

192.168.1.100/24

6

www.ssh.com

SSH Communications Security

2

設定

2.1 isAdmin の設定
isAdmin のアプリケーションは Windows サービスとして動作し、そのユーザ権限はデフ
ォルトでは”ローカル システム アカウント”となっています。このままでは SSH の透過的トンネリング機能は利用できないため、あらかじめ Windows にログオンしているユーザアカウントに変更しておく必要があります。

１．スタートメニュー⇒設定⇒コントロールパネルを選択。
２．続いて管理ツール⇒サービスを選択してダブルクリックで開く。
３．isAdminChecker を選択、ダブルクリックで開く。

４．ログオンタブからアカウントを現在、Windows にログオンしているユーザアカウントに変更する。アカウント変更後は、サービスの再起動が必要となります。

7

www.ssh.com

SSH Communications Security

５．以下のようにユーザが変更され、サービスの稼働状態が”開始”であることを確認してください。

2.2 SSH Tectia の設定
これより SSH Tectia の設定を行っていきます。なお、サーバ側である SSH Tectia
Server については特にアクセス制御など細かな設定を行わない限りはデフォルト設定のままで問題ありません。

・スタートメニューからファイル名を指定して実行で cmd と入1

力し、コマンドプロンプトを立ち上げます。

・sshg3 コマンドを実行してサーバとの接続性を確認します。

2・初めてサーバに接続する場合は、左図のように表示されますので、save と入力します。

8www.ssh.com

SSH Communications Security

・次にパスワードを入力して、サーバにログオンを行います。

3※入力したパスワードは表示されません。

・SSH 接続を自動的に行えるよ
うに公開鍵認証を設定します。

4・タスクトレイにある Broker
アイコンを右クリックして、Configuration を選択してください。

・User Authentication→
Keys and Certificate を選択します。

5
・New Key…を選択して、鍵生成を開始します。

9www.ssh.com

SSH Communications Security

・Next を選択して、継続しま

6

す。

・鍵の種類と長さを設定します。長さは大きければ大きいほ7

ど強度が高くなります。

・鍵生成が行われています。

810

www.ssh.com

SSH Communications Security

・Filename としてファイル名（任意）を入力します。

9

・通常は Passphrase を設定しますが、ここでは入力をしません。

・警告が出ますが左のように出10ますが無視してください。

Finsh で終了します。

11

・選択した鍵を選択し、12

Upload をクリックします。

11www.ssh.com

SSH Communications Security

・Host name と User nameを入力して、Upload をクリ13ックします。

・アップロードが終了すると、14左図のように表示されます。

・コマンドから接続を行い、自動的に接続できるか確認します。

15

・すでにログインしていた場合は一度ログオンし直して確認してください。

・次に、トンネリングの設定を行います。

16
・再度、タスクトレイアイコン
から Configuration を選択します。

12

www.ssh.com

SSH Communications Security

・Transparent
Tunneling/FTP Securityの中の Filter Rules を選

17択します。

・ついで Add を選択します。

・ここでは透過的トンネリングを行うためのルールを設定します。

Tunnel all applications
トンネルを行うアプリケーショ
ンの実行ファイルを指定。

Filter by Address
宛先ホスト情報を入力

Filter by Port
トンネルを行うアプリケーショ

18ンが使うポート番号を指定します。

Action透過的トンネリングの種類を設定します。FTP の場合はTransparent FTP か FTPSFTP でなくてはいけません。

13www.ssh.com

SSH Communications Security

・今回のケースを設定すると左のようになります。トンネル対象のアプリケーション名

19

は、isAdminCHK.exe です。

・以上で設定は終了です。最後に OK を選択し、ウィンドウ20を閉じてください。

14www.ssh.com

SSH Communications Security

3

動作確認

通信の暗号化は isAdmin の動作間隔で行われます。実際に通信が発生した場合、デスクトップ画面の右下にポップアップが表示されます。

・アプリケーションがトンネリングされるタイミングでポップアップメッセージが右下に都度表示されます。

1・また、タスクトレイにあるBroker アイコンからステータス（接続状態、ログなど）の確認が可能です。

上記により、コンテンツ改ざんが検知された後の自動での復旧サービスのデータ転送が ID、パスワードを含め暗号化が行われるため、トラストネット⇔DMZ 間の通信がセキュアになります。また、ファイル転送の整合性チェックなども行われるため宛先サーバに対して確実なファイル転送を行うことが出来ます。

15

www.ssh.com