MAGE Vol.35, No.43 (2016.3)

VPN/認証プロキシサービスの利用状況監視鳩野 逸生
神戸大学 情報基盤センター

hatono@kobe-u.ac.jp

1. はじめに
神戸大学においては，学外で活動する，学生および教職員に対して，学内向けに提供されている情報システムおよびサービスに学外からセキュアにアクセスすることを可能とするサービスとして VPN(Virtual Private Network) 接続サービスと認証プロキシサービスを,全学生・教職員に提供している．こららのサービスは，一月あたり延べ数千人が利用している．
一方で，学外からの利用を前提としている VPN サービス，認証プロキシサービスは，常に不正利用されるリスクにさらされている．これは，電子ジャーナルなど大学における教育・研究に対して提供されているサービスが, 大学によってかなり格差がある, などの背景によるものであると推察される．
2013 年末に，外部機関から神戸大学が提供する VPN サービスに対して不正利用の試みが行われている可能性がある，という指摘があったことから，VPN 接続の接続記録を，接続元 IP が存在すると推定される国の遷移，という観点から検査することを可能としたプ
ログラムを VPN サービス，認証プロキシ向けに開発したので報告する．

2.

VPN の利用状況

現 VPN 装置が稼働開始した 2014 年 6 月から 9 月までの延べ利用者数を Table 1 に示す．
なお，2014 年 6 月以前までは，同じく F5 ネットワーク社製の FirePass 装置により VPNサービスを提供しており，同程度に利用されていた．Table 1 に示すように教職員，学生とも広く利用されていることが推察される．
また，学外からの VPN 接続の多くは日本国内からであるが，学生・教職員にかかわらず海外からの利用も多く見られる．Table 2 に海外からの利用状況を示す．Table 2 から，

表 1: VPN サービスの利用者数

日時2014 年 09 月
2014 年 08 月
2014 年 07 月
2014 年 06 月

延べ利用者数
11,898
11,476
17,56911,819

教職員
3,958
3,499
3,280
2,276

学生7,940
7,977
14,2899,503

MAGE Vol.35, No.43 (2016.3)

表 2: VPN の国外からの利用状況
年月2014 年 6 月

2014 年 7 月

2014 年 8 月

2014 年 9 月

アクセス元の国・地域
Australia, Austria, Canada, China, Denmark, Finland, Germany, Hong Kong, India, Indonesia, Italy, Kenya, Korea, Republic of, Malaysia, New Zealand, Norway, Singapore, Spain, Thailand, United Kingdom, United States,Vietnam
Australia, Austria, Belgium, Canada, China, Denmark, Finland, France, Germany, Hong Kong, India, Indonesia, Italy, Kenya, Korea, Republic of, Malaysia, Netherlands, Norway, Singapore, Spain, Switzerland, Taiwan,Thailand, Turkey, Uganda, United Kingdom, United States
Andorra, Argentina, Australia, Bangladesh, Belgium, Canada, China, Denmark, Finland, France, Germany, Guam,India, Indonesia, Italy, Kenya, Korea, Republic of, Malaysia, Morocco, Nepal, Netherlands, Norway, Palau, Philippines, Russian Federation, Singapore, Spain, Switzerland, Taiwan, Thailand, Uganda, United Kingdom, UnitedStates, Vietnam
Austria, Bangladesh, Belgium, Bolivia, Canada, China, Cote D’Ivoire, Denmark, Finland, France, Germany,Greece, Guam, India, Italy, Kenya, Korea, Republic of, Lao People’s Democratic Republic, Malawi, Malaysia,Nepal, Netherlands, New Zealand, Norway, Philippines, Poland, Russian Federation, Singapore, Spain, Switzerland, Taiwan, Thailand, Turkey, Uganda, United Arab Emirates, United Kingdom, United States, Uzbekistan,
VietnamFig.1: 接続情報検索画面例

いわゆる先進国から発展途上国まで多様な国・地域からの利用が定常的にあることがわかる．

3.

VPN 接続状況監視

VPN を利用するにあたっては，PC に接続用ソフトウェアあるいはブラウザのプラグインをインストール必要がある．VPN 装置の利用状況の確認および接続トラブル発生時のサポートを目的とし，BigIP 装置が出力するログ情報を解析して表示するプログラムを開発し利用している．開発にあたっては，事務職員が利用することを前提とし，神戸大学における利用者区分, 接続元 IP, 割当 IP, 利用接続ツール種別などの情報が，日時毎に検索できるようにした.
BigIP 装置の管理コンソールにおいても同種の情報を検索できる機能を利用できる. しかし，事務職員から利用しにくい，長期間のデータを VPN 装置内に保持することが困難であることから学内で開発した．
Fig. 1 に，日付/ID 名等による検索画面，Fig. 2 および 3 に，それぞれ接続情報一覧および表で出力した例を示す．Fig. 3 において，国内および国外からのアクセスがあった場合，それぞれ異なった背景色で表示される．緑の部分は，対応する日付において列に対応するユーザからスリランカからのアクセスが一回あったということを示している．もし，同一日に国外と国内からアクセスがあった場合は，背景色は赤で表示される.

MAGE Vol.35, No.43 (2016.3)

Fig.2: 接続情報一覧

Fig.3: 接続情報一覧表 (一部)

Fig.4: SSLVPN 装置が出力する情報

MAGE Vol.35, No.43 (2016.3)

本機能の開発においては perl 言語を用い，BigIP 装置が出力する, Fig. 4 に示すような接続記録を解釈することにより実現している．Fig.4 に示す情報を適切に解釈するためには BigIP 装置の設定に関する知識が必要であり，事務職員が対応することは現実的ではない．また，IP アドレスから，発信元の国名を推定するために，GeoIP パッケージ [2] を用いている．
また，Fig. 2 右端の「ブラウザの種類」欄の情報から，利用者の接続環境 (PC/OS の種類) を推定することができ，接続トラブル時のユーザサポートに利用している．

4. 不正利用検出事例
2013 年末，外部から神戸大学の VPN 装置が不正利用されている可能性が外部から指摘された. VPN 装置のアクセス記録は，FirePass 時代からのものも含めて 3 年以上保存しているが，2012 年-2013 年の記録に対して本機能を用いて調査を実施した．不正利用か否かの判定にあたっては，「一定の期間に渡って，同一日に国内と国外から接続記録が存在する」を判断基準とした．単に同一日に複数の国からの接続という基準では，同一日に移動中である可能性もあり，前述の基準に合致する接続を最終的に不正である可能性が高いと判断して，担当部署に該当期間におけるユーザの在校の有無の確認を依頼した．不正利用の検出例を Fig. 5 に示す．Fig. 5 において，赤が背景の部分において同日に学内からの利用 (認証付情報コンセント)1 あったにも関わらず，外国からのアクセスも数回観測していることを示している．
2013 年から 2014 年にかけて本機能を用いることにより 3 件の不正利用を検知している．
5. 認証プロキシサービスの国外からの利用状況
Fig.6 に，2015 年 4 月から 11 月に外国から認証プロキシサービスを利用したユーザの一覧を示す．本サービスは認証として Basic 認証を用いているためセキュリティ上の問題があり，可能な限り VPN サービスを利用するようにユーザに勧めているため，外国からの利用者数も少なくなっている．しかし，VPN サービスを利用するためにはプラグインまたは接続のためのアプリケーションをインストールする必要があり，接続トラブルが一定数発生するのが現状である．そのための代替手段として，認証プロキシサービスを打ち切ることができない．
6. 認証プロキシサービスの接続状況監視
認証プロキシに対してはたびたび大規模な辞書攻撃が行なわれるが，現在利用しているBlueCoat 社の製品は一定数認証が失敗すると一定時間該当の IP からのアクセスを凍結する機能がある．比較的辞書攻撃には耐性があるものと考えられるが，辞書攻撃以外の経路で ID およびパスワードが流出することも考慮し，外国からのアクセスに対して，Fig.7 のように，外国からのアクセス状況, 認証が失敗している ID の一覧および認証が失敗している ID に対するアクセス元 IP の一覧を一日に一度メールで管理者に通知するプログラムを作成し運用している．
監視にあたっては，外国からのアクセスを見ただけでは不正かどうか判定できないた
め，ユーザの属性 (教員，職員，職種) や他サービス (メール，無線 LAN など) の利用状況と比較した上で不正利用かどうかを推定し，所属部局に問い合わせた上で最終判断している．本監視により，数カ月に一件ほどの不正利用が発見されている (2015 年度)．
1

学内の有線認証付情報コンセントサービスのために同一の装置を利用している．

MAGE Vol.35, No.43 (2016.3)

Fig.5: 不正利用の検知

Fig.6: 認証プロキシサービスの外国からの利用状況

MAGE Vol.35, No.43 (2016.3)

Mon Dec

7 08:00:10 2015: 認証プロキシーへの外国からアクセス状況（Mon Dec

7 08:00:10 2015: １日）！

外国からあるいは複数国からアクセスがあるユーザの UID.----------------------------------------------.
| UID| Normal | Fail | Country:AccessCount |+--------+--------+------+---------------------+| xxxxxx |10 |6 | Indonesia:16|| yyyyyy |413 |79 | Germany:492|’--------+--------+------+---------------------’

List of Attacked ID.-----------------------------------------.
| ID| Count |+---------------------------------+-------+
| %20
|
101 |
| 091kxxxx
|
29 |
(略)
| shyyyy|
37 || abcdddddddddddddd6@xxxxxx.ne.jp |1 |’---------------------------------+-------’

List of Attacker IP.-----------------------------------------------------------------------------------------------------------------------------------.
| IP| FQDN| Country| Count | Attacked IDs|+-----------------+------------------------------------------------------+----------------+-------+---------------------------------+|
36.52.xxx.yyy | xxxxxxxxxxxxxxxxxxxxxxxx.ne.jp.
| Japan|
1 |xxxxxxxx ||203.202.zzz.x | yyyyyyyyyyyyyyy.ne.jp.
| Japan|725 | None|(略)|36.12.x.yyy | ddddddddddddddddddddd.ne.jp| Japan|
1 | zzzzzzzzz@xxxxxxo.ne.jp|| 185.21.zzz.zzz | eeeeeeeeeeeeee.com.
| United Kingdom |55 | axxxxxxx|’-----------------+------------------------------------------------------+----------------+-------+---------------------------------’

Fig.7: 認証プロキシの外国からの利用状況

7. おわりに
本稿では，VPN と認証プロキシの利用状況及び不正利用監視について報告した．今後
は，他サービス利用状況も含めた総合的な監視を行い，不正利用の早期検知を行っていく必要がある．
参考文献[1] F5Networks 社，https://f5.com/products/big-ip, 2014 年現在[2] Maxmind 社, GeoIPlite パッケージ, http://geolite.maxmind.com/, 2014 年現在