初心者のためのセキュリティー講座

知っててソンはない知識
今回は、不正アクセス対策としてセキュリティーを高めるツールについていくつか紹介と説明をします。今回紹介するツールの必ずしもすべてがエンドユーザーが使うとは限りません。しかし、不正アクセスに関する周辺知識を増やし、知識を広げることによって、今までの不正アクセスに関する知識が有効に使えるようになるのではないかと期待します。
ここで取り上げているツールは、どのツールが良いとか悪いとかといった評価や、具体的な実践手順を示すものではありません。読者の方々には、「不正アクセスを検知したりインターネットでの不正行為その傾向と対策予防したりするツールが存在し、それが有効に活用できる」という認識を持ってもらえればよいかと思います。
ここで紹介するツールは、UNIX上で動作し、ftpで取得可能なツールです。本稿は、これらのツールの紹介が目的であり、これらのツールを推薦するものではありません。
紹介するツールは、特に断りがなければ次のURLから入手できます。

jftp://info.cert.org/pub/tools/

エンドユーザーは、自分を守るために不正アクセスに関する最新知識を知っておく必要があります。それには、自分を守るための知識だけではちょっと不十分ではないでしょうか。今回は、エンドユーザーからすればちょっと裏方であるシネットワーク監視〜TCP WRAPPER

ステム側が使うセキュリティーツールのお話です。
不正アクセスの危険は無数にありますが、それを防ぐ方法も無数にあるということを知っておいてください。

UNIX上で動作するTCP/IPのネットワーク

第8回を監視するデーモンプログラムです。systat、セキュリティーを高めるツールあれこれ

finger、ftp、telnet、rlogin、rsh、exec、tftp、talkや他のネットワークサービスに対してフィルタリングとモニタリングを行うプログ
ラムです。

JPCERT/CC（コンピュータ緊急対応センター）
jhttp://www.jpcert.or.jp/

多くのネットワークプログラムは、サーバー＝クライアントモデルに基づいた設計になっています。ネットワーク経由で遠隔地からログインするtelnetを使っている方も多いかと思いますが、これはクライアント側で動作し、端末の機能を提供するtelnetと、サーバ

3 2 4 I N T E R N E T m a g a z i n e 1 9 9 8/ 4

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

ー側でクライアントからの接続を受け持つ理者へ伝えるというような設定が可能です。

ら、非常に時間がかかる処理だったので、そtelnetdからできています（図1参照）。

SWATCHをTCP WRAPPERと組み合わせるのためパスワードファイルを一般ユーザーに公TCP WRAPPERは、サーバー側のデーモことにより、より強力に不正アクセスを監視開しても、大きな脅威にはなりませんでした。

ンプログラム（サーバーで使われるソフトウェすることが可能になります。たとえば、TCP

現在では、コンピュータの計算速度の向上ア）に手を加えることなしに、クライアント

WRAPPERでTCP/IPのシーケンスナンバーにより暗号化関数を使っての時間当たりの試とサーバーの間の通信が開始する際に、いろ偽造を検知してログに書き込むと、今度は行回数が飛躍的に増え、英単語辞書や人名いろな詳細情報を自動的に記録します。一

SWATCHがそのログを感知して、管理者へ辞書に載っているような、いわゆる「弱いパ方、使う側のクライアントは、今までの接続ポケベルで警告するといったようなことが可

スワード」の利用者だと数分〜数十分、5文とまったく同じなので、TCP WRAPPERを使能になります。

字以下の英単語を2つ並べたようなパスワー

また、不正アクセスだけではなく、システムドでも数十分〜数時間、英字小文字からなの異常を迅速に管理者へ伝えるためにも活用る7文字のパスワードだと数日〜数十日で解外にも、いろいろな機能があります。いくつできる便利なツールでもあります。

かれてしまう危険性があります。

かの例を列挙すると、特定のマシンからの接jftp://ftp.stanford.edu/general/っているかどうかは分かりません。
いろいろな情報を自動的に記録していく以

続や特定のクライアントしか接続させないよsecurity-tools/swatch/

れば、パスワードの候補を暗号化関数で処理して比較するという処理が不可能になります。

うなアクセス制御、ホスト名偽造に対する制

このような理由により、現在では、暗号済パス御、ネットワークアドレス偽造に対する制御などなどです。基本的な不正アクセスに対しパスワード暗号化

ワードを通常の一般ユーザーに参照できるパ〜シャドウパスワードて確実に対応するだけではなく、TCP/IPのログファイル管理〜swatchスワードファイルから一般ユーザーが参照できないシャドウパスワードのファイルへ移動させシーケンスナンバー偽造のような高度な不正アクセスに対応しています。

しかし、暗号化済みパスワードが見られなけ

ここでのシャドウパスワードとは、具体的るタイプのシステムがほとんどを占めています。

なツールを指しているのではなく、シャドウパ

このように、シャドウパスワードが利用でスワードを採用しているシステムかどうかを意きる環境であれば、パスワードを破ろうとす味しています。伝統的なUNIXのパスワードるものに、簡単には情報を与えないようにすファイルは、ユーザーアカウントと同時にユることができます。

ーザーのパスワードが暗号化された形で（正SWATCH（Simple WATCHer program）は、ログファイルを加工したり、モニターし確には特殊なハッシュ値といいます）が格納データチェックされています。

〜MD5たりするのを簡単に行えるツールです。ログ

この暗号化済みパスワードは、その値からファイルに記録される情報のうち、特定の情元のパスワードを求めることはできません。そ報に対して特定のアクションを指定することこで、パスワードの候補となる文字列を暗号

MD5は、一方向性ハッシュ関数MD5の名ができます。たとえば、不正アクセスらしき化関数で処理し、そのデータを暗号化済みパ前です。一方向性ハッシュ関数とは、入力しログデータが発生するとすぐにポケベルで管スワードと同じかどうか比較します。以前なたデータを計算し、一定の長さの値を出力す

図1

クライアントサーバー

telnettelneted

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

INTERNET magazine 1998/4

325

る機能を持つ関数で、出力された値からは入は、データの一貫性をチェックすることによ

力されたデータは逆算できないような構造にって内容の書き換えが行われていないかをチなっています。

ェックできることです。もう1つは、署名鍵にMD5は、チェックサムとしてデータの一貫性をチェックするのに使われますが、MD5は、暗号技術レベルでの安全性を持つため、通常と思いますので、確認して使用してください。

jftp://ftp.jpcert.or.jp/pub/

付属している所有者情報から誰が署名を行ったのかが分かることです。

なお、JPCERT/CCでのドキュメントに対CERT/CCやJPCERT/CCが公開しているのデータ一貫性のチェックよりも厳密にチェドキュメントにもPGPを用いての電子署名がックができます。

行われています。ユーザーが電子署名を使っするPGP署名に関しては、最後に述べますのでそちらを参考にしてください。てチェックできるようにしていれば、
JPCERT/CCのドキュメントを改ざんして配電子署名データの一貫性チェック〜Tripwire

布したり、あるいはJPCERT/CCをかたって〜PGP偽ったドキュメントを作成して配布したりするような攻撃を避けることができます。

Tripwireは、ディレクトリやファイルのイ

PGPは、公開暗号方式および慣用暗号方

ドキュメントの場合、通常テキストのまま電ンティグリティチェック（一貫性チェック）式による暗号化、ならびに電子署名が行える

子署名を行います。図2を参照してください。

を行うツールです。Tripwireは、あらかじめツールですが、ここでは電子署名について取り上げます。

既存のバイナリーファイルに対して電子署め登録しておいたファイルやディレクトリーに名を行う場合、電子署名を行ったデータを別対して一方向性ハッシュ関数の処理を行い、紙の上に書かれた文字とは違い、電子的なファイルにセーブしている場合が多く、そのハッシュ値など各種の情報のデータベースをテキストは、一部を書き換えても、その形跡場合は、チェックするためのバイナリーファ作ります（この記録は改ざんされないようには残らないため、内容の書き換え以前と書きイルと電子署名が含まれているファイルの2つプロテクションされていなければなりません）。

換え以降の違いを発見できません。そこで必を使用しなければなりません。電子署名には、次に、Tripwireで検査を行うときに、検査対要になるのが電子署名です。

いろいろな方法があります。
そのつど、配布時象となっているディレクトリーやファイルをデに付属のドキュメントなどが用意されているータベースの情報と照合し、改ざんが行われ電子署名には2つ利点があります。まず1つ

ネットワーク盗聴の兆候
ファイルの改ざん
外部からの攻撃

管理者に知らせる

各種ツール

外部からのアタック

管理者
ネットワーク内からの不正アクセス

326 INTERNET magazine 1998/4

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

初心者のためのセキュリティー講座

ます。その兆候をいち早くチェックするためた場合、ただちに警告します。
不正アクセスによる、不正なファイル改ざん、まとめのツールです。

削除などの発見や対応に効力を発揮します。

既存の入手可能なツールを活用することによって、かなり強力にサイトを不正アクセス

コマンド制限から防御したり、あるいは、不正アクセスの〜smrsh

ステータスチェック〜ifstatus

兆候や不正アクセスを受けたことを警告したりするといったことが可能になります。

sendmail用の制限つきshellです。send-管理のための手間が増えることは確かです

ifstatusは、ネットワークインターフェイスmailを設定するとき、通常のshの代わりに、が、不正アクセスを受けての深刻な被害を想のステータスをチェックするプログラムです。

smrshを設定します。UNIXのメールでは、定した場合を考えれば、決して無駄な手間に不正アクセスを行った侵入者が、ネットワー.forwardの中に ¦ programはならないと考えます。

クインターフェイスをデバッグモードやネットでき、任意のプログラムを実行することが可

サイトを管理しない方々も、このような対ワークをモニターできるモード（プレミスクエ能ですが、これが悪意による攻撃に使われる抗手段があることを知って、不正アクセスは、スモード）で使用していたりした場合、警告可能性があります。smrsh を使用すれば、きちんと対応さえとっていれば、被害にあわします。cronなどを用いて一定時間ごとに自/bin/adm/sm.bin （これはデフォルトです）ないあるいは被害を最小限に抑えることがで動チェックするようにします。のディレクトリーの中にあるコマンドしか実行きるのだということを認識して頂ければと思

不正アクセスを行った侵入者は、さらにネできなくなります。つまり、システム側で用います。

ットワーク上で盗聴するプログラムを仕掛け意した特定のコマンドしか実行ができなくなるために、ネットワークインターフェイスをネります。これにより.forwardを使用した悪意ットワークをモニターできるモードで使用しまの攻撃に対応できるようになります。

JPCERT/CCの電子署名

通常のコマンドでの検査

一部のドキュメントに対してPGPを用いてのという記述がす。そのため、デバッグモードやネットワークをモニターできるモードで使用されている場合、不正アクセスを行っている可能性がありさて、最後になりますが、JPCERT/CCの電子署名を行なっています。JPCERT/CCの通常のコマンドを使っても不正アクセスの
図2：電子署名が入ったメールの例

兆候を探ることができます。例えば、不正ア電子署名であるかどうかをチェックするため
公開鍵は、次のURLから入手できます。

クセスを行うための、ルートの実行権限を持=======ったコマンドが隠されていないかを探すような

jhttp://www.jpcert.or.jp/

場合は、ルート権限でfindを実行します。

-----BEGIN PGP SIGNED MESSAGE-----

jpcert-key.txt

コマンドの実行例

本文がここに記述されます。

% find / -uid 0 -perm +4000 -print

この公開鍵が本物であるかどうかをチェックするためにPGPはKey fingerprint（鍵の指-----BEGIN PGP SIGNATURE-----

ただし、この方法には事前にルートでの実

Version: 2.6.2

行権限を持ったコマンドのリストを作成し、
iQCVAwUBNJqbZXVP+x0t4w7BAQFw1gP/a1k
4yDO7n4avxiaH3DkxHT2reC55uC8a紋）という値を用意しています。JPCERT/CCのKey fingerprintは次の通りです。

そのリストと比較することが必要です。また
既存のコマンドに見せかけるような抜け道を

Key fingerprint = BA F4 D9 FA B8

wwjl53KR4HwQSUv8IJuwu8scMVDhL

作らないために、ルートでの実行権限を持っ

FB F0 73 57 EE 3C 2B 13 F0 48 B8Z59EPzqAXEQZOKjic7rtLZwembSWakgLgwY

た既存のコマンドに対してTripwireを使用す

PuT/3jMdmPzFZmatUw4zWVEgtRaIOるなども併用しなければいけません。

h+Z3qftD/EycwSXclzMZJnGcjlz22K2YCK1v+cUHc9Somo==Q276-----END PGP SIGNATURE----=======

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

INTERNET magazine 1998/4327

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.