最 小コストで最 大 限 の 不 正 行 為 対 策

すでに身近なファイアーウォール
ファイアーウォールという言葉を聞くと、どうしても規模の大きなサイトが行うことであり、小規模サイトには関係がないように聞こえてしまいます。しかし、セキュリティーの本質的な部分においては、サイトの規模は関係ありません。
確かに今までファイアーウォールを作るとなると、高価なハードウェアや専用のソフトウェアを購入せざるを得ないという状況にありました。小規模サイトでは金銭的な負担がかかることは大変な問題です。しかし、現在Linuxではこういった問題は過去のことだといえる

セキュリティー講座

はファイアーウォール専用にチューニングした実践でしょう。128Kbps〜256Kbps程度の回線速度を対象としたファイアーウォールの構築ならば、旧式のPCを再利用することで十分に対応できます。たぶん486DX2程度のCPUでも賄えると思います。
もちろん、そのオペレーティングシステムにLinuxを使います。これもわざわざ買い求める必要はありません。本誌1999年1月号付録
CD-ROMに入っているRedhat 5.2を用いればいいでしょう。

今回はファイアーウォールの基本的な部分を考えてみましょう。まだLinuxに触らないので、がっかりされる方もいらっしゃると思いますが、このような基ファイアーウォールとは何か礎的な技術や知識の蓄積は重要なのです。もし基礎的な知識がないままLinuxの設定を参考に書いてある設定例どおりに行ったとしても、何が正しくて、何今まではファイアーウォールも高嶺の花だが正しくないかの判断ができません。
「急がば回れ」のことわざどおり、まずはったので、「ファイアーウォールという言葉をじっくり足元を固めましょう。

聞いたことはあるが、その中身についてはよくは知らない」という人も多いのではないで第2 回しょうか。そこで確認の意味も含めてファイファイアーウォールを知る

図1

ファイアーウォールファイアーウォール外部

ソフトウェアコンサルタント すずきひろのぶ

内部ネットワーク
インターネット

ファイアーウォールは外部から不必要な通信を遮断し、内部から漏れてはいけない情報を遮断する。これによって、外部からの不正な侵入を防ぐ。

306 INTERNET magazine 1999/3

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

デュアルホームホスト構造

アーウォールとは何かを説明します。

さて、一般的な考え方としてこのホストが置かれたポジションは、インターネット側とファイアーウォールとは内部の保護されたネットワークとインターネットのような外部のデュアルホームホスト構造の特徴は、デュ内側ネットワークのセグメントを接続させるネットワークとの間のアクセスを制御するシ

アルホームホストとなるコンピュータを経由しために（ルーターのように機能させて）ルーステムです。システムといっても1つのルータて、内部と外部のパケットの往来を完全に一ティングを行うべき場所です。しかし、このーだけで構成されている場合もありますし、度は遮断する方法です。

デュアルホームホスト構造では直接は橋渡し複数のネットワーク機材やホストから構成されている場合もあります（図1）。

多くの場合、コンピュータに2 枚のNIC（ネットワークインターフェイスカード）をイ

ファイアーウォールの 構 造をしません。つまりルーティングの機能はありません。

ンストールし、一方を外部に接続しているIP

したがって、インターネット側（外部）かルーターに、もう一方を内部のネットワークらのIPパケットは、直接は内部に入ることはセグメントに接続します。

ありません。しかし、内部からはホストと通信でき、外部からもホストと通信できる状態

ファイアーウォールと一口にいっても、いこのほかにもコンピュータのシリアルI/Oにろいろな構造が存在します。ここでは典型的

ISDN TAをつないでPPPでネットワーク接続な3つの構造を紹介します（図2、図3、図4）。

を行い、NICを内部ネットワーク側に接続す

そこで、ホスト上で特定の通信に対してのここから各構造の違いを検討し、どの構造をる方法は、必要な機材も少なくて済みますし、みフォワードするサービスを提供します。こ採用するかという話になるのですが、先に結論

小規模サイトでは割と一般的な方法だと思いのサービスの典型的なのがHTTPプロキシーから申し上げますと、本連載ではより本格的ます。

（WWWプロキシー）です。内部からホスト上のにする必要があります。

なスクリーンドサブネット構造を導入します。

もちろん、どちらもLinuxで構築することHTTPプロキシーを経由することによって、外残念なことに、以前は機材コスト負担の問が可能です。本連載でも2枚のNICを使うこ

部からは内部のネットワークがどのようにな題があり、小規模サイトではあまり使われまとになりますが、この詳細に関しては今後のっているかの情報を消すことができます（図5）。

せんでした。

連載の中で説明していきます。

図2

図3

デュアルホームホスト

スクリーンドホスト

図4

スクリーンドサブネット

内部ネットワーク

内部ネットワークサーバー

内部ネットワーク

ルーター

NIC
インターネット

もちろん、このようなプロキシーはHTTPだ

インターネット

TCP/IP

ルーター
インターネット

プロキシー

ルーター
サーバーとプロキシーの兼用

ファイアーウォールサーバー

ファイアーウォールファイアーウォール

デュアルホームホストは1台のホストコンピュータでプロキシー機能と各種サーバー（WWWや電子メールサーバー）を稼動させる。外部ネットワークと内部ネットワークのルーティングは行わず、プロキシーを経由させて外部と内部のネットワーク通信を可能にする。

図5

スクリーンドホストはルーター機能とサーバー（WWWや電子メールサーバー）を異なるホストコンピュータ上で稼動させる。ルーターでパケットフィルタリングをすることで、外部から通信できるのはサーバーのみで、内部ネットワークには到達できない。

HTTPプロキシーの役割

図6

スクリーンドサブネットはスクリーンドホストを拡張したもので、内部ネットワークの直前にルーターを置いて、パケットフィルタリングをしている。つまり、外部ネットワーク用のルーターと内部ネットワーク用のルーターの2つのルーターを用意する。この2つのルーターにはさまれた境界ネットワークをDMZ（非武装地帯）と呼び、外部と通信する各種サーバー（WWWや電子メールサーバー）を置く。

socksのしくみ

HTTP
サーバー

HTTPプロキシー

HTTP

socks

TPHT

TELNET

？

TE
LN
ET

インターネット

TELNET
サーバー

キャッシュ

socksサーバー

内部ネットワーク

内部ネットワーク

内部からのアクセスは直接外部に出ることはない。また、すでにHTTPプロキシーがキャッシュしているページであれば外部にすらアクセスしない。

socksは単一の通信だけを代理アクセスするものではなく、さまざまな通信の代理をするものだ。たとえば、HTTPやTELNETとといった通信ができる。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

INTERNET magazine 1999/3307

けではありません。FTPやほかの通信専用のスクリーンドホスト 構 造アドレスなどが変換されるため、副作用として内部のネットワークの状態をおおい隠すこものもあります。特定の通信用プロキシーに対して、通信は限定せずにTCPの接続に対しスクリーンドホスト構造では、まずルータとになります。まさにマスカレード（仮面で仮装する）状態になります。て汎用的にサービスを行うSOCKSのようなーによりパケットのフィルタリングを行い、外プロキシーもあります（図6）。ただし、すべ部に公開するのは専用のサーバーだけに限り、NATは、プライベートIPアドレスとグローての通信に対してプロキシーの機能が実行でそれ以外の外部からのIPパケットは一切遮断

バルIPアドレスが「一対一」に対応していまきるとは限りません。プロキシーも万能ではするという方法です。一方、内部から外部へす（図7）。一方、プライベートIPアドレスとない点に注意してください。なお、プロキシ接続できる通信は、ごく限られたものにする

グローバルIPアドレスが「多対一」に対応しーの標準化に関しての情報は次のURLが参考という方法を採ります。これは小規模サイトているのが、IPマスカレードです（図8）。ほになるでしょう。

において最も一般的なファイアーウォールのとんどのサービスの場合、IPマスカレードで構造として用いられているものです。

十分ですが、ストリーミングコンテンツやネ

jhttp://web.ansi.org/public/iisp/

現在ではダイアルアップルーターやIPルーットワークゲームなど今までのTCP/IPネット

std̲need/need145.html

ターのほとんどは、プライベートIPアドレスワークでできていたすべてのサービスに対しとグローバルIPアドレスを変換するNAT（IPて、必ずしも有効ではないという問題がありこのように単純な構造で効果的に見えるデNetwork Address Translator）やIPマスカます。実際のルーター製品では、NATとIPマュアルホームホスト構造ですが、最大の難点レード（Masquerade：仮装や変装という意

スカレードの両方の特徴を備えるハイブリッは何でしょうか？

味）の機能を持っています。これもまた1つド化した機能を持たせて解決しています。

デュアルホームホスト構造では、少なくとのフィルタリングの役目を果たすことができ、このように、すいぶん便利で効果的なスクもマルチユーザーモードでLinuxを動作させな内部のネットワークが直接外部にさらされる

リーンドホスト構造ですが、欠点があります。

ければなりません。万が一、ホスト上で動かことを回避できます。このように、始めからそれは、外部に公開しているサーバーが万がしている各種のサービスにぜい弱性（セキュ用意されている機能を使い、効果的にフィル一クラックされてしまったら、内部ネットワリティー上のバグ）があったり、設定に問題タリングを行うことができます。

ークに自由にアクセスできてしまうことです。

があったりして、外部からホストをクラックここで少しNATとIPマスカレードの話をしサーバーのホストマシン上で、ネットワーク盗されてrootアカウントの乗っ取りが行われたましょう。NATやIPマスカレードの機能は、聴を行うプログラムを仕掛けられてしまったとしましょう。デュアルホームホスト構造は、枯渇するインターネット上のIPアドレス空間

場合、内部ネットワークのセキュリティーはこのホストだけがセキュリティーの関所としてを有効に使おうという視点から、グローバルズタズタになってしまいます。

機能します。rootアカウントが乗っ取られるIPアドレス（インターネット側に割り当てら外部からサーバーにログインアクセスを一のは、関所が陥落したと同じことですから、れた、世界で唯一のIPアドレス）とプライベ切させないように、パケットをフィルタリング

ネットワークの防御がまったくできなくなってートIPアドレス（閉じたネットワークで自由してアクセスできるサービスを制限する、ましまいます。デュアルホームホスト構造にはに付けられるIPアドレス）を変換するというた、サーバーから外部へもパケットを送出しな

このような問題があります。

ものです。内部のネットワークと外部のネッいといった制限を加えることによって、かな

トワークとでやりとりする際に、パケットのIPり強力なサイトセキュリティーを確保できま

図7

NATのしくみ

図8

グローバルIPアドレス

IPマスカレードのしくみ

プライベートIPアドレス
ルーバ
グロ変換

IPマスカレード
インターネット

NAT
インターネット

内部ネットワーク

NATはプライベートIPアドレスとグローバルIPアドレスを1対1で対応させる。多くの内部ネットワークのコンピュータが同時に外部のコンピュータと通信するには、複数のグローバルIPアドレスが必要となる。

308 INTERNET magazine 1999/3

レス
IPアド

内部ネットワーク
IPマスカレードは複数のプライベートIPアドレスと1つのグローバルIPアドレスを対応付ける。実際には、ポート番号というサブアドレスのようなものを変換して、1対多の通信ができるようにしている。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D最 小コストで最 大 限 の 不 正 行 為 対 策

すが、構造的にはまだ改善の余地があります。

スクリーンドサブネット構造

トロイの木馬タイプの悪意のあるプログラム

塞ホストもLinuxを用いて構築します。新たが送り込まれた場合などに対して防御できるな高額出費は必要なく、本格的なファイアーようにするためです。トロイの木馬は非常にウォールを作ることができます。

厄介です。たとえばWWWブラウザーなどでスクリーンドホスト構造をさらに発展させソフトウェアをダウンロードして、それが自動たものがスクリーンドサブネット構造だといえ的に自己解凍を始めるようなことは、多くのるでしょう。

みなさんが日頃目にしていると思います。

複数の要塞ホスト
スクリーンドホスト構造とスクリーンドサ

先ほど説明したように、外部に公開していしかし、このような便利なメカニズム自体ブネット構造の話の中では暗黙のうちに要塞るサーバーは当然ながら攻撃を受ける最前線が、潜在的にトロイの木馬を取り入れてしまホストは1台であることを想定していました。に位置するわけです。これらのホストは徹底う危険性を持っています。電子メールに添付本連載でも1台で進めます。マシンが複数台してセキュリティーを強化しなければなりませされているプログラムを自動的に実行してし用意できるようであれば、境界ネットワークん。セキュリティーの専門家はこのようなホ

まい、PCがコンピュータウイルスに感染して上に複数の要塞ホストを用意して、サービスストを要塞ホスト（Bastion Host）と呼びましまうような場合がありますが、これもトロ別に割り当てるというのもよい方法です。

す。しかし、物事に完全はありません、常にイの木馬タイプの攻撃が可能であるというこ万が一を考えて二重三重の防御を行います。とを示唆しています。

たとえば、WWWのサービスとFTPのサービスを1つのホストとし、別のホストでは電子スクリーンドサブネット構造では、外部とスクリーンドサブネット構造を使えば、要メール（SMTP、POP3、IMAP4）のサービ内部の間にサブネットをはさみ、そこに要塞塞ホストが知らぬ間に乗っ取られたり、トロスを提供するというのもよい選択です。こうホストを用意します。このサブネットをDMZイの木馬タイプの攻撃が仕掛けられていたりすれば、設定ミスやセキュリティーホールを（De-Militarized Zone：直訳すると非武装地しても、内部のネットワーク上に流れる情報持ったcgi-binを使ったためにWWWサーバー帯）あるいは境界ネットワーク（perimeterに対してネットワークの盗聴をするようなこが攻撃や侵入を受けても、ユーザーの電子メnetwork）と呼びます。最悪の場合、要塞とは非常に困難です。このように、たとえ1ールはその時点ではまだ安全です。

ホストが陥落しても、被害が内部ネットワーつの穴を見つけても、多重の防御線を張ってまた、WWWのサービスでも外部からアククまで及ぶことを阻止します。

守れば十分に防御することができます（図9）。

セス可能なWWWサーバーを動かすホストと、パケットのフィルタリングに関しては、基たしかに、スクリーンドサブネット構造をWWWのコンテンツをWWWサーバーのホス本的にスクリーンドホストと同じです。ただ構築するには少々手間はかかりますが、そのトからの読み取りだけができるNFSで提供すし、それが外側と内側の二重になります。ス

手間に見合うだけの効果はあります。出費とるホストに分割してしまうのも1つの案です。

クリーンドホストでは、内部からの攻撃はほいう面でいえば、本連載では、外部に接続す

もちろん、NATやIPマスカレードを使ってフとんど無防備でしたが、今度はサブネットでるルーターは広く使われているダイアルアップィルタリングしているので、外部からはコン区切られますので、内部から境界ネットワールーターやIPルーターを前提としていますし、テンツを保持するサーバーは直接アクセスすク上にある要塞ホストへのパケットに対して内部に接続するルーターは古いPCを再利用ることはできません。この方法を使えば、セもフィルタリングができます。

してLinuxをインストールし、ルーターの役目キュリティーバグのあるcgi-binコマンドを経を果たすための設定を行います。もちろん要由してコンテンツを書き換えようとしても書これは内部にあるクライアントのマシンに、き換えられません（ただし、当然、WWWサ
図9スクリーンドサブネットならトロイの木馬も防げるDMZ（境界ネットワーク）

ーバー自体が危険な状況にある点は理解してトロイの木馬ください）。
このようにいろいろな応用が考えられます。

要塞ホスト
ルー
ター
インターネット内部
ルーター

おわりに次回は、使っていない古いPCにLinuxをインストールし、2枚のNICを装着してIPフィル

トロイの木馬タイプの不正ソフトを内部ネットワークで実行しても、内部ルーターが通信を遮断するので、被害を食い止められる。

タリングの設定ができるまでを解説する予定です。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

INTERNET magazine 1999/3309

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.