Thirdware Inc. | 不正アクセスの動向

不正アクセスの動向

ネットワークセキュリティに関与している人たちにとって、クリスマス頃から年末年始にかけての1週間ちょっとは、通常よりも緊張する時期です。この時期はネットワークの管理監視も手薄になりがちですから、クラッカーが暗躍するわけです。実際inn のセキュリティホールを狙った大規模なアタックが、96年末からの年末年始休暇シーズンにありました。

昨年12月頃、知り合いのセキュリティ専門家と「今年は何かあるだろうか」と予想しあいました。いくつか考えられるものとして挙ったのが、

CGIの不備を狙ったWWWサーバへのアタック
land.c、teardropなど(後述)のDoSアタック
(DoSはDenial of Serviceの略で、不正なパケットを多数送り付けて標的サーバをサービス不能に陥れる攻撃の総称です)
メール中継攻撃、メール爆撃など電子メールの悪用

などでした。

何社かのサーバを管理していることもあり、私も警戒してログ監視などを行ったのですが、私が知る限りでは、結果としてたいしたことはなかったようです。

さて今回は、JPCERT/CCが1月に発表した不正アクセスの動向に関する資料、海外のメーリングリストで話題になったこと、そしてカーネルやいくつかのソフトウェアの最新バージョン情報などを紹介します。

JPCERT/CCは、不正なシステム侵入に対する緊急対応を中心に、インターネットセキュリティの情報収集・分析、再発防止策の検討、セキュリティ技術の教育・啓発活動を行っている組織です(http://www.jpcert.or.jp)。不正アクセスを受けた場合、JPCERT/CCに連絡すれば、被害状況の分析、対策へのアドバイスなど受けることができます。

JPCERT/CCでは1月16日に「不正アクセスの動向」(JPCERT-E-NL-98-0001-01)という報告をまとめ、アナウンス用メーリングリスト、Webページなどに公開しました(http://www.jpcert.or.jp/nl/98-0001/)。これは97年10月から12月までの3ヶ月間にJPCERTに連絡があった不正アクセス122件の傾向を分析したものです。

これによると、この期間の不正アクセスの主な手口は、次の4種類でした(以下の数字は今回の報告件数を示しただけであって、実際の比率を反映している保証はありません)。

IMAPサーバのセキュリティホールへのアタック(38サイト)
WebサーバのCGIプログラムを悪用したアタック(36サイト)
システムへの不正侵入(24サイト)
電子メールの不正な中継と電子メール爆撃(21サイト)

私が「あれっ」と思ったのは、依然としてIMAPサーバへのアタックが繰り返されていたことです。昨年前半に相当話題になったことだし、対応済みの IMAP4rev1が利用可能になっているため、収まりつつあるのではないかと思っていたのです。まだ続いているようですから、IMAPが必要でない場合は/etc/inetd.confのIMAPに対応する次のような行をコメントアウトするか、必要な場合はIMAP4rev1以降のバージョンにバージョンアップしてください。

imap stream tcp nowait root /usr/sbin/tcpd imapd

CGI プログラムの悪用は最近もっともポピュラーなもののようです。前回も書きましたので詳細は省略しますが、cgi-binディレクトリにphfというスクリプトがあったらただちに削除する、Count.cgiというアクセスカウンタを使っていたらバージョン2.4以上に上げる、CGIスクリプトでユーザから受け取った値を不用意にシェルに渡さない、などの対応が必要です。

不正侵入は、上記のアタックやパケット盗聴によってパスワードファイルを不正に入手した事例が実際にあったようです。不正侵入については、後でさらに詳しく書きます。

最後の電子メール関連のアタックは、spammingと並んで今後頭が痛い問題になりそうです。sendmailの最近のバージョンでは、他のドメインから別の他のドメインに宛てたメールの処理を拒否するルールセットが使えます。身に覚えのないメールの中継に使われてトラブルに巻き込まれることのないよう、ただちにこのルールセットを採用すべきでしょう。

【Linux Japan Vol.7 掲載記事を加筆修正】

前へ戻る次へ