Thirdware Inc. | 「踏み台」の恐さ

「踏み台」の恐さ

2000年に入って、日本の官公庁のホームページが乗っ取られ、コンテンツが改ざんされるという「事件」が多発しました。かと思うと、YAHOOその他の有名なサイトが異常な数のアクセスによりダウンする(DDoSアタック)という「事件」が起きています。

2月17日付けの新聞によると、東京の某大学を経由して省庁へのアタックが行われていたことが判明し、アタックに使われたサーバのハードディスクが警察に押収されたそうです。

YAHOOなどのダウンの「事件」では、通常では考えられない数のホストから、通常では考えられない頻度のアクセスが集中的に発生し、回線、ルータ、サーバなどが対応しきれなくなってしまった、と報道されています。

これらの背後には、「クラッカーは自分が自由に操れる多数のホスト(サーバ)を持っている」という事実があります。もちろん、クラッカーさんが個人的に多数のサーバを持っているわけではありません。彼らは、別のページで紹介したようなさまざまな手段を使って、自分が自由に出入りできる第三者のホストをストックしているのです。こういったホストを「踏み台」と呼んでいます。

省庁のコンテンツ改ざんの際には、すぐに足がつかないようにするために、数段階の「踏み台」を経由して標的のWWWサーバに侵入したものと思われます。その足どりを消すには、それぞれの「踏み台」ホストのログファイルを書き換えたり消してしまえばいいわけです。

最近のDoSアタックは、従来のSmurfなどとはまったく異なった手法が使われているのが特徴です。クラッカーは、世界中に点在する自分の「踏み台」に特別なプログラムを仕掛け、一定の時間になったら一斉に標的のサーバにきわめて多数のアクセスを行います。標的サーバ側から見たら、アクセス元別では異常なアクセスとは見なしにくいため、対策が難しくなります。

●どんなサーバも狙われている

「踏み台」は、クラッカーが自由にログインできさえすれば、どこにあるどんなコンピュータであってもかまいません。一度ログインできるようになり、本来の正当な所有者(やその管理者)に気付かれない間、それはクラッカーが所有するのと同じことになります。

たぶん、「踏み台」として使われている間は、そのコンピュータはほとんど正常に本来の動作も続けるだろうと思います。気付かれないのが一番だからです。ただし、気付かれないための工夫は必要です。たとえばログイン履歴が記録されるログ等を書き換える、自分の存在を見せないようにするためにシステムプログラムの一部を置き換えるなど。

インターネットには、そこに接続されたすべてのドメインの台帳があります。そこには誰でもアクセスでき、ちょっとした技術があれば、任意のドメインのIP アドレスやホスト名の情報が取り出せます。これがDNSとして知られているシステムです。DNSにアクセスしなくとも、ブラウザで検索するなどの方法で、膨大な数のドメインに関する情報は入手可能です。数万個のサーバのホスト名を入手し、自動化したツールで順番に侵入を試みるといったことは、クラッカーにとっては朝飯前なのです。

侵入が可能で管理が手薄なサーバ、これは多くの場合、どちらかというと無名な会社・団体に多いようです。有名なサーバは標的として狙われ、そうでないすべてのサーバは「踏み台」として狙われている、これが今日の状況でしょう。

これまで、私は、セキュリティを重視したサーバ構築・運用の必要性を多くの場で訴えてきました。しかし少数ではあっても、ときどき「どうせウチのサーバは入られて困るようなデータは置いていない」という方もいました。しかしそうではないことを、ぜひ知っておいていただきたいと思います。

●「踏み台」にされるまでのステップ

一般的に、いきなり侵入されることはないと考えていいでしょう。そこにはいくつかの攻略ステップがあります。「踏み台」にされないよう対策を考える上で、ステップを知っておくことは大切です。

第１ステップ---スクリーニング
最初のステップは、侵入の手がかりを探すことです。数万のホスト名リストから、侵入を試みる価値があるホストを選び出す段階(スクリーニング)と言ってもいいでしょう。

ここで使われる代表的なツールは、ポートスキャンです。TCP/IPの世界では、メール、WWW、DNSなどの通信タイプごとに特定の「ポート」が使われます。いくつかのツールがあって、どのサーバがどのポート宛のアクセスに応答するかを自動的に調べることができます。さらに、応答したソフトウェアのバージョンもわかります。

ポートスキャンを使わなくても、メールのヘッダ部分に使われているメールサーバのバージョンが書かれていることもあります。

どのバージョンにどういったバグがあるかといった「弱点」に関する情報は、インターネット上にごろごろ転がっています。さらに特定のバージョンのソフトウェアを攻略するためのツールも、心得さえあればインターネット上で入手できます。
第２ステップ---攻略
次のステップは実際に侵入を試みる攻略段階です。上に書いたようなツールを使う、さまざまな手段で有効なユーザアカウントとパスワードを入手するなど、攻略方法も多彩です。

ここで特に気を付けたいのが、telnet、ftpのサーバ機能です。これらは、システムへのログインを受け付けます。つまり表玄関を正式に開くようなものです。多くのLinuxディストリビューションは、今日ではroot権限でtelnetでログインできないようになっています。しかし、一般ユーザ権限での不正なログインを受け付けてしまえば、root権限を奪われるのは時間の問題だと考えていいでしょう。
第３ステップ---自由な出入り口の確保
どのような方法にせよ、いったんroot権限で侵入できれば、後はクラッカーの思うがままです。システムログを書き換える、自分の存在を見えなくする、いつでも簡単に出入りできるような手段(バックドア)を作り出す、などの手段を駆使して、そのホストを「踏み台」として確保するわけです。

●「踏み台」にされないために

第３ステップまで入り込まれたら、不正侵入は検出しにくくなります。その前の段階で食い止めなければなりません。そのための手立てを、通常のビルの防犯になぞらえて紹介しましょう。

まず、出入口をできるだけ少なくすることです。警備の手薄な窓や出入口は塞いでしまうべきです。メールサーバとして使っているのだったら、メール以外のポートを無効にすべきです。あるポートを無効にするということは、そのポートを使うサーバプログラムを起動しないということに尽きます。

次に、鍵をできるだけ新方式のものに取り換えるべきです。侵入技術は日々進歩しています。サーバプログラムにもセキュリティ上の弱点(セキュリティホール)がしばしば見つかります。ここ１～２年の間にも、DNSサーバ、POPサーバその他多くのサーバプログラムにセキュリティホールが見つかっているのが現状です。したがって、既知のセキュリティホールをすべて塞いだ最新バージョンをつねに使うべきです。たとえば、DNSサーバのbindの最新バージョンは8.2.2、メールサーバのsendmailは8.9.3です(2000年2月現在)。これより旧いバージョンは、何らかのセキュリティホールが見つかっています。

そして、日々の出入りをしっかりとチェックすることです。どんな小さな家であっても、「ドアを開け放って誰が入ってこようとチェックしない」ということはしないはずです。会社では外来客の身元を記録することが当り前になっています。セキュリティに厳しい場合は、ICカードその他で認証しない限り、ドアは開かないようにしています。警備員が定期的に巡回点検することもあります。サーバでは、これはログのチェックやシステムファイルのチェックなどにあたります。定期的にログを点検し、システムファイルが置き換えられていないか点検しましょう。もっといいのは、ログを見張るプログラムを使って、異常なメッセージをその場でキャッチすることです。

これらのアクセス制御や監視に役立つプログラムも多数知られていますが、もっともベーシックで効果的なものに、TCP wrapper、swatch、tripwireなどがあります。TCP wrapperはほとんどのLinuxディストリビューションが標準で採用しています。ただし、適切に設定しない限りアクセス制御が働かないのが普通です。注意してください。

前へ戻る

Search This Site

「踏み台」の恐さ

●どんなサーバも狙われている

●「踏み台」にされるまでのステップ

●「踏み台」にされないために

過去記事のアーカイブ

関連リンク

お知らせ