[研究報告の目次へ戻る]

目次

• 2.1 環境上の特徴
• 2.2 運用上の特徴
• 2.3 組織的な課題

• 4.1 メイルの不正中継
• 4.2 ホストの不正利用
• 4.3 不正利用対策の効果

1 はじめに

インターネットはすでに一般的な家庭にまで広がりをみせており、 大学がインターネットを利用できる環境にあることは当然であるという感覚がある。 これまで山梨大学では、 キャンパスネットワークの利用を促進する活動が主体であったが、 ネットワーク環境の広がりを享受すると同時に、悪意を持った利用への対応を考え ていく必要性も高まってきている⁽¹⁾。
また、教育機関としての大学の役割上も、セキュリティ への意識が欠如した人間を輩出することは避けなければならない。

セキュリティに関する対策を行なうことは、組織内部の防衛だけでなく、インターネット 全体に対する責任でもある。
悪意を持ったネットワーク経由の攻撃を受けるパターンを二種類に大別してみる。

1. 意図外のアクセスを受け、 システムでのサービスの停止を余儀なくされる。 あるいは意図外の情報が流出したり、データを改竄されたりする。
2. 意図外の侵入者にシステム自体を利用される

本稿では、YINS に関わるセキュリティ関連の事例や対応、課題を紹介するが、 問題の性質上、対策が不完全な部分の情報を提供してしまうことがないように、 具体的な記述を避ける部分があることを事前にお断りしておく。

2 学内のネットワーク環境とセキュリティ

山梨大学内のコンピュータ群は、 各家庭の多くの PC や企業内のコンピュータ群よりも外部からの攻撃を受けやすい 特徴を有している。

2.1 環境上の特徴

• ほとんどのコンピュータが常時接続可能なネットワーク上にある。
• 24 時間運転を行なっているコンピュータ、特に UNIX 系 OS の運用例が多い。
• ファイアウォールを介さずにインターネットと通信できるコンピュータが多い。

2.2 運用上の特徴

• 導入時に在学した学生・大学院生に管理が任されることが多く、 データの継承の不完全さから、次年度以降のソフトウェアや設定の更新が難しい サーバホストが存在する。
• 地方に存在する大学であることから、攻撃に対する意識が低い部局が存在する。
• 記憶領域を利用記録の長期保存に割り当てる余力がなく、不正利用の検知が 難しい場合がある。

2.3 組織的な課題

1986 年に当時の計算機科学科が JUNET に UUCP で参加した時点から起算すると、 山梨大学のインターネットワークへの参加は、 日本国内の大学としては比較的早い部類に入る。 その後、対外的には 1992 年のTRAIN への参加、1998 年 1 月の SINET への参加に 至るが、学内のネットワークも順調に発達してきた ⁽²⁾。
しかし、1998年2月現在、 山梨大学のネットワークを管理する組織や規約は確定されていない。
現状では、キャンパスネットワーク基幹の整備とインターネット接続ゲートウェイの 設置管理とを行なっている関係で、 総合情報処理センターが主導して実質的な立案や対策を担当している． セキュリティに関わる活動はキャンパス内のネットワーク全体を 制約することがあるので，強制力を持つ対策の実施に対するバックボーンとしての 全学的な組織あるいは規約の策定が組織的な課題となっている。

3 セキュリティ情報の配布体制

コンピュータ緊急対応センター(JPCERT/CC) ⁽³⁾ から、 セキュリティに関する情報が随時メイルで各組織の技術担当者あてに配布される。 この中には JPCERT/CC 自身が作成する情報と、 CERT Coordination Center(CERT/CC) ⁽⁴⁾ が発信するレポートとが含まれている。
レポートの対象や重要性に応じ、これらの情報を学内の各サブネット管理者へ通知 したり、あるいは学内ローカルネットニュースに転載している。 CERT レポートは英語で記述されているので、重要な情報に関しては日本語の抄訳を 添付して注目度を高める工夫が必要である。 国内の他組織でも同様な状況が存在すると予想されるが、JPCERT では CERT レポート 自体の全文翻訳作成は実施していない。 ボランティアの手によって翻訳版が配布されることがある程度である。 重要な情報に関しては JPCERT は日本語での文書を別に作成している。
また、CERT/CC や JPCERT/CC からの情報は UNIX 系OS のサーバソフトウェアに関するも のが多く、 機種や OS に特化したセキュリティ情報は必ずしも豊富ではないので、 JPCERT/CC の Web ページにリンクされたその他の Web サイトや、 セキュリティ情報を掲載するメイルマガジン、メイルリスト等で補完する必要がある。

4 代表的な事例と対応

近年の事例は以下のような特徴を持つ。

• JPCERT あるいは CERT からのレポートの配布と同時期に 当該技術による侵入の形跡が見られることが多い。 つまり、侵入者が山梨大学を見逃してくれることは少ない。
• 年末年始や8月などの休暇期間に、 既知の対策済の技術による侵入を試みた形跡が見られることが多い。 休眠中ユーザが確実に多数存在する大学のコンピュータシステムは、 明らかに典型的な攻撃対象になっている。

［被害状況］

1997年、 メイル不正中継に関する情報 ⁽³⁾ が告知された時期に、 情報処理センター（当時）のメイルサーバの１つが この被害を受けて配送に障害が出ていた。 1997 年には学内の複数のメイルサーバがこの被害を受けており、そのうち三件 については学外からの指摘により判明した。UNIX 系 OS のサーバに加えて Windows NT 系のサーバも被害にあったが、JPCERT の情報には Windows 系サーバ に関する情報が乏しく、当該部署では対策にやや時間を要した。

［学内向け対策の広報］

総合情報処理センター委員の協力により、最低限の対策マニュアルと バイナリファイルを作成し、 Web ページ を使って広報を行なった。 ⁽⁵⁾

［センターシステムでの対策］

メイルサーバソフトウェアは、常に新たな攻撃技術が開発される部分である。 1998 年に導入された総合情報処理センターのシステムでは、 単純で高い効果の得られる設定を採用した ⁽⁶⁾。

1. 学内ユーザがメイルを読み書きするホスト群には、 学外からの SMTP 接続を許可しない。
2. アプリケーションサーバあてのメイルは全てメイルサーバホスト （mail.yamanashi.ac.jp）が中継する。 このメイルサーバホストのサーバソフトを最新版に保つと共に、 利用記録を分析する。

4.2 ホストの不正利用

総合情報処理センターには、年度の始まりに大量の初心者がユーザ登録される。 コンピュータシステムの利用経験の少ない、あるいは全くない初心者に対し、 利用の促進を行なうのと同時に パスワードや入室カードなどを各自で管理することの重要性を認識してもらう 必要がある。
また、大学の研究室のシステムでは、2.2 節に記述した運用上の問題の他に、 卒業した学生や一時的な共同研究者などユーザが登録されたままになるなど、 いわゆる休眠アカウントが発生しやすい。

［不正利用の発生概況］

直接に学内のシステムのデータが改竄されたりする例よりも、 踏み台クラッキングの中継基地になる被害が多い。

1. 数年前にインストールされたままだった UNIX 系 OS のホストに 存在するセキュリティホールを突かれ、管理者権限が利用された。
2. 数年前にインストールされたままだった Web サーバホストの セキュリティホールを攻撃され、サーバがハングアップした。
3. パスワードが甘い休眠アカウントが不正利用されていた。
4. 管理者のデータ更新作業に利用するために書き込み可能な ディレクトリを作成してあった anonymous ftp サーバが、意図外のデータ蓄積に利用されていた。

近年は学内に LINUX や FreeBSD を利用するホストが増加しているので、 上記(a)のケースが今後発生しないように周知をはかる必要がある。 本章の最初の記述の繰り返しになるが、 「侵入を試みる者は網羅的にインターネット上の弱者を探しており、 セキュリティ上の欠陥を見逃してくれることは少ない」という事実を 広く認識してもらう必要がある。

［センターシステムでの対策］

• 利用しない機能に対するデーモン等は積極的に止める。
• 利用記録は長期間保存する。
• セキュリティに関する情報には敏感に対応する。
• ユーザのパスワードに関しては複数のツールを併用して安全性を チェックし、ユーザへの指導を行なう。

4.3 不正利用対策の効果

sendmail に関する対策は一応の効果を見ており、 「山梨大学のホストからBulk Mail が届いた」という学外からの指摘は 1998 年度 には到着しなかった。
ホストの不正利用に関する報告は 1998 年度にも数件が存在した。 比較的早期にインターネットの利用を開始した部署での前節 a, b のケースがあり、 ソフトウェアを持続的に更新することの難しさが露呈している。

総合情報処理センターでのメイルシステムの設定では、前節の基本設定に加え

• 総合情報処理センターから外部へ送信されるメイルも、 全てメイルサーバホスト（mail.yamanashi.ac.jp）が中継する。 学内ドメインのアドレス以外を発信人としたメイルの中継は認めない。
• メイルサーバホストでの中継時には、DNS によるアドレスチェックなど 発信データの正当性のチェックを行なう。

1. 他組織のホストを不正利用して送信された Bulk Mail の受信は多数拒否され る。
2. 自分のアドレスを誤設定したメイルは送信されない。 返信不可能なメイルを送ることで受信者に迷惑をかけることをある程度防止 している。

5 内部ユーザの不正利用

インターネットの広がりとともに、高校までの友人知人との連絡や 就職活動にインターネットを活用することが常識化し、 定期的にメイルツールや Web ブラウザを利用する習慣を持つ学生が多い。 かつてのような 「情報処理の演習以外にはシステムを利用しないユーザ」は激減したため、 休眠アカウントによる被害の可能性は低くなっている。 しかし、ネットワーク経由での情報交換を通じ、 「技術が高くモラルが低い」ユーザが知人に攻撃方法を教授したり、 逆に教唆を受けて学内のユーザがシステムへのアタックを行なう可能性は高くなってい る。

件数は少ないが、学内のユーザが攻撃主体になった事例も存在する。 主としてユーザ端末へのアタックである。

• Windows-NT システム領域上に個人的なデータ作成が行なわれた

6 まとめ

システムアタックの技術の発達はインターネットの発達と同様に活発なものである。 対策に終了というものはなく、 常にある時点での安全と利便性とのトレードオフを計る作業が必要である。 最初に述べたように、セキュリティ対策はインターネット社会の一員としての 責任の問題であるから、 「各自の手元のホストにはあまり重要な情報が格納されていないから特に対策は 不要」とする考え方は通用しない。 対策を怠ったままで運用を続けると手元のホストの社会的な信用を失うこととなり、 結局はネットワークの利用に不都合を被る結果になる。 この具体的な例としては「メイルの不正中継を許すシステムのブラックリスト」 （例えば MAPS ⁽⁸⁾）が挙げられる。 現在、多くの組織のメイルサーバで、このようなブラックリストに掲載された ホストからのメイルを一切受理しないような設定が行なわれている。

インターネットにおいては、対策が未発表のセキュリティに関する情報や、 サービス運用の落とし穴に関する情報が 「裏情報」といったキーワードで流通している。 セキュリティ対策の専門部署や特定の予算を持たない状況では、 このような「いち早く入手することに価値があり、その価値は長続きしない」タイプの 情報の収集に関しては、 大学における人材資源としての学生に重要な役割が期待されるだろう。
一般に、攻撃が可能なレベルの技術を持たない者には防御の仕組みも理解できない。 技術の良質な使い方だけを行なう人材が生まれるように、 情報モラルに関する教育と実践活動とが期待される。

参 考 文 献

1. 力武健次: 『プロフェッショナルインターネット』, オーム社,1998. [本文に戻る]

2. 山梨大学:Campus Net および Internetworking の歴史, http://www.yamanashi.ac.jp/network.html. [本文に戻る].

3. コンピュータ緊急対応センター, http://www.jpcert.or.jp. [本文に戻る]

4. Carnegie Mellon Software Engineering Institute: CERT・Coordination Center,http://www.cert.org/. [本文に戻る]

5. 吉川雅修:電子メイル安全設定の手引き, http://www.kki.yamanashi.ac.jp/~yoshi/mail-setup.html. [本文に戻る]

6. 山梨大学総合情報処理センター: 総合情報処理センターが管理するホストでのメイル設定, http://sojo.yamanashi.ac.jp/ipc/mail/center-mail.html. [本文に戻る]

7. Bryan Costales & Eric Allman (鈴木克彦 訳), 『sendmail リファレンス』,オライリー・ジャパン,1998.

8. MAPS RBL Project:MAPS Realtime Blackhole List, http://maps.vix.com/rbl. [本文に戻る]