情報セキュリティ試験直前対策メモ2006=サーバセキュリティ編=

2006年4月に情報処理技術者試験テクニカルエンジニア(情報セキュリティ)試験が実施されました。この試験の受験に向けて作成した直前対策メモを公開します。第7回目は、『サーバセキュリティ』編です。

このメモは、キーワードを見て、自分なりに内容が理解できていることを確認するのが目的のため、詳しい解説は記載しておりません。今後、解説を付け加えていく予定です。

試験の受験テキスト、あるいは、専門書の選択時に、これらのキーワードの解説の有無や、解説の詳細さなどが、基準になるのではないかと思います。

サーバのセキュリティ対策

1:サーバの要塞化の必要性

・不正アクセスによる情報漏えい、データ改ざんを防止する

2:サーバの要塞化手順

・OS、アプリケーションのバグの修正

 →パッチの実施

・アカウント管理の強化

 →不要なユーザアカウントは削除し、使用するユーザアカウントには必要な権限のみを与える

・サーバアプリケーションの選定と設定強化

 →不必要なサービスを停止または削除する。不要な機能やコマンドは、機能を停止するか削除する

・提供するサービスへのアクセス制御の実施

・ログの設定

3:セキュリティ強化されたOS

・ Trusted OS

 → SELinux (Security-Enhanced Linux):正式には Trusted OS ではないが、セキュリティ強化されている OS。

 → PitBull:Solaris、AIX、Linux などに対応した、既存 OS 環境を Trusted OS 化する製品。権限設定などが複雑で難しい。

4:Web サーバに対する脅威

・公開情報の阻害

 →ホームページの改ざん、ニセ Web サーバの公開

・保護情報の漏えい

 →個人の認証情報

・ Web サービスそのものが阻害される

 →ネットワークの高トラフィック、高 CPU 負荷などによる、サービス停止。DoS 攻撃。

5:メールサーバに対する脅威

・メールサーバアプリケーションの脆弱性をついた乗っ取り攻撃

・迷惑メール(スパムメール)

 → RBL (Realtime Black List) による接続拒否。正規の通信も拒絶する可能性。IP アドレス詐称によるくぐりぬけ。

・第三者中継によるスパムメールの手伝い

 →第三者中継の制限:SMTP-Auth、POP before SMTP

・ウィルスの媒介

・ユーザ情報の漏えい

プロセス/アプリケーション層のセキュリティ

1:TCP Wrappers

・ UNIX / Linux 上で、inetd を介して起動されるデーモンの通信を監視し、制御し、アクセスログを残す

2: DNS (Domain Name System)

・ IP アドレスと、FQDN (Full Qualified Domain Name) 名を変換する

・ DNS ポイゾニング (DNS poisoning):ゾーンファイルを改ざんして、IP アドレスを変更することで、ニセの Web サイトへ利用者を誘導する

・ DNS サーバ間のゾーンファイルの転送(ゾーン転送)の盗聴、ニセのゾーン転送要求を防止するため、DNS サーバには、指定したホスト以外へのゾーン転送を禁止したり、ゾーン転送自体を暗号化するなどのセキュリティ対策を実施する

3:SMTP (Simple Mail Transfer Protocol)

・メールヘッダーは置き換えが可能なため、攻撃者は身元を隠すために偽造してメールを送信できる

・メール爆弾: SMTP サーバへ大量のメールを送信

・ Spam メール発信の踏み台としての利用

・デマメール(ソーシャルエンジニアリング攻撃の一種)

4:POP3、APOP、IMAP4

・ POP3 は、認証のときのパスワードをクリアテキストでサーバに送信する(110 番ポート)

・ APOP (Authentication POP)は、POP3 を使用するメールの受信時にパスワードを暗号化する。サーバ側とクライアント側で設定を行う必要がある。

・ IMAP4 (Internet Message Access Protocol version4revl) は、POP3 と異なり、メールサーバ上でメール検索、ヘッダの読み出しなどの操作が可能(143 番ポート)

5:FTP (File Transfer Protocol)

・ユーザ認証において、ユーザアカウントとパスワードは、クリアテキストで送信される

・不正なアップロードにより、ディスクスペースを満杯にされる危険性

・長いユーザ名、長いパスワード、長いコマンドを入力することで、FTP 異常修了させる攻撃がある(パッチを適用)

6:HTTP (Hyper Text Transfer Protocol)

・ Cookie の危険性

 →セッションハイジャック

・ CGI

 →セキュリティホールの提供

・ブラウザクラッシャー

 →悪意ある HTML タグ、Java スクリプトで、Web ブラウザのぜい弱性を攻撃する

7:SNMP

・攻撃者がコミュニティ名を知ると、SNMP マネージャになりすまして、SNMP エージェントから情報を得ることができる

8:telnet

・認証時、ユーザ名とパスワードはクリアテキストで送信される

9:NAT / NAPT

・ NAPT は、上位プロトコルのポート番号を書き換えてしまうので、IPSec のパケットは NAPT を介して通信できない。IPSec はポートの書き換えをパケットの改ざんと判断する。

10:インスタントメッセージ(IM)

・メッセージの内容はクリアテキストで送信される