第1回は内部ネットワークを管理する上で「これをやってはいけない」というポイントを紹介しました。2回目となる今回は、公開サーバを管理する上での注意点を取り上げていきます。
余計なサービスを外部に公開してはいけない
公開サーバというと、基本的にはWebサーバであったりFTPサーバだったりといったものが頭に浮かぶと思われますが、ネットワークにつながっている機器の中にはサーバ機能を内蔵し、管理者の意図しないところでアクセス可能な状態になっているものがあるので、管理を行う上では注意をしなければなりません。
意図せずサーバ機能を公開しうる機器としては、Webカメラやネットワーク対応のプリンタ、ルータなどがあります。これらの多くは設定をWebベースで行ったり、FTPでデータの転送が行えたり、Telnetなどで操作を行うことが可能です。
そのため、機器の設置個所によっては、管理外のユーザにより意のままに操作されてしまう可能性があるため、適切なアクセスコントロールを行うか、不要であればサーバ機能を無効にする必要があります。適切な機能管理を行っていないと、出勤時にプリンタの紙がなくなるまで無意味に何百枚も印刷がされていたり、ネットワークの設定が書き換えられ、業務にならない状態にされるなどの被害を受けてしまうこともあり得ます。既存および新規に導入する機器の仕様を理解するのも、管理者の大事な仕事です。
煩雑な設定をあまり必要とせず、導入のしやすさから業務利用されることの多い“アプライアンス”と呼ばれる特定の機能に特化した製品も、設定ひとつで危険性が様変わりします。よく見受けられるのは、管理パスワードをデフォルト設定のまま使用しているケースです。メジャーな製品であればあるほど、デフォルトで設定されているパスワードは容易に知ることが可能であり、悪用される可能性も高まります。
そのほか、安全な外部Webサイトへのアクセスを実現するために導入したProxy製品の設定に不備があると、第三者によってSpam送信に利用されるなど、踏み台として利用されてしまう危険性があるため、アプライアンス製品だからセキュリティ面でしっかりしているなどという思いこみは避けなければいけません。
設定の不備という点で陥りやすい例を挙げると、Windows上で動作するIIS（Internet Information Service）において、ファイルをサーバにアップロードする際に用いられるPUTメソッドが有効で、誰からのアクセスでも受け付けるような設定になっていたばかりに、ファイルをアップロードされ、Webサイトが改ざんされてしまったというケースがよくあります。FTPでも同様に、誰にでもアップロードできる設定のまま公開していると、違法なファイルの置き場所になりかねません。これらは余計な権限を付与してしまったばっかりに被害を受けた典型的なケースです。
いずれも安易な設定を行った結果起こるべくして起こった事象といえます。ファイルのアップロードなど権限の付与については可能な限り許可しない方針とし、限られたユーザのみが行えるように設定を行う必要があるでしょう。
不要なファイルを残してはいけない
サーバを長期にわたって運用管理していると、保存しているファイルの数が肥大化します。とくにWebサイトなどインターネットに公開している場合、一時的に作成されたキャンペーンサイトなどをそのまま残しておいてあるケースも多々見受けられます。これらの多くはメンテナンスがされておらず、半ば放置されている状態のものも少なくありません。サービス提供上必要なものであればいいのですが、無意味に放置しておくくらいなら、サーバ上から削除しておいたほうがよいでしょう。
なぜならば、メンテナンスがなされていない古いWebサイトやWebアプリケーションには、脆弱性が潜んでいる可能性が考えられるためです。当時は最新の情報を元に作られたものの、何年も経過するうちにバージョンが古くなり、中には脆弱性が発見されるというケースも珍しくありません。
最近はGoogleなどの検索サービスが高機能化したこともあって、攻撃者は脆弱性が存在するサイトやアプリケーションを検索サービス経由で探し出し、攻撃対象としています。
構築したサイトが必要なくなったからといって、メンテナンスせず放置するようであるならば、時間の経過とともに脆弱性が発見される可能性が考えられるため、公開サービスで使わなくなったものは削除することが望ましいと言えます。事前に公開期間などを定め、期間が経過した段階で不要となったファイルを確認、削除するなど、定期的なメンテナンスができれば良いでしょう。
また、メンテナンスというよりは見直しになりますが、使用しているサービスを極力安全なものへと切り替えるのも安全性を高めるひとつの手段です。通信が暗号化されずにそのままやり取りされるFTPやTelnetなどは、通信を盗聴されてしまえば中身が丸見えとなるため危険性が高いので、可能な限り通信内容を暗号化するSFTPかSCP、SSHに切り替えることを検討すべきです。
もちろんファイル提供の場として公開しているAnonymousFTPサーバなどはこの限りではありません。書き込み権限などきちんと制御されていれば問題ないでしょう。
アップデートを怠ってはいけない
サーバなど動作しているサービスやアプリケーションにはいつ脆弱性が発見、または公開されるかはわかりません。脆弱性は随時発表されていますし、それを狙った攻撃方法も多岐にわたります。ですので、サーバを構築して運用に乗せて終わりにするのではなく、随時対策を行い続ける必要があります。
筆者には3月に1歳になったばかりの子供がいるのですが、たとえるならば対策の継続は子育てと同じようなもので、歩けるようになってからというもの、毎日のように新しいことをしでかすので長い間目を離すのは怖くてできません。1人でおとなしく遊んでいるように見えても、気が付いたら自宅で運用しているサーバの電源ケーブルを抜かれていた…なんてこともよくあります。電源ケーブルを触れる状態にしていたのは管理不行き届きというか対策不十分だったわけですが、触りにくい位置にしておいたにもかかわらず抜かれてしまいました。サーバも同じように、安定動作しているように見えてもいつ脆弱性が公表され、攻撃対象となるかわからないので、小さな子供と一緒であまり長い期間目を離すのは危険です。
情報収集を怠ってはいけない
こまめに我が子……ではなくサーバをチェックするという意味では、動作サービスやアプリケーションに関連する情報の把握をはかかせません。開発元より公開されるアップデート情報はもとより、世の中のトレンドも合わせてチェックすることが、対策の一歩先を行く予防を行うことにつながります。IPA：情報処理推進機構のセキュリティセンターでは緊急対策情報などを配信しているので、これを定期的にチェックするだけで、もある程度世の中の流れを把握できるのではないでしょうか。脆弱性情報としてはJVN：Japan Vulnerability Notesをチェックしておけば、認知度の高いサービスや製品についての情報が得られます。
またこれらの情報で、個人が作成したようなフリーアプリケーション等についても取り上げられることもありますが、認知度が低いものについてはあまり期待ができないので、こうしたフリーソフトを利用するのであれば、開発元が公開する情報を逐一追う必要性があります。中には開発元サイトの掲示板でしか最新情報がやり取りされていない場合などもあるので、最新情報がどういった手段で発信されているかを利用する前に確認しておきましょう。
バックアップを怠ってはいけない
サーバの運用管理が軌道に乗り、情報収集も行えるようになってくると、セキュリティ対策では防げない機器障害が発生する可能性のほうが高く感じるようになるかもしれません。専任の管理者を置くような組織であれば、おそらく各種サーバのシステムバックアップは用意しているでしょう。そのような状況であれば「バックアップがあるから障害が発生しても大丈夫」と思ってしまいがちですが、そのバックアップにも落とし穴があります。
サーバが冗長化され、常に稼動状態がキープできるのであれば問題ありませんが、規模の小さい組織では、データバックアップは随時作成していたとしても基本的にシステムバックアップは作成したその日から次のバックアップまで更新されません。そのため、いざ障害が発生しサーバの機器交換が必要になった際、サーバの稼動を優先するあまりサービスやアプリケーションが古い状態のまま接続してしまうと、インターネットに蔓延するボットやワームに感染し、サーバを再構築しなおす羽目になってしまう可能性もあるでしょう。そうなってしまうと、サーバのダウンタイムは非常に長くなってしまいます。
このようなことが無いように、長期間稼動していなかったり、ネットワークに接続していなかった場合には、セキュリティアップデートを中心に最新の状態にした上でネットワークへ接続することをお勧めします。
その際、ネットワークに接続しないとアップデートが行えないこともあるかと思います。単純にネットワークに接続してアップデートするのでは、管理ネットワーク外からボットやワームなどによる影響を受けてしまうかもしれません。そのようなことが無いように、セキュリティアップデートのみが行えるような限定的な接続環境を用意し、安全にアップデートを実施する必要があります。
これはサーバだけでなく、クライアントPCも同様ですのでご注意ください。
以上、サーバ管理について取り上げました。最後にも少し触れましたが、今回の注意点はクライアントPCについても当てはまる点がありますので、合わせて確認しておくとなお良いでしょう。
次回、第3回はネットワークを運用管理する上で注意すべき事象を紹介します。
