【インターネットを安全に使うために】

4.2.4. 公開サーバーの管理運営

サーバーの情報セキュリティ対策は、ハッキングやウイルス等を防御することです。以下のことに注意して、サーバーを運用するようにしてください。

■サーバー設定の確認

サーバーにインストールされているプログラムが何で、どのような設定になっているかということを理解しておくことが大切です。OSやWebサーバー、データベースサーバーなどのソフトウェアをインストールした際に、既定の設定のままでは不要なサービスが追加されていることがあります。必要なサービスが何かということをよく検討して、以下の設定を確認してみましょう。

　・不要なサービスが実行されていないか。

　・不要なスクリプトが残されていないか。

代表的なサービスとして、TelnetサービスとFTPサービスがあります。Telnetサービスは、ネットワークを介してサーバーを遠隔操作できるサービスです。

FTPサービスは、コンピュータ間でのファイル転送に利用されるサービスです。これらのサービスはインターネットを便利にするためのサービスですが、ハッキングに利用されやすい代表的なサービスでもあります。本当にこれらのサービスが必要か検討してみてください。

また、Webサーバーやデータベースサーバーにインストールされるスクリプトにも注意してください。スクリプトの中にはサーバーの管理用のものも含まれており、ハッキングに悪用されるケースがあります。

スクリプトは、Webサーバーやデータベースサーバーをインストールしたときに、自動的に追加されてしまうものが大部分です。メーカーの情報セキュリティに関するホームページなどを参考に不要なサービスやスクリプトは削除して、ハッキングに利用されないように設定しなければなりません。

■ログの管理

サーバー用OSやWebサーバーなどのソフトウェアは、サーバーに対する接続の履歴や操作の履歴をログとして残します。

ログはサーバーに行われたハッキング等の行為を発見するための参考情報として利用できますが、サーバーに接続してきた利用者の通信の秘密を記録するという面があります。

この点を留意しながら、サーバーの情報セキュリティ対策を講じるための重要なヒントとして活用することが大切です。

インターネットに接続されたサーバーを管理する場合には、ハッカーからの攻撃に対処するために、定期的にログをチェックすることが大切です。ホームページを公開するためのWebサーバーであれば、次のようなログをチェックすることが必要となります。

・Webサーバーのログ

　不正なアクセスがログに残されていた場合には、インターネットのWebサイトなどで情報を検索して、それがサーバーに対するDoS攻撃、改ざん、不正侵入等、どのような種類のアクセスかを調べてみましょう。

・OSのログ

　システムで発生したエラーや動作の内容の他バックアップやタスク処理の結果を確認することもできます。

・ルーターのログ

　インターネットに接続したサーバーの外部からの接続の状況を知るためにはルーターのログ確認はもっとも重要なもです。

・データベースのログ

　Webサーバーと組み合わせてデータベースを利用しているのであれば、データベースのログをチェックする必要もあります。

■セキュリティホールへの対策

セキュリティホールとは、サーバー用OSやソフトウェアの情報セキュリティ上の弱点のことです。ソフトウェアをインストールしたまま利用せずに、必ずセキュリティホールに対応するパッチを当ててから運用すべきです。

ハッカーは、狙いをつけたサーバーをハッキングする場合、そのサーバーのOSや利用しているWebサーバーなどの種類、バージョンを調べ、それらのセキュリティホールを利用して侵入を試みます。

セキュリティホールを塞ぐことが、サーバーの情報セキュリティを確保するために最低限必要なことなのです。メーカーのホームページなどで定期的にセキュリティホールの情報を確認して、修正するように心がけなければなりません。

最近では、サーバーのセキュリティホールを利用して感染するタイプのウイルスが登場しています。インターネット上にセキュリティホールを塞いでいないサーバーが数多く存在することが、これらのウイルスの感染を早めるひとつの原因となっています。

■セキュリティ診断

セキュリティ診断を実施し、サーバーやネットワークの脆弱性を発見することができます。セキュリティ診断にはいくつかの方法がありますが、確実な方法はコンサルタントによる診断サービスです。

一般的なセキュリティ診断サービスは、外部からの診断と内部からの診断の2通りのサービスを用意しています。

外部からのセキュリティ診断は、インターネットから擬似的にアタックを試み、攻撃に利用されるセキュリティホールなどを発見するのに役立ちます。

内部からのセキュリティ診断は、主にネットワーク全体のセキュリティ強度を診断することを目的していて、事前に依頼者が提供したネットワークやサーバーの情報を元にして、さらに詳細な診断を実施します。

外部からのセキュリティ診断は、対象とするサーバーのグローバルIPアドレスを通知するだけで、すぐに依頼できるものもありますが、内部からのセキュリティ診断は、ネットワークやサーバーの情報をコンサルタントに提供しなければならないため、手間と時間が掛かります。

これらのセキュリティ診断を行うことによって、設置したサーバーのセキュリティ強度が確認でき、さらに強化すべきポイントを明確にすることができます。

■パスワードの管理

設置したサーバーの管理者のパスワードが漏洩したり、推測されたりすると外部からサーバーに侵入されたり、サーバーのデータが盗まれたり、改ざんされたりします。

パスワード管理には、パスワードの作成、保管、定期的な変更が必要です｡

・パスワードの作成

安全なパスワードとは、他人に推測されにくく、ハッキングツールなどの機械的な処理で割り出しにくいもので作成に当たり、以下のようなことが大切です｡

1　名前などの個人情報からは推測できないこと

2　英単語などをそのまま使用していないこと

3 アルファベットと数字が混在していること

4 適切な長さの文字列であること(8桁以上）

危険なパスワードとは、以下のようなものがあります。

1 自分や家族の名前、ペットの名前

2 電話番号や郵便番号、生年月日など、他人から類推しやすい情報

3 辞書に載っているような一般的な英単語

4 同じ文字の繰り返し

5 ユーザー名と同じ文字列

6 短い文字列

パスワード生成ソフトを利用するという方法もあります。パスワード生成ソフトは、指定した条件からランダムなパスワードを作り出してくれる機能を持つソフトウェアです。

・パスワードの保管方法

　パスワードの保管に関して以下の件に留意してください。

1 パスワードは、秘密にする

2 ユーザー名やパスワードを電子メールでやりとりしない

3 パスワードのメモは作らない

4 パスワードをWebブラウザなどのソフトウェアに記憶させない

・パスワードの定期的な変更

定期的にパスワードを変更するようにし長期間同じパスワードを使い続けることは避けなければなりません。パスワードを定期的に変更しなければならない理由には、以下のような事からです。

1 他人に推測されにくいパスワードでも、ハッキングツールを使って長時間かければパスワードが割り出されてしまうこと

2 仮にパスワードが割り出されてしまっても、侵入などの被害を受け続けることを避け ることができること

適切なパスワードの管理をしているかどうかを確認してみましょう。

■踏み台にされないように

管理者が気づかないうちに第三者に乗っ取られ、不正アクセスや迷惑メール配信の中継地点に利用されているコンピュータを言う。

踏み台としてサーバを悪用しているユーザは自らの侵入行為やメール配信の痕跡を消すのが通例で、そのコンピュータの本来の持ち主が不正行為を働いているように見せようとします｡

踏み台にされたサーバ、およびその所有者はインターネット上での信頼を失い、場合によっては犯罪関与の疑いをかけられるなど、多大な不利益を被るうえ管理責任を問われる可能性があります。

インターネット上にサーバを設置するのであれば、サーバーの設定の確認を最低限のサーバ管理義務であり不正アクセスから防御するために、ファイアウォールの導入は欠くことができません。

さらに強化する場合には、ファイアウォールを二重化したり、ファイアウォール以外に外部から送信されるパケットをチェックして、不正アクセスと判断されるパケットが発見された場合には、管理者に連絡する機能を持つ侵入検知システム（IDS）を導入する等が考えられます。