|
|
日本−日本語 | |
|
|
 |
|
HP OpenVMS: システム・セキュリティ・ガイド > パート III システム管理者のためのセキュリティ
第11章 システムのセキュリティ侵害 |
|
|
目次 セキュリティ・ポリシーの策定，およびそのポリシーを実装するための適切なセキュリティ対策の選択に加えて，サイトでは，システム，サイト，ネットワークに対する侵害行為に対処するための手順を確立し，テストする必要があります。 その手順は，次の 2 つの領域を対象に作成します。
この章では，システムに対する進行中の攻撃またはすでに発生した攻撃を検出する方法，およびとりうる対抗策について説明します。 セキュリティ管理者は，定期的にシステムを監視して，セキュリティ侵害の恐れがないか確認しなければなりません。 よくあるシステム攻撃の形態は次のとおりです。
システムに脆弱性が存在し攻撃を受けている可能性がある場合，最初の兆候は次から得られる情報によって気づくと考えられます。
ユーザによってシステム・セキュリティの問題が発見されることは少なくありません。 ユーザは，次のような状況で管理者に連絡することが考えられます。
上記のいずれかが報告されたら，速やかに対処します。 まず，報告された状況が間違いないかどうかを確認します。 間違いない場合は，原因を突き止めて解決策を探します。 6.7 項 「安全なシステムを維持するための継続的な作業」 に，システムに対するセキュリティ侵害の可能性の有無を判別するのに役立つ作業のリストを示します。 次のリストは，前述のリストの作業を実施しているときに明らかになる可能性のある，警戒すべき兆候をまとめたものです。
上記の状態はいずれもさらなる調査を必要とします。 すでに問題が発生していることを示すものもあれば，簡単に説明のつくものもあるかもしれません。 また，重大な問題につながる可能性を示すものもあります。 OpenVMS には，システムの活動を体系的に監視するための仕組みが数多く備わっています。 システムを監視するための仕組みは，次に示すように，手動のもの，または，ユーザの作成したコマンド・プロシージャを使用するものなどが多数存在します。
これらのユーティリティを適切に使用することで，設定を確認し，問題発生の警告を受け取り，対処することができます。 この節では，システム監視機能の中でも最も重要な ACCOUNTING と ANALYZE/AUDIT について説明します。 会計情報ユーティリティ (ACCOUNTING) のレポートを調べることで，リソースの平常時の利用パターンを把握することができます。 レポートを得るには，ユーティリティ・イメージ SYS$SYSTEM:ACC.EXE を実行します。 実行結果のデータ・ファイルは SYS$MANAGER:ACCOUNTNG.DAT です。 ACCOUNTING レポートに，問題の初期の兆候が記録されている可能性があるので調べます。 次の点を確認します。
セキュリティ管理者は，DCL の SET AUDIT コマンドを使用して監査対象のイベント・カテゴリを有効にして，セキュリティに関わる活動をオペレーティング・システムに報告させることができます。 Audit Analysis ユーティリティ (ANALYZE/AUDIT) を使用することで，セキュリティ監査ログ・ファイルに収集されたイベント・メッセージを定期的に調べることができます。 詳細については， 第10章 「セキュリティ監査の実施」 を参照してください。 OpenVMS は，イベント・メッセージを監査ログ・ファイルに記録したり，オペレータ・ターミナル宛に送信したりできます。 イベントを監査情報として報告させるか，アラームとして伝わるようにするかを，次の方法で指定します。
セキュリティ監査はシステムの性能に影響を与えるため，もっとも重要なイベントについてのみ監査を有効にします。 次に示すセキュリティ監査措置は，重要性が高く，システム・コストが低いものから順に掲載してあります。
10.3 項 「監査計画の策定」 では，推奨される監査内容の組み合わせについて取り上げています。 セキュリティ侵害に対処する場合，侵害が実際に発生したか，その試みがあったかに関係なく，セキュリティ管理者は 4 つの段階を踏むことになります。
以下の節では，侵入の試みがあった場合と侵入を許した場合の両方について，この 4 つの段階を説明します。 どの段階においても，実行者を捕まえたり起訴したりする必要が生じた場合に備えて，情報やデータを証拠として保全するように要員を教育しておきます。 失敗に終わった侵入行為には，パスワードの推測やファイルを閲覧しようとした行為も含まれます。 通常，次に示す情報から侵入行為を検出します。
ファイル監査を有効にすることで，ファイル閲覧者の特定が簡単になります。 ただし，閲覧行為がネットワーク内の別のノードから開始されている場合は，ファイル保護違反のあった時刻に該当するネットワーク・サーバのログ・ファイル (NETSERVER.LOG) を調査する必要があります。 リモート・ノードのセキュリティ管理者と連携して調査を行います。 パスワードを推測しようとしている人物の特定は，ファイル保護違反の場合よりもはるかに困難です。 ダイアルアップ回線を使用したアクセスのように，アクセス元が匿名の場合には特に困難です。 通常，実行者の特定と侵入の防止は両立が難しく，どちらかを優先する必要があります。 システムへの侵入を試みる部外者を確実に特定するには，実行者を特定できるまで侵入の試みを許すことが唯一の方法であることがほとんどです。 この種の攻撃に対する防止段階では，侵入試行者が実際にシステムにアクセスできないようにし，以後の試行もより困難となるようにします。 パスワードの推測パスワードの推測が成功する可能性を低くするには，次の対策をとるようにします。
ファイルの閲覧ファイルの閲覧が成功する可能性を低くするには，次の対策をとるようにします。
成功したセキュリティ侵害には，パスワードの推測の成功，情報やシステム・リソースの盗みや改ざん，有害なソフトウェアのシステムへの配置などが含まれます。 侵入を許した場合，侵害実行者の技能や意図によっては，修復にかなりの時間が必要となる可能性があります。 侵害実行者の特定は，侵入への対処の中でも最も困難であることが少なくありません。 まず，侵害実行者が登録ユーザなのかそうでないかを明らかにする必要があります。 登録ユーザかどうかによって，とるべき予防措置の性質が決まってきます。 ただし，部内者と部外者の区別が困難な場合があります。 侵害実行者の特定と予防措置との間のトレードオフ侵害実行者の特定と以後の攻撃に対する防止措置のどちらを優先するかを決めなければならない場合があります。 侵入行為のあった最初の段階で得られたデータでは，侵害実行者をはっきりと特定できないことがよくあります。 侵害実行者を特定することが重要な場合，侵入行為を分析するために，引き続き侵入を許すことが必要な場合があります。 この場合は，監査内容を増やします。 追加情報を得るために，セキュリティ管理者の管理が及んでいるシステム・プロシージャ (SYLOGIN.COM など) にわなを仕掛けるのは 1 つの方法です。 また，ファイルが損傷した場合に備えて，即座に復旧できるようシステム・バックアップを作成する頻度も増やします。 部外者の特定外部からの侵入者を特定することは非常に困難です。 侵入者が交換式の通信手段を使用している場合 (ダイアルアップ回線や公衆データ・ネットワークなど) は特に困難です。 DECnet for OpenVMS ソフトウェアには，アクセス元のノードまでネットワークをたどって操作を追跡するのに役立つさまざまな機能が備わっています。 ローカル・ターミナルが関係している場合は，物理的な監視が有効な場合もあります。 交換式の通信手段が関係している場合，コンピュータ・セキュリティにおける大きな問題の 1 つとなるのが電話システムそのものです。 電話回線または公衆データ・ネットワークによる接続をたどるのは，非常に時間がかかります。 電話システムをたどって侵入者を追跡する作業は，月単位の時間を要する可能性があり，警察当局の協力が必要になります。 複数の長距離電話サービスを経由している場合，協力を要請する会社の数が増加するため，問題がいっそう複雑になります。 したがって，外部の侵入者の特定は，継続的かつ重大な金銭的損害を被っている場合でなければ通常は割に合いません。 多くの場合，問題の再発を防止する対策に集中した方が有益といえます。 侵入を許したあと，システムをセキュリティで保護するために必要な措置は，その侵入の性質と侵入元によって異なります。 この節では，講じるべき措置について優先順位の高い順番に紹介します。
[4] HP サポート・グループには，米国にある Software Security Response Team (SSRT) の他，European Security Program Office (ESPO) などがあります。 |
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
|||||||||||||||
|
|||||||||||||||
