サーバのセキュリティ対策に関して

Size: px

Start display at page:

Download "サーバのセキュリティ対策に関して"

ひできこしの
5 years ago
Views:

1 サーバのセキュリティ対策に関して特定非営利活動法人学習開発研究所副代表三輪和特定非営利活動法人学習開発研究所 1

2 アジェンダ自己紹介セキュリティとはセキュリティポリシーネットワークのデザインサーバの運用最近の話題まとめ特定非営利活動法人学習開発研究所 2

3 自己紹介特定非営利活動法人学習開発研究所副代表 2004 年 4 月特定非営利活動法人として認可ユビキタスラーニングの実現に貢献することを目的主な実績教室内 LAN システム開発全国の教育ネットワーク調査教育ネットワークの構築運営京田辺市小中学校間ネットワーク京都府情報教育ネットワークヘルプデスクなど特定非営利活動法人学習開発研究所 3

4 セキュリティとは何から何を守るのか? 何を守る個人情報? 何が個人情報? 機器の安定稼動なぜ守るのか? 不正利用 ( 目的外使用 ) を防ぐ? どのように守るのか? 鍵をかける隠す特定非営利活動法人学習開発研究所 4

5 交通事故対策は啓蒙交通安全教室長期休暇前にプリント配布自転車の乗り方集団登校警察取り締まり規制や信号行政道路の改良ガードレール保険自賠責保険任意保険生命保険特定非営利活動法人学習開発研究所 5

6 結局はリスク管理発生数を減少させることはできる事故の規模を小さくすることはできるしかし事故発生を0にすることは無理目指すのは安心安全安定特定非営利活動法人学習開発研究所 6

7 セキュリティ管理適切なコストで耐久性の高いシステムの実現見渡しの良い実施構造目標設定 = セキュリティポリシー実現のための手段使えるものは全て使う技術制度慣行契約. 状況変化への対応見直し平常時と緊急時の対応万が一のときに備える短時間で平常時へ復旧特定非営利活動法人学習開発研究所 7

8 セキュリティポリシー事故発生を前提に利用者も含めて全員が関係者運用方針 ( どのように守るのか ) 不要な人には利用させない ( 保管 ) アクセス管理パスワード管理誰が使ったかを明確に ( 記録 ) 記録をきちんと採取する事故発生時の対策 ( 危機管理 ) 誰が誰に報告し迅速にどう対処するか特定非営利活動法人学習開発研究所 8

9 セキュリティの対象ネットワークセキュリティサーバセキュリティパソコンのセキュリティソーシャルセキュリティ特定非営利活動法人学習開発研究所 9

10 ネットワークのセキュリティデザイン守りのためにファイアーウォールとDMZ 便利さと危険さと無線 LAN 対策複数のセグメントに分割指導者用 ( 事務職管理職教材研究 ) 学習者用部外者用 (PTA 学校開放などでの地域住民利用) 特定非営利活動法人学習開発研究所 10

11 危ないのは機器よりもヒトソーシャルセキュリティ敵は内にありイントラネットの内側から攻撃があったら? 雑誌の付録のソフトでちょっと実験した代わりにするからパスワードを教えてと言われたら? 警察ですがと電話があったら? セキュリティと便利さは相反する不便だからちょっとくらい設定をパスワードが覚えられないから日ごろからの心構えわたしだけは大丈夫だからしなくても特定非営利活動法人学習開発研究所 11

12 ファイアーウォール対外防護壁のことルータの設定や専用機器で実現利用できる通信がある=これ以外の対策も必要特定非営利活動法人学習開発研究所 12

13 通信規格無線 LAN 覚えておくべきキーワード b a g グループ化 ESS-ID b a g 使用周波数 2.4GHz 帯 5GHz 帯 2.4GHz 帯暗号化 WEP と WPA と i 認証 x 最大通信速度 11Mビット / 秒 54M ビット / 秒 54M ビット / 秒特定非営利活動法人学習開発研究所 13

14 グループ化 ESS-ID(Extended Service Set Identifire) アクセスポイントを識別するための ID ANY だれでも参加できる ID セキュリティが無いに等しい推奨される ESS-ID 利用者を推察しにくいもの無機質で機械的なもの悪い例会社名や組織名個人名特定非営利活動法人学習開発研究所 14

15 暗号化 WEP(Wired Equivalent Privacy) 無線データを暗号化する 64 ビットキー方式 : キーデータは 40 ビット (5 文字 ) 128 ビットキー方式 : キーデータは 104 ビット (13 文字 ) クラックツールもあり安全な暗号ではない WEP の弱点を克服した i しかし規格化が遅れた暫定規格として WPA が利用可能に特定非営利活動法人学習開発研究所 15

16 認証 x 端末アクセスポイント認証サーバが連携リンク確立認証開始認証要求認証方式通知通知された方式で認証実施 WEP キー配布通信開始特定非営利活動法人学習開発研究所 16

17 無線 LAN の注意点 (1) b/g 使用できる通信能力有線 LAN のハブなら 100Mbps 全 2 重のスイッチ無線 LAN は 10Mbps 半 2 重ダムハブ以下チャンネルを複数使っても限界がある b/g では 14 チャンネル (a は 4 チャンネル ) 機器によっては 11 チャンネルまで 4 チャンネル空けないと電波が干渉 b/g 混在環境では速度低下もある特定非営利活動法人学習開発研究所 17

18 無線 LAN の注意点 (2) セキュリティ対策 (1) 第 3 者の不正使用を防止 MAC アドレス制限 MAC アドレス :LAN 機器固有の番号許可していない MAC アドレスの機器を接続しない DHCP を使用しない DHCP:IP アドレスなどを自動的に配布する機能不正利用者に IP アドレスなどを渡さない特定非営利活動法人学習開発研究所 18

19 無線 LAN の注意点 (3) セキュリティ対策 (2) 無線 LAN 装置によっては以下の設定が可能 ESS-ID 遮蔽 ESS-ID を放送しない機能 ANY アクセス拒否 ESS-ID が ANY の機器からの通信を無視特定非営利活動法人学習開発研究所 19

20 無線 LAN で実際におこったこと注意しないとホットスポットになるある百貨店で POS データが丸見えホテルの窓際がホットスポットホテルの近所の家庭に接続? 隣家の無線 LAN に接続自宅よりも隣家の電波が強い特定非営利活動法人学習開発研究所 20

21 サーバとパソコンのセキュリティ設定での注意コンピュータウィルスに対する注意 Microsoft の Protect your PC ファイアーウォールを利用 Windows Update の使用最新のウィルス対策ソフトを使う利用に当たっての注意特定非営利活動法人学習開発研究所 21

22 設定について (1) サーバクライアントともに基本なんですけど GUEST アカウントを無効にする Administrator グループに所属するユーザは限定 Administrator グループ所属のユーザアカウントにパスワードを設定ドライブのファイルシステムは NTFS WindowsTime サービスで時刻合わせインターネットの NTP が利用可能 WindowsUpdate などでセキュリティパッチは確実に適用特定非営利活動法人学習開発研究所 22

23 設定について (2) ソフトの導入ウィルス対策ソフトウイルスデータベースの更新をお忘れなくパーソナルファイアーウォールサーバではセキュリティパッチ (WindowsUpdate) はちょっと注意動作しなくなるソフトがあるかも SQLserver は WindowsUpdate で更新できない Office は OfficeUpdate で適用サーバでは作業をしない ( ネットサーフィンは ) 特定非営利活動法人学習開発研究所 23

24 設定について (3) サーバでは ( 続き ) 不要なサービスは停止 & 無効何が不要なサービスなのかわからない 1. NMAP などのポートスキャナでサーバをスキャン 2. 不審なポート番号を確認 3. fport.exe(foundstone 社 ) でポート番号とそれを使用しているプログラムの対応を確認日経ネットワークセキュリティプロが薦める! 最強ツール 42~51 ページ Win2000 で最低限必要なサービス DNS Client Event Log Logical Disk Manager Plug and Play Protected Storage Remote Procedure Call (RPC) Removable Storage RunAs Service Security Accounts Manager Server Windows Management Instumentation Driver Extensions 特定非営利活動法人学習開発研究所 24

25 Windows のライフサイクルに注意 Windows95/NT3.5/NT4 はすでにサポート打ち切り Windows98/ME セキュリティサポートのみ 2006 年 6 月 30 日まで延長 Windows 2000 professional Windows 2000 Server セキュリティサポートは 2007 年 3 月 31 日まで Windows XP Home Edition セキュリティサポートは 2006 年 12 月 31 日まで Windows XP Professional セキュリティサポートは 2008 年 12 月 31 日まで特定非営利活動法人学習開発研究所 25

26 管理者としての勘所情報収集に努める新聞の情報はぜんぜんだめ雑誌にはちょうちん記事があると思えネットの情報にはガセも多い信頼できるネットワーク ( 人脈 ) 上司と信頼関係を緊急時にどう対処するか自分のカンを信じるこのパッチは今適用すべきか待つべきか Microsoft のアップデートプログラムがトラブルの元になることも特定非営利活動法人学習開発研究所 26

27 日々のマメさが重要ファイアーウォールがあっても装置自体のセキュリティホールやバグ対策ネットワークの裏口があったらダイアルアップ装置や VPN ソフト (SoftEther) の無断利用無線 LAN が窓際にあったウィルス対策ソフトがあってもウィルスデータの更新が必要 MSBlast みたいにウィルス対策ソフトで対策できないもののあるファイアーウォールの内側にいるから Web ブラウザでネットサーフィンするだけで情報漏えいもネットワークにつながないからウィルスはフロッピーからでも感染する特定非営利活動法人学習開発研究所 27

28 情報の収集ホームページセキュリティホール memo ITPro Microsoft TechNet Net Security ツール Microsoft Baseline Security Analyzer(MBSA)1.2 現在は HFNetChk の最新版として CUI で使用 WindowsUpdate XP SP2:proxycfg コマンドで設定しないと Proxy 環境では機能せず特定非営利活動法人学習開発研究所 28

29 MBSA1.2.1(SP2 対応 ) 特定非営利活動法人学習開発研究所 29

30 パーソナルファイアーウォール Windows ファイアーウォール (XP 標準機能 ) XP 附属版の機能は市販の製品に及ばない出て行くデータは素通しする Windows XP SP1 Windows XP SP2 特定非営利活動法人学習開発研究所 30

31 パーソナルファイアーウォール ( 続 ) Norton Internet Security このほかにも ZoneAlerm, ウィルスバスターの標準機能などいろいろ ping すら不許可にするので注意が必要通信テストができないことも特定非営利活動法人学習開発研究所 31

32 発想を変えることも重要おまけのソフトの利用をやめる InternetExplorer にはセキュリティ上の問題がよく見つかる OutlookExpress はウィルスに感染しやすい Windows をやめるセキュリティ対策やウィルス対策を軽減ブラウズするだけなら LindowsCD や KNOPPIX サーバは Unix Office ソフトは StarSuit HDD の利用制限感染してもすぐ回復 ( 障害対策も兼ねる ) HDD ガードソフトでユーザはインストール不可にディスクレスのシステムを採用特定非営利活動法人学習開発研究所 32

33 最近の話題オレオレ証明書正しく検証できず受け入れるかどうかを状況でのみ判断しなければならないサーバ証明書フィッシング詐欺 OS の hosts ファイルを書き換えてしまう新手法 pharming( ファーミング ) と細分する人もいるがしなくても a 用の周波数変更新規開放 2005 年 5 月に a 用周波数が変更の予定新製品と既存製品で通信できなくなる可能性がある新規利用可能周波数 4 チャンネル分が追加予定特定非営利活動法人学習開発研究所 33

オレオレ証明書 (1) 信頼するところとして選択していない認証機関が発行しているサーバ証明書例 ) 高知県電子申請届出システムの場合登録画面で参考 http://www.pref.kochi.

34 オレオレ証明書 (1) 信頼するところとして選択していない認証機関が発行しているサーバ証明書例 ) 高知県電子申請届出システムの場合登録画面で参考自宅の日記特定非営利活動法人学習開発研究所 34

35 オレオレ証明書 (2) SSL 入門 Web サーバと暗号通信 (https) するには公開鍵で暗号化するサーバ証明書で公開鍵の真贋を確かめる CA( 認証局 ) の署名でサーバ証明書の真贋を確かめる CA の署名の真贋は他の CA の署名で確かめる他の CA の署名の真贋はルート認証局で確かめるルート認証局の証明書はブラウザに組み込まれているオレオレ証明書はこの仕組みでは認証できない特定非営利活動法人学習開発研究所 35

36 オレオレ証明書の何が問題なのか真贋を確かめきれないのに信用しろと教育?! 例 ) 埼玉県わくわく子どもページクイズの問題文と答えの入力の画面をたどるとこれは暗号化通信を行う際の証明書についての警告メッセージです上記画面のようにこの証明書には問題があるという文章が表示されますが ( 中略 ) ブラウザでは安全性が判断できず利用者の方の意思を確認するものですはいをクリックすることでこのセキュリティ証明書を信頼するという意思表示となり暗号化通信が開始されます JP ドメイン名だとフィッシングされるかも ( 似たドメイン名を誰でも取得可能 ) 特定非営利活動法人学習開発研究所 36

37 フィッシング詐欺とは Phishing 釣り (fishing) ではありませんクレジットカード番号や暗証番号を入手する詐欺実在の金融機関などを装ったメールを送付メールのリンクでホンモノそっくりの罠のサイトに呼び込むクレジットカード番号やパスワードなどを入力させる特定非営利活動法人学習開発研究所 37

38 フィッシング詐欺対策は 1. メールを信用しないリンクをクリックしない 2. こちらから本物のサイトにアクセス 3. アドレスバーで本物のサイトかどうかを確認スクリプトでアドレスバーを偽装 HOSTS ファイルを書き換えてホスト名はホンモノに見せかける新手口特定非営利活動法人学習開発研究所 38

39 まとめセキュリティ対策守るものを明確に守り方コストとのバランス便利さとのバランス万が一のときの準備休日でも夜間でもすぐに対処できるか機器に頼らない問題を起こすのも対処するのもヒト特定非営利活動法人学習開発研究所 39

40 おまけ事象 ( 事故とかトラブルとは呼ばない ) 発生時できるだけ正確な報告書を早急に作成する中途半端な報告は解決を遠ざける迅速な手当てが被害を小さくする自分のミスがあっても決して隠さないゴマカシがあればどんどんぬかるみにはまるミスがミスを呼ぶ報告する相手を選ぶ邪推される相手に中途半端な情報が渡ると風評被害もありえるセキュリティの自習資料情報セキュリティ読本 -IT 時代の危機管理入門 - (IPA) 特定非営利活動法人学習開発研究所 40

AirStationPro初期設定

AirStationPro初期設定 AirStationPro 初期設定 AirStationPro の検索 1. エアステーション設定ツール Ver.2 を立ち上げて次へをクリックする注 ) エアステーション設定ツール Ver.2 は製品に付属している CD からインストールするか http://buffalo.jp/do wnload/driver/lan/ai rnavilite.html にあるエアナビゲータライト Ver.12.71