PR

 セキュリティ・ベンダーであるラックは2月20日,同社のハニーポット・システム「Sombria」で得られた情報を集計して公開した。今回公開した情報は,2003年8月から10月までの集計結果に基づいている。それによると,OpenSSLのセキュリティ・ホールが最も多く侵入に利用され,全体の40%を占めた。また,侵入後の行動を解析した結果,他のマシンへ攻撃するため,すなわち“踏み台”として利用するために侵入しているケースが最も多いという。

 「ハニーポット」とは,攻撃者を誘いこむ“ワナ”のこと。インターネット上に侵入可能なおとりのマシン(サーバー)を設置して攻撃者を誘い込み,相手に気付かれないように攻撃手法などを監視する。現在“流行っている”手法や攻撃者の動機などを知り,対策に役立てることが目的である。

 同社では2003年5月からSombriaを稼働させている。5月から7月までの集計結果は2003年9月に公開している。SombriaはWebサーバー,ファイアウオールおよびIDS(侵入検知システム)の3台から構成され,都内某所に設置されているという。攻撃者を誘い込むのがWebサーバーで,攻撃者によるスキャンなどはIDSで検知する。侵入を許したWebサーバーから他マシンへの攻撃はファイアウオールで防ぐので,実際に踏み台として利用されることはない。

 今回公開された8月から10月までの集計結果によると,侵入に最も使われたのはOpenSSLのセキュリティ・ホールで,次いで「SSH」(26%),「Samba」(23%)のセキュリティ・ホールが使われた。5月から7月までは,Samba(42%),OpenSSL(29%),SSH(18%)の順に多かった。OpenSSLを使っている公開用Webサーバー(特にApacheサーバー)の管理者は,現在使用しているOpenSSLにセキュリティ・ホールがないことを改めて確認しておきたい。

 Webサーバー・マシンのログなどから,攻撃者が侵入した後の行動を解析した結果,46%が踏み台として利用するために,30%がシステムを破壊するために侵入したと考えられるという。

 今回公開された情報には,2003年8月に出現した「Blaster」の攻撃状況もまとめられている。8月から10月までの間,平均すると1日に2000回以上,Blasterからのものと思われるアクセスがあったという。

 同情報には,Webサーバーへの侵入に成功した攻撃者の行動履歴も詳しく書かれている。攻撃者の行動を知る上で参考になるので,管理者は目を通しておくとよいだろう。

◎参考資料
「Sombria」
「A Witness To Potential Cyber Crimes: サイバー犯罪の目撃者」(PDFファイル)
「A Walk Through "Sombria": 侵入者の行動観察システム」(PDFファイル)

(勝村 幸博=IT Pro)