データセンター事業者の業務内容を解説するこの連載の第4回では，セキュリティ対策の舞台裏を紹介しよう。当社のデータセンターでは，インターネットからの不正アクセスを防止するために，ファイアウォールやIDS（侵入検知システム）などを設置し，日々監視を行っている。しかし，昨今はそうした基本的な対策をかいくぐる攻撃が急増しているのが実情だ。代表的なものとして，SQLインジェクションといったWebアプリケーションに対する攻撃が挙げられる。
ハウジングやホスティングでデータセンターの設備を利用されるお客様の中には，自社でWebアプリケーションを開発して，サービスインする場合もある。もし，そうしたWebアプリケーションにぜい弱性が存在していると，攻撃を受けたとき，データを改ざんされたり情報が漏えいしたりといった被害に遭う。データセンター事業者は，こうした問題にお客様が見舞われる前に，可能な限り対策を打つことが必要だと考えている。そこで，当社も含めた多くの事業者は，要望に応じてセキュリティの専門部隊が，お客様のシステムのぜい弱性を診断している。
ある時，ハウジングを行っているお客様で，サービスインへ向けてシステムの動作検証を実施中に，サーバー機器がエラーを出力して停止する，という現象が起こった。この障害の原因について切り分けを行った結果，どうもお客様で開発したWebアプリケーションに対して，インターネットから攻撃が行われていると推測できるログが確認された。
そこで，当社セキュリティ専門の部隊が当該Webアプリケーションのチェックを行ったところ，不正なSQLコマンドを送り込まれるSQLインジェクションのぜい弱性が存在し，それが原因でサーバーが停止していたことが判明した。実際に，セキュリティ専門部隊がお客様の許可を得て攻撃を仕掛けると，サーバーはエラーを出力して停止した。
即座にこの事実をお客様にお伝えし，Webアプリケーションの修正を依頼するとともに，データセンターで保有するWAF（Web Application Firewall）という専用装置による防御策も提案した（図1）。このWAFはSQLインジェクションやクロスサイト・スクリプティングのようなWebアプリケーションに対する攻撃に有効な装置で，一部のハウジングのお客様に提供を行っている。検討の結果，リリース前のフェーズであったため，何とかアプリケーションの修正が間に合い，事なきを得た。理想的な対策はやはりアプリケーションを修正してぜい弱性を根本的に取り除くことだ。WAFを使う場合は，チューニングが不可欠で，しかも製品によって防御力に差がある。
Webアプリケーションに対する攻撃は，データセンターに置かれたお客様の機器に対する脅威の一つに過ぎない。ときにはOSやミドルウエア，ネットワーク機器にぜい弱性が見つかり，攻撃を受けることもある。データセンターでは，こうしたインターネットからの脅威に対して常に監視と情報収集を行い，次々と現われる攻撃手法に対して先手先手の対策を打つことが重要である。
株式会社STNet プラットフォーム技術部 ソリューション第2チーム チームリーダー
