• BPnet
  • ビジネス
  • IT
  • テクノロジー
  • 医療
  • 建設・不動産
  • TRENDY
  • WOMAN
  • ショッピング
  • 転職
  • ナショジオ
  • 日経電子版
  • PR

  • PR

  • PR

  • PR

  • PR

セキュリティ診断のイロハ

攻撃者が狙うシステムの弱点は5つ

佐宗 万祐子、北原 憲=ラック 2017/09/21 日経NETWORK
出典:日経NETWORK 2017年9月号pp.92-94
(記事は執筆時の情報に基づいており、現在では異なる場合があります)
目次一覧

 攻撃者は、システムにどこか1カ所脆弱な部分を見つければ、そこを攻撃してくる。守る側は攻撃者の視点に立って、自分たちのシステムに弱点がないかを検証する必要がある。攻撃者から狙われやすいセキュリティ上の弱点について解説する。

*   *   *

 あるメーカーの情報システム部に勤める若手エンジニア、若葉イロハ。情報システム部の倉田部長と先輩の吉野さんに、2017年上半期のセキュリティ診断の成果を報告している。

若葉:危険度中以上の脆弱性は、すべて対策が完了しました。

倉田:半年間でなかなかの成果じゃないか。これで、もう安全と言い切っていいんだね。

若葉:えっと…、大丈夫かな。

吉野:ちょっと待って。攻撃者は甘くない。過信は禁物だよ。

*   *   *

 攻撃者が狙いやすく、守る側が見落としがちなポイントを下の図に挙げた。特に注意が必要なのは、「意図せず公開しているサービス」「管理が不十分なソフトウエア」「管理用Webページの悪用」「CMSの脆弱性」「検索エンジンを使ったハッキング」の五つだ。

守る側が見落としがちなポイント
攻撃者が狙いやすく、守る側が見落としがちな弱点になりやすいポイントを5点挙げた。自社のサーバーに当てはまるものがあるかチェックしてみよう。通常の定期的なセキュリティ診断の際に確認すれば、セキュリティをさらに向上できる。
[画像のクリックで拡大表示]

攻撃されやすいサービスに注意

 サーバー上で稼働しているサービスの中には、攻撃されやすいものがある。「意図せず公開しているサービス」は、これらを重点的にチェックしよう。

攻撃されやすいポート
2017年4月~6月の期間で、 JPCERT/CCが検知したポート別のスキャン件数の上位10件を挙げた。SSHやSMTP、DNS、HTTPなどのよく使うサービスは件数が多い。あまりインターネット上で公開しない、データベースやSMBのポートにもスキャンがある。設定ミスなどで公開してしまうと攻撃される可能性が高い。
[画像のクリックで拡大表示]

 TELNETやSSHなど、遠隔からサーバーを操作できるサービスは、パスワードを特定されると、サーバーに直接侵入されてしまう。公開する必要がないなら、サービスを停止するのが基本だ。システムの構築時にはポートを閉じていても、メンテナンス時などに開いてそのままにしてしまうことがよくある。定期的な確認も大切だ。

 サービスを停止できない場合は、管理端末だけがアクセスできるように、IPアドレスによる接続制限など、できるだけ強固なアクセス制御を設定しよう。

 FTPやSMBのようなファイル共有サービスには、ファイルを閲覧される情報漏洩の危険性や、悪意のあるファイルをアップロードされる危険性がある。これらのサービスを停止できない場合は、IPアドレスによるアクセス制限に加えて、匿名ログインが許可されていないか確認する。ファイルやフォルダーへの適切なアクセス権限の設定も不可欠だ。

 Microsoft SQL ServerやPostgreSQL、MySQLなどのデータベースサービスは、万が一攻撃が成功した場合に大規模な情報漏洩につながる。特に、Microsoft SQL ServerのようにOSコマンドを実行できるものは、サーバーに侵入される危険性もある。

 データベースソフトウエアは、初期設定ではネットワーク越しにログインできないようになっているものが多い。設定が変わっていないかどうか、確認しよう。

▼CMS
Contents Management Systemの略称。HTMLなどのスキルがなくても、Webサイトのコンテンツを作成し管理できるツール。
▼SSH
Secure Shellの略。
▼FTP
File Transfer Protocolの略。
▼SMB
Server Message Blockの略。
▼匿名ログイン
誰でも匿名でサービスを利用できるようにするログインのこと。「anonymous」などのユーザーIDを使えば、認証情報なしでログインできるように実装されていることが多い。

ここから先はITpro会員(無料)の登録が必要です。

次ページ ソフトウエア資産管理を徹底
  • 1
  • 2

あなたにお薦め

連載新着

連載目次を見る

今のおすすめ記事

  • 【何がすごいの?「5G」5つの疑問】

    5Gはいつ始まる?

     日本で5Gの商用サービスは3年後の2020年に始まる。NTTドコモとKDDIが2020年中の開始を表明しているほか、ソフトバンクも「2020年ごろを目指す」としている。携帯大手3社や総務省などの関係者は、2020年開催の東京オリンピック・パラリンピックを5Gの実力と活用方法を広くアピールする絶好の…

ITpro SPECIALPR

What’s New!

経営

アプリケーション/DB/ミドルウエア

クラウド

運用管理

設計/開発

サーバー/ストレージ

ネットワーク/通信サービス

セキュリティ

もっと見る