「このセキュリティ・ホールが狙われる」---セキュリティ組織が“TOP 20”リストを公開

勝村幸博

2003.10.10

　セキュリティ組織である米SANS Instituteは米国時間10月8日，クラッキングやウイルスなどに頻繁に悪用されるセキュリティ・ホールをまとめた「The Twenty Most Critical Internet Security Vulnerabilities」を公開した。Windowsに関する情報が10件，UNIXおよびLinuxに関する情報が10件，それぞれリストアップされている。システム管理者は，自分が管理しているシステムにおいて，これらがきちんとふさがれていることを改めて確認したい。

　SANS Instituteは，3年前（2000年）から同様のリストを公開し，毎年1回更新している。3年前は，頻繁に悪用されていた10件のセキュリティ・ホールを“TOP 10”としてリストアップし，公開した。2年前から，WindowsおよびUNIXなどに関するセキュリティ・ホールをそれぞれ10件リストアップし，“TOP 20”として公開している。今年で4回目の更新となる。

　頻繁に悪用されるセキュリティ・ホールが存在するソフトウエア／機能として，以下の20件がリストアップされている（それぞれの詳細については， SANS Instituteのページを参照していただきたい）。

◆Windowsプラットフォーム
（1） Internet Information Services (IIS)
（2） Microsoft SQL Server (MSSQL)
（3） Windows Authentication
（4） Internet Explorer (IE)
（5） Windows Remote Access Services
（6） Microsoft Data Access Components (MDAC)
（7） Windows Scripting Host (WSH)
（8） Microsoft Outlook Outlook Express
（9） Windows Peer to Peer File Sharing (P2P)
（10）Simple Network Management Protocol (SNMP)

◆UNIX／Linuxプラットフォーム
（1） BIND Domain Name System
（2） Remote Procedure Calls (RPC)
（3） Apache Web Server
（4） General UNIX Authentication Accounts with No Passwords or Weak Passwords
（5） Clear Text Services
（6） Sendmail
（7） Simple Network Management Protocol (SNMP)
（8） Secure Shell (SSH)
（9） Misconfiguration of Enterprise Services NIS/NFS
（10）Open Secure Sockets Layer (SSL)

　2002年に公開された“TOP 20”リストと比較すると，Windowsプラットフォームでは（5） Windows Remote Access Services や（8） Microsoft Outlook Outlook Expressなどが，UNIX／Linuxプラットフォームでは（5） Clear Text Servicesや（10）Open Secure Sockets Layer (SSL)などが，新たに“ランクイン”していることが分かる。

　「The SANS Top 20 Internet Security Vulnerabilities」では，頻繁に悪用されるセキュリティ・ホールが存在するソフトウエアや機能を単にリストアップしているだけではなく，それぞれの対処方法などを詳しく説明している。参考になるので，システム管理者はぜひ一度目を通していただきたい。