怪しいポートとユーザーを調べる

　自動起動するプログラムをチェックするだけでは十分とはいえない。別の形で侵入して動作していたり，通常のユーザーになりすまして不正な操作をしていたりする可能性もある。

開いてるポートをチェックする
　まず，不審なポートが開いていないかをチェックする。攻撃者は「rootkits」という隠しプログラムを使って，攻撃対象となるマシンのポートを開き，リモート・アクセスしようとする。root kitsはこれまでもUNIXの世界で一般的だったが，Windowsを攻撃するためにroot kitsを使う悪意のハッカーも増えている。

　接続状態にあるポートや，待ち受け状態にあるポートをWindowsマシンで調べるためには，コマンド・プロンプトから以下のコマンドを実行する。

Netstat -a


△　図をクリックすると拡大されます
表1●Windows XPマシンでオープンになっている典型的なポート

　表1では，Windows XPコンピュータ上で通常開いているポートを紹介している。特定のクライアントやサーバーで，ポートがこれ以上開いていたとしてもすぐに心配する必要はない。ポートはサービスの種類によって動的に割り当てられる場合もある。

　例えば，RPC（リモート・プロシージャ・コール）は，DHCPやWINSをリモートから管理する場合に，1024番以降のポートを動的に割り当てる。詳細についてはマイクロソフトのサポート技術情報「ファイアウオールで動作するようにRPCの動的ポート割り当てを構成する方法（該当サイト）を参照してほしい。

　Netstatコマンドでは，以下のポイントについて確認する。

●複数の接続が，社外のIPアドレスに対して成立していないか。複数の接続とは環境によって異なるが，10以上の接続が目安となろう。

●意外なポート，特に番号が1024番以降の高位のポートが開いていないか。ハッキング・プログラムやroot kitsはリモート接続を成立させるために高位のポートを使うことが多い。

●未解決（ペンディング）となっている接続が多くなっていないか。これが多いと「SYN flood攻撃」の兆候と考えられる。

●見たことのないバッチ・ファイルがないか。root kitsは「C:\」「C:\winnt」「C:\windows」「C:\winnt\system32」「C:\windows\system32」といったフォルダにバッチ・ファイルを作成する。

　もしroot kitsや他のハッキング・プログラムと怪しまれる動作が確認できたら，Windowsのごみ箱に隠しフォルダや不正のフォルダがないかも確認しよう。これらの中にはごみ箱にファイルを作成するものがある。

　ごみ箱は，デフォルトでは「C:\recycler」フォルダにある（Windows9x/Meでは「C:\Recycled」フォルダ）。［ごみ箱を空にする］を実行した後も残っているファイルやフォルダは，怪しいと考えられる。

　ハッキング・ツールによっては，Netstatがコンピュータ上の開かれたポートを表示しないようにするものがある。Netstatが不審な開かれたポートを表示しなくても，どこかにハッキング・プログラムがあると思われる場合は，オープン・ソースのユーティリティ「Network Mapper（nmap）」のようなポート・スキャナを別のコンピュータから実行してみて，ハッキングされた恐れのあるコンピュータのどのポートが開いているかを確認する。NetworkMapper（nmap）は，「http://www.insecure.org/nmap/」からダウンロードできる。

AD内に存在する悪意のユーザーを探す
　攻撃者は，Active Directory（AD）内に悪意のユーザーを複数作成してシステムを脅かすことがある。これに対抗するには，正規の全ユーザーについて，ユーザー・アカウントの［説明］の部分に「正規ユーザー」といった特定の記述を追加すればよい。ユーザーを［説明］の記述によってソートすれば，記述の無い不正なユーザーがすべてリストの先頭に表示される。

　ハッキングの究極の目的は，システム上の特権を入手することである。特権を取得すれば，システムを自由に操作できる。AD内で特権を保有するグループ（管理者，ドメイン管理者，エンタープライズ管理者，サーバー・オペレータなど）を確認して，不正なメンバーがいないかを確認しよう。不正ユーザーを見分けやすくするために，各グループのメンバーは制限するようにしよう。

ハッキング被害から復旧する

　システムがハッキングされたことを発見してもパニックに陥ってはいけない。冷静さを保って論理的に進めよう。図4の実行プランでダメージを最小限に留める。


△　図をクリックすると拡大されます
図4●ハッキングされたマシンを復旧する際の手順

(1)ネットワークを切り離す
　まずはインターネット，WAN，VPN（仮想プライベート・ネットワーク），ダイヤルアップ接続を含むネットワーク上の外部インターフェースをすべてシャットダウンし，ルーター，無線LANアクセス・ポイントなど，ネットワークを外部につなげるあらゆるデバイスへの回線を切断する。こうすることで攻撃を停止し，攻撃者がシステムを脅かせないようになる。

(2)不正な無線LANの検出
　周囲にある無線LANアクセス・ポイントの情報を自動的に収集する「ワイヤレス・スニファ」を使って悪意のアクセス・ポイントを探知する。スニファ・ソフトは「Airscanner Mobile Sniffer」または「NetStumbler」がいいだろう。スニファは，最新の無線LAN規格（802.11a，802.11b，802.11g）をすべてサポートしているマシンにインストールしよう。

(3)他にも攻撃されたマシンはないか
　この記事で紹介している方法を使って，他にもハッキングされたマシンがないかを確認する。

(4)ファイアウオールの構成を確認する
不正なルール，不正な外部へのポート，不正なNAT規則を探す。ファイアウオールのログを参照して，怪しい動きがないかを確認する。インターネットに向けて発信される（アウトバウンドの）トラフィックは，必要最小限のポートやマシンに限定するようにしよう。こうすれば，ファイアウオールの外に，情報が漏れ出さなくなる。

(5)ADを調べる
　不正なユーザー・アカウントを探し，見つけたら無効にする。

(6)全アカウントのパスワードを変更
　ネットワーク上に存在する，すべてのアカウントのパスワードを変更する。また特権を保有するアカウントについては，15文字以上のパスワードを設定するのがよい。15文字以上のパスワードは，（ぜい弱性の高い）LM認証でサーバーに保存されないので，クラッキングされる危険性が低くなる。

(7)ハードディスクの交換
　ディスクを交換することでハッキング活動の隔離と保存ができる。後でそのディスクを調べれば，攻撃に関する重要な情報を入手できるだろう。

(8)ぜい弱性を特定して対処する
　ハッカーがどのようにしてネットワークに侵入したか確認しよう。これは言うほど簡単なことではないので，この記事では説明しきれない。ぜい弱製を特定できない場合は，セキュリティのコンサルタントを雇うことを検討するとよい。

(9)攻撃されたマシンを再構築する
　ハッキングされてしまったコンピュータを完全にきれいにすることはほとんど不可能である。ハッキング・ツールが1つでも残っていれば，攻撃者はは再びマシンに侵入できてしまう。クリーンなコンピュータにするには，ハードディスクをフォーマットする必要がある。

　すべてのプログラムはCD-ROMから再インストールし，パッチはすべて手動で適用し，データ・ファイルだけを復旧させる。バックアップ・データからOSやレジストリ，プログラムを復旧させてはいけない。

(10)全マシンでウイルス・スキャン
　念のためネットワーク上の全マシンでウイルス・スキャンを実行する。ただし注意すべきなのは，アンチウイルス・ソフトがハッキング・ツールを正当なプログラムとして認識することがあるということだ。スキャンの結果はクリーンでも，ハッキングされた可能性があると判断した場合は，マシンを再構築することをお勧めする。

(11)WAN回線を再接続する
　WAN回線を再接続し，侵入の入り口がきちんとふさがれたか注意深く監視する。ネットワークの帯域幅に大きな負荷がかかっていないかを見守り，ファイアウオール・ログを注意深く監視するとともに，全サーバーのセキュリティ監査を有効にする。

(12)ハードディスクを解析する
　スタンドアロンのコンピュータにハッキングされたハードディスクを接続して，情報収集のための調査（フォレンジック）を行う。侵入者は通常，IPアドレスのなりすましをしているものの，IPアドレスが攻撃元のトラッキングを開始する最適なポイントであることは間違いない。IANA（Internet Assigned Numbers Authority）のWebサイトからIPアドレスの割り当てリストを入手できる。

(13)当局に届け出る
　FBIは，不審なインターネット活動に関する報告を受け付けるInternet Fraud Complaint Center（IFCC，該当サイト）を運営していて，大抵の拠点にCyber Action Teams（CATs）がある。ハッキングされたことを認めることはだれもしたくないことだが，関係当局に届け出ることで，被害の拡大を防ぐことができる。

　日本の場合は，都道府県警察本部のサイバー犯罪相談窓口に届け出る。連絡先は「警察庁サイバー犯罪対策」（該当サイト）で確認できる。

＊　　　　　＊　　　　　＊

　ここまでで紹介したステップをもとにすれば，ハッキング復旧計画を立てられるだろう。自社の組織形態に合うよう調整したうえで，災害復旧計画に組み込んでおくとよい。