エンタープライズ：ニュース 2003/08/08 23:21:00 更新


「国際ハッキングコンテスト」結果が残した教訓

セキュリティ企業のラックは、7月はじめに行われた国際的なWeb改竄コンテストの結果を分析し、レポートを公開した。

　7月はじめに、米Internet Security Systemsが国際ハッキングコンテスト「Defacers Challenge」について警告したというニュースを覚えているだろうか？

　予想よりも少ない被害にとどまった（むしろ、Webの改竄は日ごろから行われていることに過ぎない、と見ることもできる）というこのコンテストに関するレポートを、ラックのJSOC（Japan Security Operation Center）がまとめ、公開した。

　このレポートによると、約400件に上るとも言われた改竄を受けたWebサイトの数だが、IPアドレスなどを元に重複分を除くと、実際には192件の改竄が確認されたという。ちなみに日本で被害にあったのは2件だった。

　このうちOSが確認できたものを見ると、LinuxとWindowsがそれぞれ80件以上となった。Linuxが最も多くターゲットとなった理由の1つには、Defacers Challengeが定めたルールもあるだろう。このルールでは、改竄1件につき与えられるポイントがWindowsでは1ポイントであるのに対し、LinuxやBSDは2ポイントとされていた。

　だが同時に、改竄を受けたアプリケーションの組み合わせを見ると、ほとんどがLinuxのデフォルトインストールのままだったことも事実という。ラックではまた、管理が楽なRPMパッケージによるアップデートを利用するユーザーが増え、本来の最新バージョンを知らないまま運用していることも理由の1つとして考えられるとしている。

　ラックは同時に、ターゲットとなったアプリケーションについても調査している。それによるとApacheは99件、Internet Information Service／Server（IIS）は59件で、この2つが大半を占める結果となった。ここで興味深いのは、Apache本体は最新版にアップデートしておきながら、OpenSSLやPHPといったモジュールは古いバージョンのままとなっており、そこに残っていたセキュリティホールを攻撃された可能性があるという点だ。盲点になりがちなモジュールについても配慮が必要といえそうだ。

　日ごろからセキュリティ情報を収集し、できる限り最新バージョンの、セキュリティホールをつぶしたOSおよびアプリケーションを用いることはセキュリティ対策の基本である。この調査結果からは、こうした地道な作業を怠った結果が如実に示されたといってもいいだろう。

関連記事
▼サイト改ざんコンテストの記録サイトがダウン
▼「Webサイト改ざんコンテスト」は稚拙な冗談？
▼Mac OS、AIX、HP-UXが狙われる――「国際ハッキングコンテスト」で被害のおそれ
▼セキュリティアラート

関連リンク
▼ラック：侵入傾向分析レポート Vol.2

[高橋睦美，ITmedia]