コラム
2004/05/11 00:00 更新

ITソリューションフロンティア：ソリューション
全社的なサーバーセキュリティ対策のために

2003年はウイルスやワームによるコンピュータシステムへの被害、個人情報漏洩など多くの事件が発生した。これら情報セキュリティに関する事件（セキュリティインシデント）は毎年増加を続けており、企業はこれらの脅威に適切に対応することを求められている。本稿では、全社的なサーバーセキュリティ対策に何が必要か、またどのような課題があるかについて考察する。

増え続けるセキュリティインシデント

　2003年は、セキュリティホールを利用したW32/SQL Slammer、W32/MS Blasterといったワーム（自己増殖を繰り返しながら破壊活動を行うウイルス）が大流行した。MSBlasterは、マイクロソフト社がセキュリティホールを公開した25日後に発生し猛威をふるった｡このワームはノートPCなど内部ネットワークからの感染被害が多数報告されており、企業のセキュリティ対策の期間や内容について見直しを迫るものとなった。また、ユーザーIDやパスワードの盗用、セキュリティホールを利用した不正アクセス事件も数多く報告された。

　統計情報によれば、2003年のセキュリティホール報告件数は2002年に比べるとやや減少したが、1日あたり10件を超える数のセキュリティホールが報告されており、セキュリティインシデントの件数は急激な増加傾向にある（表1参照）。

サーバーに求められるセキュリティ対策

　ウイルスやワームによる攻撃、不正アクセスを防御するためのセキュリティ対策としては、セキュリティホールへの対応、セキュリティ設定不備の修正、ID・パスワードの管理が重要になる。これらの対策を、企業で使用しているすべてのサーバーに対してどのように行えばよいであろうか。

　まずセキュリティホールに対しては以下のような対応が必要になる。

（1）すべてのサーバーについて、使用している製品のバージョン、セキュリティパッチの情報を整理する。

（2）各サーバーの役割、保持しているデータなどを考慮しで重要度を決める。

（3）セキュリティホールの内容を理解し、影響を判断する。

　セキュリティ設定については、OS（基本ソフト）や各アプリケーション製品のセキュリティ項目を調査して正しく設定すること、フォルダーおよびファイル単位のアクセス制限を適切に行うことが必要である。

　IDとパスワードの管理では、パスワードに使用する文字数や種類、変更サイクルなどのルールを定め、ルールが守られているかを適時検査する必要がある。

サーバーセキュリティ対策における課題

　上で述べたサーバーのセキュリティ対策を行うためには、以下のような煩雑な作業が必要になる。

（1）毎日のように報告される膨大な数のセキュリティホール情報の継続的な収集

（2）セキュリティ設定やセキュリティホールの内容を理解するための、広範かつ高度な、システムおよびセキュリティに関する知識

（3）パスワード変更管理、人事異動や退職により交代した管理者のアカウント管理を継続的に監査する仕組み

　また、大規模なWebサイトや全社規模でのサーバーのセキュリティ管理を行うためには以下の課題にも対応していく必要がある。

（4）サーバー情報（使用製品のバージョン、セキュリティパッチ情報）の収集管理

（5）サーバー管理者情報（連絡先）の管理、連絡体制の整備

（6）セキュリティ問題発生時の対応管理

　Webサイト管理者やサーバー管理者が、通常の運用管理業務に加えて上記のようなセキュリティ対策を独自に行うためには、高度のスキルが必要で負荷も高い。

セキュリティサービスの利用

　以上のような状況から、サーバー管理者をサポートするためのセキュリティサービスが求められてきている。

　NRIセキュアテクノロジーズでは、以下のような機能をもつサーバーセキュリティ管理サービス「Secure Cube/Site Security Check」を提供している。

（1）サーバーセキュリティ情報管理機能

サーバーで使用しているOSやWebサーバーなどの製品情報を管理し、それらの製品のセキュリティに問題がないか診断を行う。

（2）セキュリティホール対応状況管理機能

各サーバーで使用している製品にセキュリティホール情報が報告されると、自動的にメールで管理者に通知を行う。全社、Webサイト、サーバー単位でセキュリティホールへの対応状況を一覧でき、全社的なセキュリティ対応管理をサポートする。またセキュリティホールの危険度に応じて対応予定期間を設定でき、対応予定期間を過ぎても対応が行われていないサーバーの管理者にメールで通知を行う｡

（3）サーバーセキュリティ状態監視機能

サーバー管理用ソフトを導入することで、バージョンおよびパッチ情報の自動収集、ファイル改ざん検知機能を提供する。

　包括的で実効あるサーバーセキュリティ対策を行うために、このような外部サービスの利用は有効な選択肢となるであろう。

Copyright (c) 2004 Nomura Research Institute, Ltd. All rights reserved. No reproduction or republication without written permission .

関連リンク
OPINION：野村総合研究所

[津田邦康，野村総合研究所]

Copyright © ITmedia, Inc. All Rights Reserved.