「検疫ネットワーク」について勉強してみた。

多くの企業においてノートＰＣを社外に持ち出して仕事をすることを認めているが、外部で無線ＬＡＮやＰＨＳやＦＯＭＡなどによる通信をした場合、当該ノートＰＣに対してウィルス混入等やセキュリティパッチが最新ではない、等のリスクが生じる可能性がある。

そこで、考えられているのが「検疫ネットワーク」という考え方のようです。

いくつか、検疫ネットワークについて説明されているサイトがあったので、ここであげておきます。

なぜ検疫ネットワークが普及しないのか｜＠IT

[ThinkIT] 第1回：検疫ネットワークの市場概況 (1/3)

上記の記事は２～３年前のもの。これは比較的新しいですね。

検疫ネットワークが必要な本当の理由 － TechTargetジャパン

ただ、このTechTargetジャパンの記事は、ユーザー登録をする必要があるようです。無料だったので、早速登録。

細かい内容についてはそれらの記事に任せるとして、これらの情報を元にボクなりに「検疫ネットワーク」について整理してみます。

【検疫ネットワークの目的】

１．社内LANに接続される持込PCに対して、社内で定められたポリシーに従ったセキュリティ対策が全て施されているか、事前に確認して不完全だった場合に完全になるまで社内LANに影響を及ぼさないようにする機能。また、当該PCに対するセキュリティ対策の実施を支援する。

２．現在、社内LANに接続されているPCに対して、常に社内で定められたポリシーに従ったセキュリティ対策が全て施されているかチェックを行い、不完全であれば当該PCに対するセキュリティ対策の実施を支援する。

【「検疫ネットワーク」という考え方と実装支援サービスの混同】

上記の＠ITの記事の題名は、「なぜ検疫ネットワーク」は普及しないのかとなっていました。ただ、先述の記事を読んでいると企業においては、検疫ネットワークの考え方に基づいたセキュリティ対策は進んでいるように思えます。

それが、たとえば

・ウィルスチェックソフトによる最新パターンファイルの自動アップデート機能
・Windowsサーバーによる自動パッチ適用サービス

なわけです。一方では実装支援サービスとして

・Trusted Computing Group（TCG）によるTrusted Network Connect（TNC）
・自己防衛型ネットワークSelf-Defensive Network（SDN）戦略に基づく検疫ネットワークソリューションのNetwork Admission Control（NAC）

といった取り組みがなされているかと思います。ただ、こういったソリューションによってシステム構築するとコストが非常にかかるそうです。

ただ、結局は餅は餅屋に頼めばいいじゃないか、という考えの元に

・ウィルスチェックソフトベンダー、OSのメーカー

といったところが（無償で）提供するサービスを利用しているというのが実態のようです。これらを実装することによって上記の目的の大きな部分は満たされるわけです。

つまり、まとめとしてボクが思うのは、

・検疫ネットワークを提供するシステムは普及していないけど、そのシステムで防ぐことができる脆弱性は代替手段によって塞がれている。

というのが実態なのではないでしょうか。

もう少しシステム構築にかかわるコストが下がってきたときに、本来の検疫ネットワークの良さである

・事前に確認して不完全だった場合に社内LANに接続させない。

といった機能を実装できる日がくるのではないかと思うわけです。

SQLインジェクションについて勉強してみる。

巷で話題となっている「SQLインジェクション」について、ネット上に公開されている情報を調べてみました。まず、なんでこんなに騒がれているのか知りたかったので、実際に被害のあった企業のリストを知りたい！、と思っていたのですが一番、わかりやすくかったのはWikipediaでした。

 

SQLインジェクション - Wikipedia

 

この記事の中で、実例というカテゴリーがあるのですが圧巻です。引用しますー。

 

# 2005年3月に発生した、クラブツーリズムのクレジットカード情報を含む個人情報漏洩。同年6月にクラブツーリズムを含む14社への不正アクセスの疑いで中国人留学生が逮捕された。
# 2005年5月に発生した、価格.comのWebサイト改ざんの手口は、公式には秘匿されているが、SQLインジェクションによるものであるという説がある。クラブツーリズム事件の犯人は価格.comへの不正アクセスも行っていた。
# 2005年6月に判明した、アデコの個人情報漏洩。クラブツーリズム事件と同一犯。
# 2005年8月に判明した、静岡新聞社アットエスの個人情報漏洩。クラブツーリズム事件と同一犯。
# 2005年11月に発生した、ワコールオンラインショップのクレジットカード情報を含む個人情報漏洩。
# 2005年11月に発生した、キッズオンラインのアカウント情報漏洩。
# 2006年1月に判明した、スカイソフトのクレジットカード情報を含む個人情報漏洩。スカイソフトは閉店へと追い込まれた。
# 2006年4月に発生した、るるぶのアカウント情報漏洩。
# 2006年6月に発生した、日本体育協会のWebサイト改ざん。
# 2007年7月に判明した、@SOLAショップのクレジットカード情報を含む個人情報漏洩。@SOLAショップは休業となり、2008年8月時点でも再開できていない。
# 2008年3月に発生した、トレンドマイクロ、@nifty、クリエイティブメディアのWebサイト改ざん。
# 2008年3月に発生した、サウンドハウスのクレジットカード情報を含む個人情報漏洩。過去に設置された不正プログラムを経由して不正アクセスが行われた疑いがある。
# 2008年4月に発生した、カービューのWebサイト改ざん。
# 2008年5月に発生した、アイドラッグストアー、アイビューティーストアーのクレジットカード情報を含む個人情報漏洩。
# 2008年5月に発生した、富士山マガジンサービスのWebサイト改ざん。
# 2008年6月に発生した、アイリスプラザのクレジットカード情報漏洩。
# 2008年7月に判明した、ナチュラムのクレジットカード情報を含む個人情報漏洩。過去に設置された不正プログラムを経由して不正アクセスが行われた疑いがある。
# 2008年7月に発生した、米国向けプレイステーションのWebサイト改ざん。

 

マジで猛威を振るってますねー。これらの企業の技術者の人たち、本当にかわいそう（泣）

このような事態を受けて、情報処理推進機構は2008年5月に

 

情報処理推進機構：情報セキュリティ：脆弱性対策：SQLインジェクション攻撃に関する注意喚起

 

という注意喚起を行っています。そして、WEBサーバのアクセスログを用いてSQLインジェクションの脆弱性を検知するツールを公開しています。

 

情報処理推進機構：情報セキュリティ：脆弱性対策：ウェブサイトの脆弱性検出ツール

 

対応するWEBサーバのログは、

 

# IIS5.0/6.0のW3C拡張ログファイルタイプ
# Apache HTTP Server1.3系/2.0系/2.2系のcommonタイプ

ということですので、興味ある方はぜひー。

 

ちなみに、そもそもSQLインジェクションってどういう仕組みなのかについては以下の記事に掲載されてます。

 

今夜分かるSQLインジェクション対策 － ＠IT

サイト脆弱性をチェックしよう！--第6回：SQLインジェクションの検査方法：スペシャル - ZDNet Japan

ハッカーの金鉱脈「SQLインジェクション」の正体：ITpro

SQLインジェクションを考える

 

WEBサーバーを運営している技術者の方々は、これらの情報をしっておかないと大変なことになりそうです。