INFORMATION Security特約記事　　「SECURING Linux」　　第2回「システム管理とセキュリティツール」

　どの程度のセキュリティが確立されているのか分からない既存のLinuxシステムを安全にするよりも、ゼロから安全なLinuxシステムを構築する方が簡単である。そして、セキュリティの確立が簡単であることにより、それが使われやすくなり、結果として、より安全になる。現

国際海外情報

2000年4月27日（木） 12時00分

　どの程度のセキュリティが確立されているのか分からない既存のLinuxシステムを安全にするよりも、ゼロから安全なLinuxシステムを構築する方が簡単である。そして、セキュリティの確立が簡単であることにより、それが使われやすくなり、結果として、より安全になる。現状では、Linuxは既にそれ相応に安全である。Linuxは、リソースのセキュリティ確保のために、よく使われ、何度もテストされたUNIXモデルを使用しているからである。Linuxワークステーションを安全にするために非常に重要な点は、ユーザにrootでログインさせないということだ。さらに、通常のユーザアカウントは、特権を付与せずにセットアップする必要がある。

　このような状況でも、開発者はLinuxをより安全にするためのツールを大量に次々と作り出しているが、それは驚くほどのことではない。こうしたツールの1つをBastille Linuxプロジェクトが提供している。このツールの目的は、Red Hat Linuxのインストール後ただちに実行される“焼き入れプログラム”を生成することだ。ユーザには種々のセキュリティオプションが提示される。そして、このプログラムは、インタラクティブな（そして教育的な）セキュリティ経験を提供する。Bastilleグループは、安全なLinux製品を開発するよりもRed Hat Linuxを安全にするためのツールを作成する方を選択したのである。

　多くのセキュリティ専門家は、Linuxをまったく無視して、非常にセキュリティの高いオペレーティングシステムと位置づけられているBSD UNIXの亜種であるOpenBSDを選ぶという別の選択をする。しかし、OpenBSDへの転換は必ずしも（もしくは、しばしば）、Red Hatをはじめとする主流となっているLinux製品を使用することを望むエンドユーザの選択ではない。OSは安全にインストールするだけでなく、常に、その安全を維持し続けなければならない。システムが攻撃を受けていないかどうかを判断するために様々な侵入検出システム（IDSes）を利用できる。多くの市販IDSesは、定期的にファイルに変更が加えられていないかを調べ、許可なくファイルに変更が加えられた時にはシステム管理者に通知する。
「編集者注：最新の侵入検出ツールの紹介はwww.infosecuritymag.com/sept99/cover.htmlを参照のこと。」

　さらに、Linuxシステム管理者はファイルの完全性以外についてもチェックする必要がある。システムの脆弱点をチェックするためには、SATAN（Security Administrator's Tool for Analyzing Network）、SAINT（Security Administrator's Integrated Network Tool）およびNessusのようなシステムスキャナが必須だ。社内のセキュリティポリシーに照らして問題ないとしても、ネットワークに脆弱点がないかどうかをスキャンしてみるべきだろう。特に、そのネットワークを初心者のLinuxシステム管理者が管理している場合には、それが必要なはずだ。
言うまでもないことであるが、スキャンツールを使用するのが正しい人間だけとはかぎらない。Psionic Software社のPortSentryのようなスキャナー検知プログラムは、システムにポートスキャンを行なうためにアタッカーが使用したスキャナの痕跡を認識する。

Linuxではウイルスを簡単には侵入させない。通常、ウイルスは自身を実行可能にする前に、まずroot特権を入手する。

Linux管理者はウイルスについては（ほんの少しだが）安心していられる。すべてのユーザが、（危険なコードも含めて）あらゆるプログラムを実行可能なWindowsとは違って、Linuxではウイルスを簡単には侵入させない。通常、ウイルスは自身を実行可能にする前に、まずroot特権を入手する。これまでもLinuxおよびUNIXのウイルスは作成されてきたが（最初は1988年のMorrisワームであった）、それほど一般的ではない。WindowsがOS市場を独占している限り、ウイルスの作成者はマイクロソフト製品に攻撃の的を絞り続けるだろう。

　しかし、Sambaのような、ネットワークサービスを実行するLinuxシステムは、電子メールの添付ファイルから侵入するようなウイルスを増殖させる可能性がある。Linux用の電子メール・ウイルス・スキャン・ソフトは、大多数のAVベンダーから入手できる。

　あらゆるマルチユーザシステムと同じく、Linuxでもパスワードの管理に注意する必要がある。アタッカーは、/etc/passwdファイルに対して辞書攻撃を行なう可能性がある。シャドウしたパスワードに変換すると、パスワードそのものは別の、アクセスしにくいファイル（/etc/shadow）に保管されるため、アタッカーは、辞書攻撃を実行する前に、そのファイルにアクセスしなければならず、攻撃が難しくなる。Linuxアプリケーションが行なう認証のセキュリティをより高くするには、Pluggable Authentication Modules（PAMs）を使用し、MD5パスワードサポート、パスワードチェックなどの認証機能を追加するとよいだろう。

　現在、多くのLinux製品には、パケットフィルタリングおよびルーティングをサポートする機構が組み込まれている。このため、Linuxはファイアウォール構築のために選択されるようになっている。現在Linuxの標準機能の1つとなっているTCPラッパは、コストをかけずにプロキシ／アプリケーション・ゲートウェイ・ファイアウォールのセキュリティ機能に利用することができる。

３．ところで、それ以外にも…

　原理的には、商用システムに利用可能なセキュリティアプリケーションはすべて、Linuxやその他のオープンソースOSにも利用可能だ。Linuxに対する注目が増すなか、ますます多くの商用ベンダーが、独立したオープンソースプロジェクトから入手可能なアプリケーションの多くの代替版として、自分達の製品を利用可能にしている。

例えば、IPSecセキュリティトンネリングおよびVPNサポートはLinux FreeS/WANで利用可能である。また、GNUが作成した、GNU Privacy Guard（GPG）という名前のPGPライクのオープンソースプログラムがある。このプログラムは特許のあるアルゴリズムをまったく使っていない。そして、Tripwireのような、これまでに作られたオープンプログラムの多くが商用ベンダー（この場合はTripwire Inc.）に引き渡され、新たに手を加えられてきたのである。

※今回掲載された「SECURING Linux」の日本語訳は、5月下旬に刊行される
「Scan Security Handbook Vol.3」（Linuxセキュリティ専門資料）から抜粋したものです。
http://www.vagabond.co.jp/scan/ssh3.htm

《ScanNetSecurity》