Deprecated: The each() function is deprecated. This message will be suppressed on further calls in /home/zhenxiangba/zhenxiangba.com/public_html/phproxy-improved-master/index.php on line 456
--- 2000/ed000009.txt Fri Aug 25 13:01:38 2000 +++ 2001/ed010006.txt Thu Dec 27 13:56:35 2001 @@ -1,18 +1,19 @@ -----BEGIN PGP SIGNED MESSAGE----- ====================================================================== - JPCERT-ED-2000-0009 + JPCERT-ED-2001-0006 JPCERT/CC 技術メモ - Web ページの改竄に対する防衛 -初 版: 2000-02-14 (Ver.01: JPCERT-ED-2000-0001) -発行日: 2000-08-25 (Ver.03) +初 版: 2000-02-14 (Ver.01: JPCERT-ED-2000-0001) +発 行 日: 2001-12-27 (Ver.04) +最新情報: http://www.jpcert.or.jp/ed/2001/ed010006.txt ====================================================================== 文章の位置付け - 本文章はWebページの改竄に対して緊急的処置としてどのような対策が可能 -なのかを示すものです。抜本的な Web サーバの防御に関しては、このドキュ + 本文章は Web ページの改竄に対して緊急的処置としてどのような対策が可 +能なのかを示すものです。抜本的な Web サーバの防御に関しては、このドキュ メントだけでは十分ではないことをあらかじめご了承下さい。 @@ -39,7 +40,7 @@ II. 防衛の方法 Web ページの改竄に対する防衛の方法は、第 I 章で挙げた要因を少なくす -ることにつきます。以下では対策について、緊急の対策、次に取る対策、そし +ることに尽きます。以下では対策について、緊急の対策、次に取る対策、そし て抜本的な対策へのアプローチ、と三つに分けて説明します。 @@ -52,127 +53,188 @@ ・外部からの HTTP 以外のサービスに対するアクセスを禁止する Web サーバのソフトウェアには、セキュリティ上の問題が発見されているも -のがあります[1][2]。また、Web サーバのソフトウェアは、複雑で大規模なも -のであるため、新たにセキュリティ上の問題が発見されることが考えられます。 -これらの問題を放置すると、セキュリティ上の問題を悪用され、不正侵入や不 -正利用につながることが考えられます。利用している Web サーバのソフトウェ -アの情報を確認し、最新のバージョンとすることを強くお勧めします。 +のがあります[1][2][3][4][5][6][7][9][10]。また、Web サーバのソフトウェ +アは、複雑で大規模なものであるため、新たにセキュリティ上の問題が発見さ +れることが考えられます。これらの問題を放置すると、セキュリティ上の問題 +を悪用され、不正侵入や不正利用につながる可能性があります。利用している +Web サーバのソフトウェアの情報を確認し、最新のバージョンとすることを強 +くお勧めします。 Web サーバにおいて、HTTP 以外のサービスの弱点が悪用されるおそれがあ ります。Web サーバの目的が外部への HTTP によるサービスだけの場合、それ 以外のネットワークサービスに対するアクセスをすべて禁止することをお勧め -します。具体的には、ルータによるパケットフィルタリングにより、HTTP 以 -外の通信を遮断することが考えられます。 +します。具体的には、ルータやホスト自身でパケットフィルタリングを行なう +ことにより、HTTP 以外の通信を遮断することが考えられます。 (2) 次に取る対策 - 緊急の対策の次に取る対策として、以下の五つを推奨します。Web サーバの -HTTP によるサービスを限定し、そのセキュリティを高めます。また、Web サー -バのホストとしてのセキュリティを高めます。 + 緊急の対策の次に行なう対策として、以下の五つを推奨します。Web サーバ +のHTTP によるサービスを限定し、そのセキュリティを高めます。また、Web +サーバのホストとしてのセキュリティを高めます[8]。 - ・Web サーバのソフトウェアの設定を再確認し、必要最小限の設定とする - ・CGI プログラムを確認し、不必要な CGI プログラムを削除する + ・Web サーバソフトウェアの設定を再確認し、必要最小限の設定とする + ・CGI プログラムを確認し、不要な CGI プログラムを削除する ・不要なネットワークサービスを停止する ・ログ機能を設定し、監視できるようにする - ・Web サーバで利用するソフトウェア(OS、ネットワークアプリケーショ - ン)を確認し、最新のバージョンとする + ・Web サーバホストで利用するソフトウェア(OS、ネットワークアプリケー + ション)を確認し、最新のバージョンとする Web サーバのソフトウェアは、機能が豊富で拡張性が高くなっています。し かし、セキュリティの観点からは、できるだけ限られた機能だけを利用するこ -とが望まれます。設定を再確認し、簡潔でわかり安い設定となるように心がけ、 -必要最小限の設定とすることをお勧めします。例えば、静的なコンテンツの配 -送だけに限定するという運用が考えられます。 - - もし、CGI を利用したサービスを行なっている場合、CGI プログラムを確認 -し、不必要な CGI プログラムを削除することをお勧めします。必要なければ、 -CGI の機能自身を停止することも考えられます。また、CGI プログラムから利 -用されるソフトウェアに関しても技術的な安全性の評価をすることが望まれま -す。 +とが望まれます。設定を再確認し、簡潔でわかりやすい設定となるように心が +け、必要最小限の設定とすることをお勧めします。例えば、静的なコンテンツ +の配送だけに限定するという運用が考えられます。 + + CGI を利用したサービスを行なっている場合には、CGI プログラムを確認し、 +不要な CGI プログラムを削除することをお勧めします。必要なければ、CGI +の機能自身を停止することも考えられます。また、CGI プログラムから利用さ +れるソフトウェアに関しても技術的な安全性の評価をすることが望まれます。 Web サーバのホストとしてのセキュリティを高めることも重要です。不要な ネットワークサービスを停止し、通信のログを取るように設定し、監視を行な -えるようにします。また、OS やネットワークアプリケーションなどのソフト -ウェアを最新のバージョンとします。 +うようにします。また、OS やネットワークアプリケーションなどのソフトウェ +アを最新のバージョンとします[11][12][13]。 (3) 抜本的な対策へのアプローチ 本節では、緊急的処置後の抜本的な対策に至るアプローチに関して説明しま す。抜本的な対策を考える場合には、技術的な対策というよりも運用の仕組み、 -業務としての設計という部分が重要になってきます。以下の三つの点に関して -考察することを推奨します。 +業務としての設計という部分が重要になってきます[14]。以下の三つの点に関 +して考察することを推奨します。 ・Web サービスの位置付けの確認とネットワーク構成/設計への反映 - ・Web サービス運用の作業分担の明確化、更新の手順の文書化、周知徹底 + ・Web サービス運用の作業分担の明確化、更新手順の文書化、周知徹底 ・監視、緊急対応の体制づくり - Web サービスを組織としての対外サービスとして、どのように位置付けるか -を再検討し、何が必要条件か、どの程度のサービスレベルを設定するかなどを -定義することが重要になります。これらが決まった上で、セキュリティに関し -て、何をどの程度守るかが決まります。また、対外サービスの Web サービス -を行なうことが、ネットワークの構成と設計に反映され、ネットワーク全体と -しても齟齬なく運用されることが望まれます。 - - Web サービスの運用は、一般にコンテンツの作成者、Web サービスのプログ -ラミングを行なう人、ホストの管理者、ネットワークの管理者など複数の人に -よって実施されます。これらの複数の人の中での作業分担を明確化し、更新の -手順を文書化し、ページの更新がどのようにして起こるかを周知徹底すること -が重要になります。 - - Web サービス、およびホストの通信に関して監視し、不正なアクセス(ある -いはその試み)があった場合には早期に発見して対応することが望まれます。 -監視の体制作りを行ない、緊急対応の仕組みの確立をすることが望まれます。 -可能であれば、緊急対応の訓練をすることが望まれます。 - - -III. 備考: 「ファイアーウオール」について - - 組織とインターネットの接続においては、「ファイアーウオール」と呼ばれ -る環境を構築し、これによって通信を制御、監視を行なうことがあります。 -「ファイアーウオール」の役割には、外部のネットワークから組織の内部のネッ -トワークを守ること、内部のネットワークに対してインターネットへのサービ -スを提供することなどがあります。 - - 一般に、「ファイアーウオール」の導入によってネットワークのセキュリティ -は高まりますが、Web サーバを「ファイアーウオール」による保護の対象とす -るかどうかは、サイトのセキュリティポリシーによって異なる判断があり得ま -す。 - - Web サーバを「ファイアーウオール」による保護の対象外とし、Web サーバ -は単独としてセキュリティを高めるという運用も一つの方式です。保護の対象 -を分けて管理することは、全体のセキュリティを高めることにつながります。 - - Web サーバを「ファイアーウオール」による保護の対象とする方式もありま -す。ただし、この場合、「ファイアーウオール」によって何が守られているか -について十分注意する必要があります。第 I 章で挙げた要因のうち、実装方 -式にもよりますが、「ファイアーウオール」では守れないものもあります。 -「ファイアーウオール」があるからといって、Web サーバの危険性のすべてが -守られるわけでは決してありません。 - - 重大な運用の勘違いとして、保護することを目的として、「ファイアーウオー -ル」によって守られている組織の内部のネットワークに、外部のサービスを目 -的とした Web サーバを配置することがあります。この場合には、かえってリ -スクを高めてしまい、万が一 Web サーバが不正侵入された場合に、組織の内 -部のネットワークも危険に晒されることになります。このような運用は決して -勧められません。 + Web サービスを組織の対外サービスとして、どのように位置付けるかを再検 +討し、何が必要条件か、どの程度のサービスレベルを設定するかなどを定義す +ることが重要になります[15]。これらを明確にした上で、セキュリティに関し +て、何をどの程度守るかが決まります。また、対外サービスとしての Web サー +ビスを行なうことがネットワークの構成と設計に反映され、ネットワーク全体 +として齟齬なく運用されることが望まれます。 + + Web サービスの運用は、一般にコンテンツ作成者、Web サービスのプログラ +ミングを行なう人、ホスト管理者、ネットワーク管理者など複数の人間によっ +て実施されます。これら複数の人の中での作業分担を明確化し、更新手順を文 +書化し、どのようにしてページ更新を行なうかを周知徹底することが重要にな +ります。 + + Web サービスおよびホストの通信を監視し、不正なアクセス(あるいはその +試み)があった場合には早期に発見して対応することが望まれます。監視の体 +制作りを行ない、緊急対応の仕組みを確立すること、および、可能であれば、 +緊急対応の訓練をすることも推奨されます。 + + +III. Web サーバとファイアウォール + + 組織とインターネットの接続においては、「ファイアウォール」[16]と呼ば +れる環境を構築し、これによって通信を制御・監視することがあります。「ファ +イアウォール」の役割には、外部のネットワークから組織内部のネットワーク +へのアクセスを制限すること、組織内部のネットワークからインターネット上 +のサービスへのアクセスを提供することなどがあります。 + + 一般に「ファイアウォール」の導入によってネットワークのセキュリティを +高めることができますが、Web サーバを「ファイアウォール」による保護の対 +象とするかどうかは、サイトのセキュリティポリシーによって異なる判断があ +り得ます。 + + Web サーバを「ファイアウォール」による保護の対象外とし、Web サーバは +単独としてセキュリティを高めるという運用も一つの方式です。保護の対象を +分けて管理することは、全体のセキュリティを高めることにつながります。 + + Web サーバを「ファイアウォール」による保護の対象とする方式もあります。 +ただし、この場合、「ファイアウォール」によって何を守るかについて十分注 +意する必要があります。第 I 章で挙げた要因のうち、実装方式にもよります +が、「ファイアウォール」では守れないものもあります。「ファイアウォール」 +があるからといって、Web サーバの危険性のすべてを排除できるわけではあり +ません。 + + 運用上の重大な勘違いとして、「ファイアウォール」によって守られている +組織内部のネットワークに、外部へのサービスを目的とした Web サーバを配 +置することがあります。このような構成では、万が一 Web サーバが不正侵入 +された場合、組織内部のネットワークも危険に晒されることになります。この +ような運用は決して勧められません。 IV. 参考資料 -[1] CERT Advisory CA-99-07, "IIS Buffer Overflow", June 18, 1999. - http://www.cert.org/advisories/CA-99-07-IIS-Buffer-Overflow.html +[1] CERT Advisory CA-1998-04 + Microsoft Windows-based Web Servers access via long file names -[2] ISS Security Advisory, "Buffer Overflow in Netscape Enterprise and - FastTrack Web Servers", August 25, 1999. + http://www.cert.org/advisories/CA-1998-04.html - http://ciac.llnl.gov/ciac/bulletins/j-062.shtml +[2] CERT Advisory CA-1999-07 + IIS Buffer Overflow -[3] CIAC Bulletin, "Web Security", May 17, 1999. + http://www.cert.org/advisories/CA-1999-07.html - http://ciac.llnl.gov/ciac/bulletins/j-042.shtml +[3] CERT Advisory CA-2001-10 + buffer Overflow Vulnerability in Microsoft IIS 5.0 + http://www.cert.org/advisories/CA-2001-10.html + +[4] CERT Advisory CA-2001-12 + Superfluous Decoding Vulnerability in IIS + + http://www.cert.org/advisories/CA-2001-12.html + +[5] CERT Advisory CA-2001-13 + Buffer Overflow In IIS Indexing Service DLL + + http://www.cert.org/advisories/CA-2001-13.html + +[6] CERT Advisory CA-2001-14 + Cisco IOS HTTP Server Authentication Vulnerability + + http://www.cert.org/advisories/CA-2001-14.html + +[7] CIAC Bulletin J-062 + Netscape Enterprise and FastTrack Web Servers Buffer Overflow + + http://www.ciac.gov/ciac/bulletins/j-062.shtml + +[8] CIAC Bulletin J-042 + Web Security + + http://www.ciac.gov/ciac/bulletins/j-042.shtml + +[9] JPCERT/CC Alert 2001-06-20 + Microsoft Index Server ISAPI Extension Buffer Overflow + + http://www.jpcert.or.jp/at/2001/at010010.txt + +[10] JPCERT/CC Alert(Microsoft IIS) 2001-05-09 + IIS 5.0 のセキュリティ上の弱点 + + http://www.jpcert.or.jp/at/2001/at010008.txt + +[11] Windows NT Configuration Guidelines + + http://www.cert.org/tech_tips/win_configuration_guidelines.html + +[12] UNIX Configuration Guidelines + + http://www.cert.org/tech_tips/unix_configuration_guidelines.html + +[13] UNIX Security Checklist v2.0 + + http://www.auscert.org.au/Information/Auscert_info/Papers/usc20.html + http://www.cert.org/tech_tips/usc20.html + +[14] Improving Computer Security through Network Design + + http://www.auscert.org.au/Information/Auscert_info/Papers/Security_Domains.html + +[15] Site Security Policy Development + + http://www.auscert.org.au/Information/Auscert_info/Papers/Site_Security_Policy_Development.txt + +[16] Home Network Security + + http://www.cert.org/tech_tips/home_networks.html#II-L __________ @@ -194,7 +256,7 @@ __________ -2000 (C) JPCERT/CC +2000-2001 (C) JPCERT/CC この文書を転載する際には、全文を転載してください。情報は更新されてい る可能性がありますので、最新情報については @@ -212,16 +274,18 @@ 改訂履歴 +2001-12-27 参照 URL と文面の更新 2000-08-25 参照 URL の更新 2000-02-28 第 IV 章 参考資料の URL を修正。 2000-02-14 初版 -----BEGIN PGP SIGNATURE----- Version: 2.6.3ia +Charset: noconv -iQCVAwUBOaXvnox1ay4slNTtAQFxSQQA48eaEqyW1A0sGlu6LRb4HHjEW5ygWbyR -RKEfP9VAMu9gW2C1rd2fmUn2qEP3REAgqAuiDtwnZ9I3/dx1aDo8OPWdMyXR85hm -t28qmbOwjdztFP3ry2UfZxl0GBGrO50eKZawNvXbhafP1oswGHDkW5Ycu+rz2a+3 -bLR61qrz9PA= -=wJZ7 +iQCVAwUBPCqI8ox1ay4slNTtAQHQ6gP+Lqj5MxUAPwehv+K7VrQAW3xPtICyyDOD +byxTS5eHtiFtLO9JWpm4/sq/sr2R+jfQKm5Eozyszq6tE9eeWo2hmQPS8pEMd/uu +Vy1jVD1zCpcHIQpDlsu9ETBvEKKKOB0TFBIVZgv/aONKr1fGpfOCJVf8deyuhU4e +MipXmCexFCo= +=8eFf -----END PGP SIGNATURE-----