不正侵入の入り口をふさぐ

匿名Webプロキシサーバを職場から一掃する方法

社内での匿名プロキシソフトを使ったWeb閲覧を許すことには危険が伴う。これを防ぐにはどのような措置を講じればいいのだろうか。

公開 2009年04月13日 07時30分

更新 2012年09月04日 18時10分

著者

John Strand

[TechTarget]

印刷する

　企業は社内のWebブラウザ利用をコントロールする目的で、セキュリティゲートウェイ技術戦略の一環としてWebフィルタを使うことがある。しかし、中にはどうしてもフィルタをかわして制約なしにWebを使い続けたいと思う従業員もおり、Webフィルタをだまして不適切なサイトへのアクセスを許可させる「匿名Webプロキシ」の利用で対抗してくる。本稿では、Web匿名化がシステムへの不正侵入を招きかねない実態に触れ、コンテンツフィルタリングのプロセス強化の手段を紹介する。

匿名Webプロキシの弊害

　まず、匿名プロキシソフトを使ったWeb閲覧を許すことの危険性をはっきりさせておきたい。社内ネットワークでユーザーがこれを使っていたら、少なくともユーザーの一部が規則を破っているのは間違いない。ポルノサイトやギャンブルサイト、あるいは個人ブログ、MySpace.com、YouTubeといった禁止サイトを閲覧しているかもしれない。こうしたサイトは広告や「特別プログラム」の形で、バックドアを仕込むトロイの木馬などマルウェアをホスティングしている場合があることは覚えておきたい。

　企業向けWebコンテンツフィルタ装置の多くは、単に攻撃を防いだり、悪質サイトや評判の悪いドメインからの感染を防いでいるだけではないことも知っておいた方がいい。こうした製品は、広告経由で感染するかもしれないマルウェアを防ぎ、サードパーティー広告を通じて知らないうちにマルウェアをホスティングしている正規サイト上のコンテンツからも企業を守ってくれる。インターネットとそれにアクセスするWebブラウザは、ユーザーにとって最大の弱点だ。Webコンテンツフィルタリング装置がなければ、Webからの悪質コード感染を防ぐ層はウイルス対策ソフトだけになるが、この防御は攻撃側がそれなりのツールを使えばかわすことができてしまう。

　では、ユーザーはどうやってWebフィルタリング装置をかわしているのか？　これは極めて簡単だ。そのためのツールが多数、無償提供されている。例えば従業員は、会社のサーバに直接アクセスしてコンテンツフィルタを通る代わりに、「Privoxy」のような“仲介”匿名プロキシソフトを介して接続を確立し、オブジェクトをリクエストできる。

　しかも、新興のWebプロキシツールと技術に追い付くのは容易ではない。ウイルス対策ソフトメーカーの中には無許可プロキシに対し、ユーザーがプロキシの設定と共有に使っているフォーラム、IRCチャンネル、掲示板を継続的にチェックするブラックリスト方式を取っているところもある。メーカーは見つけたプロキシをブラックリストに追加する。このアプローチは面白いが、ユーザーが自宅でプロキシを設定し、前述したようにSSHやSSL経由で会社の環境から抜け出すトンネルを作っている場合は役に立たないという欠点がある。この場合のプロキシは、ブラックリストを作成しているベンダーの目に留まるほど多数には行き渡っていないかもしれない。

匿名プロキシソフト対策

　組織が取るべき最初の行動は、Web閲覧ポリシーを見直すことだ。利用許可ポリシーとして、ユーザーのインターネットへの出入りは監視され、会社のWebフィルタをかわすことはいかなる手段であっても容認しないと明記する必要がある。ユーザーのプライバシーが守られると思ってはいけない。この点は、政治的問題があって理解を得にくいかもしれないが、セキュリティ強化と環境監視のために大きな役割を果たす。

　プロキシ対策の観点から重要なネットワークの透明性を確保するため、業務と無関係なトラフィックが出て行くのは防がなければならない。一部の外部サイトには例外が必要だ。例えばユーザーは、調べ物やデータ入力のためにほかのサイトにアクセスする必要があるかもしれない。業務を成り立たせるためにどのサイトが必要か見極めようと努め、それに従って制限を掛けることだ。

　セキュリティ専門家は全般に、特定のプロトコルしか自分のネットワークに入れさせないこと（イングレスフィルタリング）はかなりうまくなったが、自社の環境から出て行くのを許すトラフィック（イーグレスフィルタリング）についてはまだ対応できていないネットワークが多い。入ってくるトラフィックにも出て行くトラフィックにも同じ心構えを持つことが不可欠だ。

　もし一般的なWebポートである80番ポートや443番ポートに向かう下りトラフィックをリダイレクトしたとしても、ほかのポートへのトラフィックの監視や制限を怠れば、社内のユーザーがブラウザに手動でサーバのアドレスとポートを入力し（例えばwwx.homeproxy.com:8888など）、下りのWebフィルタを回避できてしまう。攻撃者が会社の環境から外部プロキシへのSSHトンネルを作成することもできるかもしれない。明確に許可されていないトラフィックは認めない、という暗黙のルールを作っておくのが理想だ。

　社内環境から出て行くトラフィックを制御した後は、社内のユーザーがアクセスしているサイトを監視する。Webコンテンツフィルタリングソフトが見逃してしまうプロキシサイトがあるのは避けられないため、Webコンテンツフィルタのログを、少なくとも週に一度は必ずチェックしたい。

　以上の手順に従えば、多くの点で助けになる。以上のベストプラクティスによって無許可Web閲覧の量が減り、監査の助けとなり、社内環境に対するクライアントサイド攻撃の効果がそがれる。Webブラウザ経由で感染するマルウェアの多くは、Webをコマンド＆コントロールの仕組みとして利用する。6667番ポート（IRCが利用するポート）やICMPといった非標準のポートやプロトコルを、トンネル作成の仕組みとして使うものもある。Webコンテンツフィルタリング装置を通じてリダイレクトされるものを除き、下りポートが閉鎖されれば、外部の攻撃者にとっての主要なコマンド＆コントロール経路をふさぐことができる。そのことを考慮して、ネットワークから出て行こうとするトラフィックは――そして明白に許可・監視されていなかったトラフィックは――不正アクセスの疑いがあると見なし、調査する必要がある。

本稿筆者のジョン・ストランド氏の現職はBlack Hills Information Securityの上級セキュリティ研究者。ArgotekではTS/SCIプログラムコンサルタントを務める。SANS公認インストラクターとして、SANS 504「Hacker Techniques, Exploits and Incident Handling」、 517「Cutting Edge Hacking Techniques」、560「Network Penetration Testing」の各クラスで講義を受け持っている。

印刷する