サイトの改ざんを未然に防ぐ

自社サイトのハッキングをネットベースの整合性監視でチェックする

自社サイトのトップページが改変されたりユーザーがフィッシングサイトに誘導されるといったハッキングを検出するには、具体的にどうすればいいのだろうか。

公開 2009年10月05日 07時30分

更新 2012年09月04日 17時46分

著者

David Davidson

[TechTarget]

印刷する

　「ファイルベースの整合性監視（FIM）」は、社内のサーバに置かれた重要なファイルやバイナリに改変が加えられていないか監視することにより、システムの整合性を保証するというコンセプトだ。FIMを実装すれば、構成ファイル、バイナリ、カーネルなどが修正された場合に、その行為を検出し、それが承認されたものであるかどうかを判定できる。

　FIMはPCI DSS（クレジットカードデータのセキュリティ規格）やHIPAA（医療保険の相互運用性と説明責任に関する法律）などでは一般的なコンプライアンス要件となっている。しかし、ネットワークベースの整合性監視が要件とされているケースはあまり見かけない。これは、FIMと同じコンセプトを、WhoisやDNSなどの情報にオンラインで適用するというものだ。Whois情報が変更される、DNSが改ざんされてユーザーがフィッシングサイトに誘導される、あるいは自社のWebサーバがハッキングされてトップページが改変されるといった出来事を検出するにはどうすればいいのだろうか。

　Webサイトの可用性を監視するツールは存在するが、サイトの整合性をチェックするためのツールは少ない。Webサイト、Webアプリケーション、DNS、Whoisといった企業のネットワークのプレゼンス（存在形態）が改変されたかどうかを確実に検出するための手段も必要ではないだろうか。

　サーバ上で動作するFIM製品の多くは、Webサイトの改変を検出できる。しかし、DNSのリダイレクションやレジストラ（ドメイン名登録業者）を通じたWhoisの修正といった小細工による攻撃の場合はFIMでは検出できず、ユーザーが悪質なサイトに誘導される可能性がある。

手作業によるネットワーク整合性監視

　大抵のLinuxシステムでは、一連のスクリプトと毎日（1時間ごとに）実行するcron（プログラムを定期実行させるサーバ機能）ジョブによって手作業でネットワーク整合性監視を行うことができる。Windowsでもそれは可能だが、基本的なネットワーキングツール（Whoisなど）を備えていないので、本稿ではLinuxを対象とする。まず、以下に示すように、Lynxまたはwgetをセットアップして自社のWebページをダウンロードし、md5またはsha1チェックサムを実行して出力結果を比較する。

mkdir /nim

cd /nim

lynx --dump --source http:// www.example .com > /nim/tmp-source.txt

lynx --dump http:// www.example.com > /nim/tmp-dump.txt

md5sum /nim/*.txt > file-wish-hashes.txt

sha1sum /nim/*.txt >> file-wish-hashes.txt

md5sum -c /nbim/file-with-hashes.txt

sha1sum -c /nbim/file-with-hashes.txt

　同じようにして、WhoisおよびDNSを監視できる。

Whois example.com > /nim/Whois.txt

host -t ANY example.com > /nin/dns.txt

md5sum /nim/*.txt > file-wish-hashes.txt

sha1sum /nim/*.txt >> file-wish-hashes.txt

md5sum -c /nim/file-with-hashes.txt

sha1sum -c /bim/file-with-hashes.txt

　上記を最初に実行した後でスクリプトを編集することにより、md5sumまたはsha1sumによる比較（-cフラグ）だけを行ったり、diffコマンドを実行して、どのような修正が加えられたのかを確認したりできる。

diff /nim/Whois.txt /nim/Whois-old.txt | mail -s "Change detail" you @ example.com

cp -pr /nim/Whois.txt /nin/Whois-old.txt

md5sum /nin/Whois.txt > /nim/files-with-hashes.txt

　監視対象のシステムが少ない場合にはこのアプローチがうまくいくが、そうでない場合は、すべてのスクリプトを管理するのが煩雑になる可能性がある。もう1つの問題は、社内でスクリプトを実行する際に表示されているサイトが、社外からアクセスするユーザーに見えるサイトと同じではない可能性があることだ。

自動ネットワーク整合性監視

　手作業の監視に伴う問題に対処し、企業のインターネットプレゼンスの社外での表示を正確に把握するために、われわれは無償のネットワーク整合性監視アプリケーションを開発した。これは「Sucuri NBIM（Network Based Integrity Monitoring）」と呼ばれ、上記の作業を簡素化してくれる。すべての変更履歴、変更内容、関連情報（リソースがオフラインになったことがあるかなど）も表示する。

　その威力は実証済みだ。このアプリケーションの開発を行っていた数カ月前、わたしのドメインの1つのWhois情報が変更されたことを知らせる電子メールを受け取った。アラートの内容は以下の通りだ。

Sucuri nbim: www.xx.com (whois) modified

Modifications:

16,19c16,17

< Status: clientDeleteProhibited

< Status: clientTransferProhibited

< Status: clientUpdateProhibited

< Updated Date: 26-feb-2007

--- > Status: ok

Updated Date: 07-jan-2009

End of Notification

　これを見れば分かるように、誰かがわたしのドメインからロックフラグ（ファイルへのアクセス制御機構）を削除したのだ。この操作は通常、ロックフラグを誰かに移転する場合にしか行わない。レジストラに電話で連絡し、パスワードをすべて変更することでこの問題が解決した。そのレジストラにでは、アカウントの獲得を狙ったブルートフォース（総当たり）攻撃が増えているという。

　もう1つの例として、GoogleのメインWebサイトが「母の日」バージョンに修正されたケースを紹介しよう。

Sucuri nbim: www.google.com (whois) modified

Modifications:

6c6

< Google

> Happy Mother's Day!

End of Notification

　これは攻撃ではないが、ドメイン外部の人間があなたの会社のサイトを変更した場合に、このツールが非常に有効であることを示している。

本稿筆者のデビッド・デビッドソン氏は、オープンソースのセキュリティと侵入検知ツールを専門とするネットワークセキュリティコンサルタント。

印刷する