サイトの改ざんを未然に防ぐ
自社サイトのハッキングをネットベースの整合性監視でチェックする
自社サイトのトップページが改変されたりユーザーがフィッシングサイトに誘導されるといったハッキングを検出するには、具体的にどうすればいいのだろうか。
「ファイルベースの整合性監視（FIM）」は、社内のサーバに置かれた重要なファイルやバイナリに改変が加えられていないか監視することにより、システムの整合性を保証するというコンセプトだ。FIMを実装すれば、構成ファイル、バイナリ、カーネルなどが修正された場合に、その行為を検出し、それが承認されたものであるかどうかを判定できる。
FIMはPCI DSS（クレジットカードデータのセキュリティ規格）やHIPAA（医療保険の相互運用性と説明責任に関する法律）などでは一般的なコンプライアンス要件となっている。しかし、ネットワークベースの整合性監視が要件とされているケースはあまり見かけない。これは、FIMと同じコンセプトを、WhoisやDNSなどの情報にオンラインで適用するというものだ。Whois情報が変更される、DNSが改ざんされてユーザーがフィッシングサイトに誘導される、あるいは自社のWebサーバがハッキングされてトップページが改変されるといった出来事を検出するにはどうすればいいのだろうか。
Webサイトの可用性を監視するツールは存在するが、サイトの整合性をチェックするためのツールは少ない。Webサイト、Webアプリケーション、DNS、Whoisといった企業のネットワークのプレゼンス（存在形態）が改変されたかどうかを確実に検出するための手段も必要ではないだろうか。
サーバ上で動作するFIM製品の多くは、Webサイトの改変を検出できる。しかし、DNSのリダイレクションやレジストラ（ドメイン名登録業者）を通じたWhoisの修正といった小細工による攻撃の場合はFIMでは検出できず、ユーザーが悪質なサイトに誘導される可能性がある。
手作業によるネットワーク整合性監視
大抵のLinuxシステムでは、一連のスクリプトと毎日（1時間ごとに）実行するcron（プログラムを定期実行させるサーバ機能）ジョブによって手作業でネットワーク整合性監視を行うことができる。Windowsでもそれは可能だが、基本的なネットワーキングツール（Whoisなど）を備えていないので、本稿ではLinuxを対象とする。まず、以下に示すように、Lynxまたはwgetをセットアップして自社のWebページをダウンロードし、md5またはsha1チェックサムを実行して出力結果を比較する。
mkdir /nim
cd /nim
lynx --dump --source http:// www.example .com > /nim/tmp-source.txt
lynx --dump http:// www.example.com > /nim/tmp-dump.txt
md5sum /nim/*.txt > file-wish-hashes.txt
sha1sum /nim/*.txt >> file-wish-hashes.txt
md5sum -c /nbim/file-with-hashes.txt
sha1sum -c /nbim/file-with-hashes.txt
同じようにして、WhoisおよびDNSを監視できる。
Whois example.com > /nim/Whois.txt
host -t ANY example.com > /nin/dns.txt
md5sum /nim/*.txt > file-wish-hashes.txt
sha1sum /nim/*.txt >> file-wish-hashes.txt
md5sum -c /nim/file-with-hashes.txt
sha1sum -c /bim/file-with-hashes.txt
上記を最初に実行した後でスクリプトを編集することにより、md5sumまたはsha1sumによる比較（-cフラグ）だけを行ったり、diffコマンドを実行して、どのような修正が加えられたのかを確認したりできる。
diff /nim/Whois.txt /nim/Whois-old.txt | mail -s "Change detail" you @ example.com
cp -pr /nim/Whois.txt /nin/Whois-old.txt
md5sum /nin/Whois.txt > /nim/files-with-hashes.txt
監視対象のシステムが少ない場合にはこのアプローチがうまくいくが、そうでない場合は、すべてのスクリプトを管理するのが煩雑になる可能性がある。もう1つの問題は、社内でスクリプトを実行する際に表示されているサイトが、社外からアクセスするユーザーに見えるサイトと同じではない可能性があることだ。
自動ネットワーク整合性監視
手作業の監視に伴う問題に対処し、企業のインターネットプレゼンスの社外での表示を正確に把握するために、われわれは無償のネットワーク整合性監視アプリケーションを開発した。これは「Sucuri NBIM（Network Based Integrity Monitoring）」と呼ばれ、上記の作業を簡素化してくれる。すべての変更履歴、変更内容、関連情報（リソースがオフラインになったことがあるかなど）も表示する。
その威力は実証済みだ。このアプリケーションの開発を行っていた数カ月前、わたしのドメインの1つのWhois情報が変更されたことを知らせる電子メールを受け取った。アラートの内容は以下の通りだ。
Sucuri nbim: www.xx.com (whois) modified
Modifications:
16,19c16,17
< Status: clientDeleteProhibited
< Status: clientTransferProhibited
< Status: clientUpdateProhibited
< Updated Date: 26-feb-2007
--- > Status: ok
Updated Date: 07-jan-2009
End of Notification
これを見れば分かるように、誰かがわたしのドメインからロックフラグ（ファイルへのアクセス制御機構）を削除したのだ。この操作は通常、ロックフラグを誰かに移転する場合にしか行わない。レジストラに電話で連絡し、パスワードをすべて変更することでこの問題が解決した。そのレジストラにでは、アカウントの獲得を狙ったブルートフォース（総当たり）攻撃が増えているという。
もう1つの例として、GoogleのメインWebサイトが「母の日」バージョンに修正されたケースを紹介しよう。
Sucuri nbim: www.google.com (whois) modified
Modifications:
6c6
> Happy Mother's Day!
End of Notification
これは攻撃ではないが、ドメイン外部の人間があなたの会社のサイトを変更した場合に、このツールが非常に有効であることを示している。
本稿筆者のデビッド・デビッドソン氏は、オープンソースのセキュリティと侵入検知ツールを専門とするネットワークセキュリティコンサルタント。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社キーエンス] なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは -
製品資料
[株式会社セールスフォース・ジャパン] 「CRMは設計と無関係」は本当か？ PLMとの融合で実現する高速開発 -
事例
[日本ヒューレット・パッカード合同会社] AIエージェントの時代にどう備える？ 「新たな働き手」を支える3要素とは -
製品資料
[日本ヒューレット・パッカード合同会社] “横並びの自動化”から脱却、AI活用で生産性と競争力を高める秘訣 -
製品資料
[サイボウズ株式会社] AIが「わざわざ使うツール」になっていない？ 業務で自然に使う導線にする秘訣
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
2
法務と開発者で「言葉が通じない」問題 トヨタやソニーが語るOSS管理の真実
-
3
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
-
4
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
5
「中堅・中小企業のネットワーク・セキュリティ運用実態」に関するアンケート
-
6
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
7
「Wi-Fi 7」経由でWindowsが乗っ取られる？ 最高権限奪取の恐怖
-
8
情報漏えいはなぜ繰り返されるのか 今すぐ見直すべき「境界」
-
9
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
10
【漫画付き】ひとり情シス協会が明かす、RAG導入でしくじる企業「2つの共通点」
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
3
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
4
財務部門がAIを最大限に活用する方法 無駄のない戦略的リーダーシップへの道
-
5
LLMが兵器化？ 元FBI高官が鳴らす警鐘とセキュリティツール統合のポイント
-
6
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
7
なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは
-
8
生成AIを開発に導入しても効果が見えない？ 実証実験で分かった成果と課題
-
9
経産省DX指針から読み解く、受発注業務デジタル化ロードマップ
-
10
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー