ストレージの脆弱性を見過ごすことなかれ：Column

ストレージシステムは、企業の重要な情報資産を格納する場所であり、最もセキュアでなければならないポイントだ。しかし、現実には意外な脆弱性が広範に存在する。その脆弱性とは？

[TechTarget]

　企業のネットワークで最も価値のあるものに、ストレージサーバがある。どのようなストレージシステムを採用していようとも、企業情報の格納場所としてストレージは、できるかぎりセキュアでなければならない。だが実際の企業ネットワークでは、ストレージ容量の追加、ネットワークベースの最新のストレージシステムの導入、急場しのぎのサーバの追加といったことに目を奪われ、思わぬ脆弱性が広範に存在する。

　こういった脆弱性の中には技術的な性質のものもあれば、ビジネスに関連したものもあるが、いずれにせよ見過ごすわけにいかないことは確かである。

　もしあなたが、組織の重要なストレージシステムの管理とセキュリティを担当するネットワーク管理者であるとすれば、こういった弱点が狙われて抜き差しならぬ状況に陥る前に、問題点を洗い出し、対策を講じなければならない。

　以下、ストレージの脆弱性につながる問題点をリストアップし、具体的に問題を見ていこう。

　企業のネットワークで最も価値のあるものは何かと問われれば、筆者はストレージサーバよりも重要なシステムを思いつくことができない。先進的なSAN（Storage Area Network）やNAS（Network Attached Storage）、あるいはありふれたファイルサーバなど、どこに企業の情報を格納していようとも、ストレージシステムをできるかぎりセキュアなものにしなければならない。だがストレージ容量の追加、ネットワークベースの最新のストレージシステムの導入、急場しのぎのサーバの追加といったことに目を奪われると、ストレージ構成にぽっかりと大きな穴が開いたままになり、良からぬことをたくらむ連中によって、いとも簡単に侵入されてしまうのだ。

　大げさに思えるかもしれないが、今日のネットワークではこうした脆弱性が広範に存在するのが実情だ。ネットワーク管理者が今日担当する情報システムが複雑であることが、その原因の1つとして挙げられる。こういった脆弱性の中には技術的な性質のものもあれば、ビジネスに関連したものもあるが、いずれにせよ見過ごすわけにいかないことは確かである。ストレージの脆弱性につながる問題点を以下にリストアップした。

1. 共有／ファイルレベルのアクセスコントロールの欠如：これは、一般的にOSのデフォルト設定によるものか、あらゆるユーザーに無責任なフルアクセスを許可するような設定によるものである。
2. データ暗号化に頼りすぎる：送信中のデータよりも保管中のデータを暗号化する方がはるかに大切であると、筆者は最近指摘したことがあるが、暗号化は決して万能薬ではない。あらゆるファイル、あらゆるデータベースフィールドに至るまでデータを暗号化することは可能だが、それでも“信用できる”内部の人間による犯行や、侵入者が求めるデータにシステムレベルのリード／ライトアクセスを容易に許してしまうような、貧弱なコーディングのアプリケーションによってデータが危険にさらされる可能性がある。
3. ストレージセキュリティの実装において防御戦術を考慮していない：システムのパフォーマンスに影響したり、予算に食い込んだりしない範囲で、攻撃者が乗り越えなければならない障害をできるだけ多く配備することが重要なのである。具体的には、ストレージシステムをネットワーク単位でセグメント化する、OSレベルでシステムを堅牢化する、ディスク／ファイル／データベースを暗号化する、ディスク／共有／ファイルアクセスコントロールを導入するといった方策が挙げられる。
4. 共有情報が保護されていない：機密を要する情報が含まれたテキストファイル、ワープロ文書、表計算ファイルがサーバの共有ディレクトリに散らばっている（その意味では、ローカルワークステーションのドライブと同様である）。これらのファイルにはアクセスコントロールが一切設定されておらず、ファイルの作成者やネットワーク管理者はそれらの存在すら知らないのである。
5. 「誰が何をしたか」が分かる監査証跡を実施していない：これはほとんどの組織において、相変わらず大きな問題である。確かに、監査ログ作成／モニタリングは、適切に導入しなければ、人的資源およびプロセッサの浪費になりかねない。しかしストレージデバイスに限定して高レベルのログを取るだけでも、情報セキュリティのベストプラクティスになるだけでなく、セキュリティ違反を調査する際に大いに役立つ。また、これはほとんどの企業に関係する基本的な法規制標準となりつつある。
6. 管理者が「単一障害点」になっている：重要な情報を持った従業員（管理者）が事故に巻き込まれたり、解雇されたり、国外に逃亡したりした場合、その企業はパスワード、暗号化キー、ネットワーク図など、通常のネットワーク管理者またはストレージ管理者の頭の中に詰め込まれている多数の情報を失ってしまうことになる。
7. セキュリティポリシーの策定やビジネス上の決定が技術主導で行われている：ビジネスニーズが技術を決定し、それに関連するリスクがセキュリティポリシーを決定するというのが本来のあり方である。
8. 管理者が本来の仕事に集中できない：セキュリティ委員会や上層幹部が組織のセキュリティポリシーを適用するのを支援する上で必要な技術を導入・管理するのがネットワーク／ストレージ管理者の役割である。彼らがセキュリティポリシーを適用する責任まで負わされると、本来の役割に専念することができない。

　もしあなたが、組織の重要なストレージシステムの管理とセキュリティを担当するネットワーク管理者であるとすれば、こういった弱点が狙われて抜き差しならぬ状況に陥る前に、問題点を洗い出し、対策を講じなければならない。ネットワークベースのセキュリティコントロールが唯一の解決策ではない。それだけでは、不適切なソフトウェア開発手法はなくならない。こういった問題まで解決するには、「セキュリティ意識の訓練」が不可欠であることは周知の事実だ。ストレージシステムの脆弱性の根本を絶ち、可能な限り低いレベルで合理的なコントロールを実装すること。そうすることによって、セキュリティを階層化し、あなたが担当しているシステムのハッチを密閉することが可能になるのだ。それは、あなたにとって最後の防衛線なのである。

本稿筆者のケビン・ビーバー氏はフリーの情報セキュリティコンサルタントで、アトランタにあるプリンシプルロジックをクライアントとする。IT分野で17年余りの経験を持つ同氏は、情報セキュリティ評価を専門に手掛ける。情報セキュリティ関連の著作として、「Hacking For Dummies」「Hacking Wireless Networks For Dummies」（以上About John Wiley & Sons刊）「The Practical Guide to HIPAA Privacy and Security Compliance」（Auerbach刊）がある。

（この記事は2005年12月15日に掲載されたものを翻訳しました。）