| 開催日時 ： 平成１３年５月２９日（火） １４：３０〜１６：１０
開催場所 ： マリアージュ（アバンティ８Ｆ） |
|
インターネットセキュリティの現状と課題 講師；京都大学大型計算機センター研究開発部 高倉 弘喜 助教授 |
急速に広まっているインターネットですが、セキュリティに関してはまだまだ遅れているのが実状です。 今日はその実態を知ってもらう為、不正アクセスにどんなものがあるか、また、どんな対策を取って いるかなどをお話しします。 |
まず、不正アクセスのすさまじい増加。京都大学に対するものは、2000年の12月半ばは一日 約3,000〜4,000件程度でしたが、2001年の5月現在では10,000件を超えています。攻撃元は世界中 に分布し、時間帯も昼夜問わずとなっています。 |
中には京都大学でもまだ解決できていないような不正アクセスもあります。その中のひとつに Windows2000とWebサーバーのIIS5.0の組み合わせで起きるセキュリティホールをねらったものが ありますが、これに対する攻撃が多発した理由に、Windows系ではその組み合わせが実質的に標準 になっているということがあります。更にそれがインストール時にデフォルトで動いてしまう為、ユーザー 側に自覚が全くなく、その為にセキュリティ対策がほとんどなされていないというのも大きな問題です。 |
他にウイルスによる攻撃もあります。これは月に１〜２回程度あるのですが、１台に感染すると瞬く 間に広まってしまいます。 最近は様々なワクチンソフトも出ていますが、学生の中にはお金が無くてパソコンにソフトを入れて いなかったり、入れていても最新のデータに更新するのを忘れていたり、パソコンが遅くなるのを嫌って 止めていたりして感染してしまうことが多いようです。 |
《 防御手段の紹介 》■ファイヤーウォール……許可されていないアクセスをはじいて許可されたものだけを受け入れる 機能。 一般にはすり抜けてアクセスするのは非常に難しいと言われる。 ・通常のWebアクセスに偽装されたものは阻止できない ・DoS（Deny of Service）攻撃（１秒に数万から数十万というアクセスを送り機能を停止させる） には対抗できない ■ＩＤＳ（侵入検知システム）……通信の中身をチェックして通常のWebアクセスの中に 埋め込まれた 不正コマンドや、以前に見つけた不正アクセスを遮断する。 ・監視対象が100Mbpsと一部分な為、見落としもあり得る ・IDS killer攻撃（大量のダミーアタックを送り込む）に合うとチェックに忙殺されその中の 不正アクセスを見落とすこともある ＊上の２つの例では家庭の普通のパソコンが乗っ取られて攻撃に利用されることが多い |
《 大きくなる被害 》■Yahoo.comやcnn.comなどを対象にしたDdoS（分散DoS）攻撃（2000年2月7日） ・Yahooのみで３時間のアクセス不能、推定50万ドル（約5500万円）の被害 ■1999年のネット犯罪被害（FBI・CSIの米国企業、政府機関、大学などを対象にした協同調査） ・金銭的損害を受けたという認識……７４％（うち見積もった分だけでも約３００億円） ・データ又はネットワークを破壊……１０％弱（うち見積もった分だけでも約３０億円） ・内部からの不正アクセスの検出……７１％ ・日本でも年に数十億円の損害が出ているのではないか？ ■米国Exigent International社の衛星システム制御コードの盗難（2000年12月） ・米国空軍との２７０万ドルの取り引きが破談 ・犯人の侵入の足掛かりにされたドイツの大学のサーバと、それの侵入を許し メールサービスを悪用されたスイスの会社が提訴される |
このような不正アクセスなどは、昔は面白半分や自分達の腕試しでやっていた人が多かったの ですが、最近は時事問題などに反応した政治的目的などが多く、やり方も非常に陰湿になってい ます。 最初の例を見ても判るように、防御とそれに対する攻撃とはイタチごっこのようなものです。その 為、ソフト会社やサーバの管理者だけでなく、エンドユーザーのセキュリティに対する認識が大切です。 特に、セキュリティホールがあることも知らず動いていることも認識していないようなシステムや、 常時接続したままウイルスチェックをしていないパソコン、使っていることは判っていても古いバージョン のままのシステムやソフトなどに危険が多いので、日々情報を集め、最新のものに更新していくことが 大切です。 |
| 強調したいのは、インターネットには危険が多いが、だからといってそれを止めてしまおうとは思わ ないでほしいということです。 確かにすべて電話などの対応のみにとどめれば安全ですが、ネットの便利さも享受できません。 大事なのは「自分のパソコンだけは絶対に大丈夫」などと思わずに、「自分のパソコンは自分で守る」 という意識を持ってもらうことだと思います。 |