工藤伸治のセキュリティ事件簿第7回

　※本稿はフィクションです。実在の団体・事件とは関係がありません※

翌日の午後には、資料の解析はほぼ完了していた。想像していたよりもひどい状況だ。オレはさっそく葛城に会いに行った。昨日と同じ会議室に通された。もう川口は出てこなかった。きっと川口は金がらみの時か、広報がらみの時にしか出てこないのだろう。

「ほい、昨日もらった資料の分析結果」

「早いですね」

「のろのろやってたら間に合わないだろ？　これでも遅いくらいだ。要点を言うよ。まず、ここのシステム運用体制はぼろぼろだ。導入しているハードとソフトにはほとんど問題ないけど、運用に大きな問題がある。システムのセキュリティレベルは、一番脆い箇所のレベルが全体のレベルになる。ひとつでも穴があればそこから破られるからな。だから、常にもれなくレベルを維持しなきゃならない。あんたのとこは、セキュリティレベルが異常に低い箇所が何カ所かある。これじゃダメだ。これがひとつ目。それに、導入しているソフトに内部監視ツールがないのは致命的だ。これがふたつ目。以上が問題点だ。次は、その問題点がどのように今回の事件に利用されたか説明するよ。いい？」

「ちょっと待ってください。セキュリティレベルが低いというのは、具体的にどんな問題があるんですか？」

「くわしくは資料に載ってるんだけどさ。まあ、大きなものを説明しよう。年に4回システム脆弱性検査をやっていると昨日もらった資料に書いてあった。依頼先が書いてなかったけど、N電気に依頼してるだろ？」

葛城の顔色が変わった。

システムというのは、放っておくとどんどん脆弱になってゆくものだ。勝手に劣化するわけじゃなく、周りがどんどん進化するからである。使っているソフトやハードに、セキュリティホールが見つかったり、新しい攻撃方法が開発されたりする。新しいウィルスだって出てくる。だから、定期的に脆弱性の有無を検査する必要がある。だいたいの会社は、年に1回くらいの頻度で行っているので、年に4回というのはかなりちゃんとやっている方だ。その割には弱い。

「なぜ、N電気だとわかったんです？」

「あそこは常習犯なんだよ。契約上問題はないが、役に立たない仕事をする」

「意味がわかりません」

「ルータは誰がメンテしてるんだ？」

ルータというのは、簡単に言うと通信用の装置だ。システムの脆弱性検査を行う場合、コンピュータだけ検査して通信系の装置、特にハードの検査は行わない会社も少なくない。連中に言わせると、それは仕事の範囲じゃないらしい。でも頼む方はまるごとやってくれると思っているし、対象から外れてるものは重要じゃないんだろうと思う。そこに食い違いがある。ルータからシステムが破られることだってあるのだ。

「え？　ルータ？」

「ルータに致命的な脆弱性がある。それも5年も前に見つかったヤツだ。CERT Advisory CA-2004-2XX。ルータ設定のインターフェイスからルータの権限を乗っ取られる。ルータが乗っ取られた場合、そこを流れるネットワーク上のデータをまるごと盗むことだってできる」

「なぜ、年に4回の検査で見つからなかったんですか？」

「N電気は、官僚より官僚っぽい会社なんだよ。言われないことはやらない。システムの脆弱性検査と言われたら、それしかやらない。連中のシステムという概念の中には、ルータは含まれないんだ。教えてやろうか？　システムの脆弱性検査用のツールってのが世の中にはある。でもな、このツールはサーバしかチェックできないのが多いんだ(註)。ルータやスイッチなんかの通信系の装置は対象外だ。手作業での検査はノウハウもいるし、手間もかかる。だから、やらないのさ。やれないと言ってもいいかもな。LACとか、サイバーディフェンス研究所とか、セキュリティ専門のもっとましな所に頼んだ方がいいと思うよ」

「知りませんでした」

「知りませんでした？　いい言葉だねえ。お前らサイバーノーガード戦法の人たちか？」

【註解】脆弱性検査用のツール
通常の脆弱性検査用のツールは、サーバを対象としているものが多い。だが、実務上、本当に欲しいのはネットワークに接続されている全ての機器の脆弱性をチェックしてくれるものだ。残念なことに、そのようなツールは存在しない。作品中では、ルータのシスコ脆弱性が例として挙げられていたが、実際には民生用ルータやスイッチなどさまざまなものが接続されている可能性がある。

【執筆：才式】
関連リンク
さりとてあるまじろ
http://blinedance.blog88.fc2.com/