- - PR -
管理者泣かせのソフトウェア
| 投稿者 | 投稿内容 | ||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
投稿日時: 2003-12-27 13:27
すでにお分かりいただいていると思いますが、「コスト」には電話代のように現金として飛んでいくものばかりとは限りません。 ここでは経済学で言うところの「機会費用（＝opportunity cost）」の考え方を含めるべきでしょう。 例えば、従業員が私用電話をすると、そこには電話代という金銭的コストの他に、少なくとも以下のコストが暗黙のうちにかかっています。 １．私用電話をしなければ行えたであろう仕事、そこから得られた利益 ２．私用電話中に着信したであろう顧客からの電話を受け取れない、ということから発生する機会損失 ３．私用電話の時間に対して支払った給与（この時間は業務を行っていないのですから、給与を出す側からすればムダ金ですよね。） 同じ原則で、ネットワークを業務外のことに対して使われたり、そこから発生するトラブルを復旧することに対してもコストを計算できます。 経営陣は、ネットワーク管理に関して生じうるコストと、管理しなかったときに生じるコストなどを比較考量すべきなのです。セキュリティポリシーについても、費用便益分析を行うべきでしょう。 もっとも、経営陣のすべてがそういう計算を行えるとは限りません。そもそも技術を知らない人が少なくないのですから。 そこで、システム管理者にはテクニカル面の知識だけでなく、さまざまな事象やリスクを金銭コストに換算して、経営陣に提案する能力が必要です。 （こうした能力をネタにすると、また別スレッドが立ちそう･･･） そのうえで、ユーザーへの辛抱強い教育と必要なペナルティーの両輪で運用するべきでしょう。 管理者に求められる能力や資質は次第に増えていくという感じがします。 | ||||||||||||||||
|
投稿日時: 2003-12-27 15:42
ども。がるです。
んと。一応念のために。「私は」その辺は把握しています。 私が問題にしたいのは、多くの経営者が、その感覚を持っていない、 という部分です。 結局お金と決定権を持っているのが彼らである以上、私がそれを 理解しているだけでは全然意味が無くて。 経営陣がそれを理解する必要があるのですが…これがまた説得が 難しい。 例えばひとつの例題を。 現状で、月50万の売り上げがあります。実際には100万分の注文 があるのですが、手が回らず50万は捨てている状態です。 システムに100万投入、以降月々10万のメンテナンス料を払うと その注文を捨てずにすべて拾えます。 さて。どっちが得でしょう？ この問題に対して、割と少なくない経営陣が「100万も払うのは ちょっと…」としり込みして終わります。 きちんと計算式を出して、一年後にどんな推移になるのか、数字で 出してグラフにして、それでもなお。 ましてやそういう人たちに
とか説明しても…。 そんな現状があるので、私はことさらにコストの話を持ち上げている 部分があります。 大企業は「なかなか動かない」体質を持ち、中小はおろかな経営陣が 少なからず存在する。 すべてとは言いませんが、そんな現場も結構大量にあるもんです。 # でもまぁ、ちと考えてみて。 # これを読んでいる「経営陣」がいると仮定して、その辺のコストの # 説明をきちんと書いていただいたのはありがたいかもしれない # (ってか、書かなかったおいらの手落ち？) | ||||||||||||||||
|
投稿日時: 2003-12-28 11:24
こんにちは。あにゃです。
１日見ていない間に、スレッドが伸びていて読むのが大変でした(^^; 様々なご意見、非常に勉強になります。 さて、「"作者への攻撃"よりも、この手のソフトウェアにどのようにシステム管理者が対応すべきか」というテーマに話題が収斂されて来たように思われます。 ここは一つ、創造的に、 「システム管理にかかるコストを度外視したら、どのような対策が可能か」 についてご回答いただけないでしょうか。 PCにadmin権限を与えない、というのも、ソフトウェア開発系の業務を行っている我が社では理想を通り過ぎて非現実です。テストのためにOSからスクラッチインストールしますしね・・。PC持ち込みをこっそりされたら意味ありませんし・・。 作者は、ちゃんとシステム管理がされていないから悪い、ソフトウェアの問題ではないと反論しているのですが、どうも私には、どんなに危機意識の向上と無尽蔵な対策コストが両立しても完全に抑え込むことが技術的に不可能ではないかという気がしてなりません（現時点では）。 そういう意味では、「世界中に広がったTCP/IPネットワークの持つ致命的なセキュリティーホールを、わかりやすい形で社会問題化した」という意味で作者は功績が大きいと思います。これを塞ぐ技術が今後何らかの形で間違いなくビジネスになるでしょう。理想ならば、制作者の彼が、このsoftetherと同時にこれをシステム管理する技術を発表すれば英雄なんでしょうけどね(^^。得てして抜本的な対策が出てくるのはもたらされる悪意が社会問題化した後です。 さて、このソフトウェアのとばっちりが自社に及ぶ前に、どうしようか・・・。 [ メッセージ編集済み 編集者: あにゃ 編集日時 2003-12-28 11:26 ] | ||||||||||||||||
|
投稿日時: 2003-12-28 23:43
とかなんとか言っている間に、再度公開が始まったのかよ！
しかも、変な理屈が増えてるよ・・ http://www.softether.com/jp/download/ 前にも増してムチャクチャなことが書いてありますがいかがですか？ 以下引用：------------------- ・一般ユーザーに Administrators 権限を付与しない。社内 LAN 上の PC を利用する一般ユーザーに対して Administrator 権限を付与していると、SoftEther をコンピュータにインストールすることができてしまう。そもそも、全社員が管理者権限を持っているようなネットワークでは、SoftEther とは関係無く非常に危険な状態であるため、注意が必要である。 ・社内 LAN への私物のノートパソコン等の接続を禁止する。社内 LAN の HUB や無線アクセスポイントに対して、社員が持ち込んだ私物のノートパソコン等の接続を許可していると、SoftEther をインストールした PC が接続されることがある。私物の接続が容認されているような社内 LAN では、元々、SoftEther が無くても接続したノートパソコン経由でファイル等が流出する危険性が高いため、注意が必要である。 ・またSoftEtherに限らず、管理者が許可していないソフトウェアのインストール禁止の徹底、可能であればツールによる各ＰＣの導入ソフトウェアの状況を監視することなども管理として重要である。 ------------------------------- で～す～か～ら～、社内のPCにOSからスクラッチインストールされたら終わりなんですってば～。結局問題提起だけであって、問題解決されてない！ プロキシ立ててSSLを禁止するしかないのかなあ・・。 | ||||||||||||||||
|
投稿日時: 2003-12-29 01:18
ども、BASEと申します。
とりとめもなく考えた対策を以下適当に並べると・・・ ①クライアント管理ソフトで余分なソフトのインストールの自動禁止 ＃ユーザー数によるだろうが￥5,000／クライアント ＃アンインストールされたら意味無いが、 ＃アンインストールしやがった馬鹿野郎がいるとは検知できる。 ②シンクライアント ＃ハードディスクが無いからインストールできない。 ＃でも、最近だとUSBが当たり前に付いているから、 ＃USBメモリでもUSB-HDでも付けられたら意味無い ＃＃導入時に余計なプラグ関係は全部埋めるｗ ③Proxyに対する通信が特定のブラウザ以外ではできないようにする。 ＃ユーザエージェントなどとかで制御できませんかね？ ＃ユーザエージェント自体簡単に偽造できますが・・・ ＃＃ほかに何か判別可能なパラメータとかってあります？ ④クライアントＯＳをＭＳ－ＤＯＳとかに戻す。 ⑤ＷＡＮ回線を低速にする。 ⑥接続時特定のブロードキャストが流れるようですので、そのパターンの通信を検知したら切断。 ＃ＩＤＳとかでできないかなぁ・・・ ⑦１クライアントあたりのＳＳＬセッションを制限。 ＃複数のＩＰにＳＳＬにカプセル化したブロードキャストが飛ぶのだから、 ＃１ＩＰからのＳＳＬリクエストが２つ以上出たら、そのＩＰからの通信を全て拒否とか SoftEtherをオープンコミュニティ用のプラットフォームとして発展させたいのであれば、 仮想HUBが立てられた場合、特定のサーバに報告が上がって、 そのリストを誰でも見られるような仕様とかにするのはどうでしょうかね？ ところで、がるがるさんが、色々コスト的な問題をおっしゃっているが、 賛成派な方々、これを使うことにより、 どれくらい金銭的なメリットが発生するかは語ってくれないのだろうか？ 会社で使われることで、営業成績や企業収入につながるメリットを語れるのであれば、 管理者視点の方々から、利用賛成に回る方も出るかもしれない。 ちなみに、私としては、個人で利用する分には面白そうなものであるので、 自宅の環境内では使う予定ですがね 正直、共用環境に持ち込まれて迷惑こうむるのは勘弁願いたいですね・・・ | ||||||||||||||||
|
投稿日時: 2003-12-29 01:44
『ライト、ついてますか』に、「あまりにあっさり解いてしまうと 信じてもらえない」という話が出てきますが... きっと、すっきり説明しすぎなのでしょう。10倍くらい時間をかけて 頭の悪そうな説明をすれば信じてもらえるかも 
「セキュリティーホール」というよりは、これはTCP/IPのもともとの 性質で。それに対して（勝手な）仮定を加えた上での対処はそれなりに 有効な場合もあるが、全く役に立たないこともあるわけで。 ですから当然以前から同種の危険は存在していたし、そういうことを 行うソフトウェアがいくつも存在したわけです。 # なので、「『未踏』なんかじゃない」と思うです。 「わかりやすい形で」という点には同意です。 # 「スクリプトキディどもにも使えるようにした」という点に # おいてのみ、「未踏」
「プロキシを経由しないと外に出られない」ようにするのは妥当だと 思います。SSLをどうするかというのが微妙ですねえ... その点を なんとかしないと、この件に対しては全く意味が無いのですが
とりあえず、「誰でも自由にSSLでプロキシにトンネルを掘れる」 という状態はやめてもいいんじゃないでしょーか。
ご自身で指摘されている通り、簡単に偽造できる点が問題と思います。 「ニセhttpサーバ」と「ニセhttpクライアント」の双方がクラッキング ツールによって実装されている状況までケアしておくべきと思います。 # ここまで考えると、凝った擬装を施して探知するのが非常に # めんどくさくなる設計もできるよなあ... はあ... LAN内部の一部のセグメントしか許可しないとか、特定IPアドレスのみ 許可するとかで、マシンを絞り込むべきと考えます。 [ メッセージ編集済み 編集者: ぽんす 編集日時 2003-12-29 02:00 ] | ||||||||||||||||
|
投稿日時: 2003-12-29 13:32
はじめまして、Seareizrと申します。
SoftEther、つらいですね。 このスレッド、はじめから全部よみました。 ＞創造的な対策 SSL通信の一番初めのハンドシェイク部分をコンテンツスキャンできるサーバorアプライアンス（以下便宜上コンテンツスキャナ）を 立てて、そこから通信を要求してきたクライアントに対し、SSLのCertificateを要求し、 かつ、SSLを許可する接続先をCertificateごとに分けるとか・・・ ＃要はSSL用のプロキシ（orコンテンツスキャナ）のようなもの 許可した通信は、コンテンツスキャナが代行してクライアントが接続先ホストに通信する。 ＃SSLの仲買ですな。 こんなのがあればいけるのかしら・・・（現実には無理？ ＞現実に存在するシステムでの方法 IDS/IPSでシグニチャが出れば対応できるのかしら・・・ SoftEther（略してSE。あっｗ）の対策にはFW単体ではどうにもならないので、 プロキシをかましてSSLを拒否、または特定ホストに対して許可。 ＃んー、あとは中○のインターネットのようなシステムにしてしまうｗ 思い当たったのはこれくらいでしょうか。 | ||||||||||||||||
|
投稿日時: 2003-12-29 13:48
どもも。スレッド伸ばしの張本人の一人のがるです(笑
そうなんですね。私も正直、そう思います。 例えば、自分が悪意を持ってSoftEtherと同様のものを作成するとします。 面白いんで設計書も大まかに書いてみました(笑 結果…無理です。現時点でどもなりません。 ネットワーク管理を基準にして考えると、やはり現状、私は想像も つかないってのが実情です。 あまり前向きではないのですが、現時点で提示されているいくつかの手段 を否定するところから、状況の整理なんぞしてみたいか、と。 是非突っ込みをよろしくです ＞ 有識者のみなさま ・F/W：正確にはポートフィルタリング アウチ。ここについてはすでに議論の余地はないか、と。 ・パケット解析によるフィルタリング 一つ目に「コストがかかりすぎる」ことが多くの場合において問題か、と。 コストをクリアして。次に出てくるのは「本当に可能か？」 現在は可能な様子。ただ、いつ不可能になってもおかしくないので 過信は禁物。 ・Proxyなどによる制御 結局、例えば「HTTP通信」などに偽装されてしまうことを考えると あまり有効だとは思えない。 こう考えると後は「クライアントPCの制御」が焦点になりそうなの ですが… Admin権限云々はまぁ無理。 クライアントのソフトインストール状況をあとはがっちりと管理するしか ないのでしょうが…無理とは言わないけど、壮絶にしんどそうな…。 あとは、Baseさんの
（すみません、○数字の部分だけ書き換えてます m(_ _)m） あたりがちと希望の光。 クライアント管理ソフトってのは私はあまり詳しくないので。 もし「新しいExeが入ってきた」だけである程度検出が可能なら或いは… とか思ってみたり。 ブロードキャストは、とりあえずパターン検知とMail報告だけでも 多少の意味はあるのかもしれない。 …これでまたネットワーク管理者の仕事が増えることを考えると かなり憂鬱ではあるのですが。 なんとか手段を考え出してみたいですねぇ。 どうせよりいっそう面倒な「亜種」も出てくると思うので。 | ||||||||||||||||
スキルアップ／キャリアアップ（JOB@IT）
Copyright © ITmedia, Inc. All Rights Reserved.
著作権はアイティメディア株式会社またはその記事の筆者に属します。
当サイトに掲載されている記事や画像などの無断転載を禁止します。
著作権はアイティメディア株式会社またはその記事の筆者に属します。
当サイトに掲載されている記事や画像などの無断転載を禁止します。