- PR -

管理者泣かせのソフトウェア

投稿者投稿内容
ロードスターくん
ベテラン
会議室デビュー日: 2003/03/05
投稿数: 68
お住まい・勤務地: 東京都
投稿日時: 2003-12-27 13:27
引用:

がるがるさんの書き込み (2003-12-27 04:51) より:
がるです。

で。私用電話や私用ファクスは「電話代がかかる」というわかりやすい理由
で、それ自体を「やめる」方向に持っていくのは比較的簡単なのですが。
コンピュータセキュリティの場合、まず「月々の管理コスト」という、
私用電話などでは存在しなかったコストが発生し、なおのこと「何も無ければ
無駄金じゃん」という素晴らしい危機管理感覚を有する経営陣のおかげで、
嫌がおうでもシビアなコスト管理が必須になるのが現状です。



すでにお分かりいただいていると思いますが、「コスト」には電話代のように現金として飛んでいくものばかりとは限りません。

ここでは経済学で言うところの「機会費用(=opportunity cost)」の考え方を含めるべきでしょう。

例えば、従業員が私用電話をすると、そこには電話代という金銭的コストの他に、少なくとも以下のコストが暗黙のうちにかかっています。

1.私用電話をしなければ行えたであろう仕事、そこから得られた利益
2.私用電話中に着信したであろう顧客からの電話を受け取れない、ということから発生する機会損失
3.私用電話の時間に対して支払った給与(この時間は業務を行っていないのですから、給与を出す側からすればムダ金ですよね。)

同じ原則で、ネットワークを業務外のことに対して使われたり、そこから発生するトラブルを復旧することに対してもコストを計算できます。

経営陣は、ネットワーク管理に関して生じうるコストと、管理しなかったときに生じるコストなどを比較考量すべきなのです。セキュリティポリシーについても、費用便益分析を行うべきでしょう。

もっとも、経営陣のすべてがそういう計算を行えるとは限りません。そもそも技術を知らない人が少なくないのですから。
そこで、システム管理者にはテクニカル面の知識だけでなく、さまざまな事象やリスクを金銭コストに換算して、経営陣に提案する能力が必要です。

(こうした能力をネタにすると、また別スレッドが立ちそう・・・)

そのうえで、ユーザーへの辛抱強い教育と必要なペナルティーの両輪で運用するべきでしょう。
管理者に求められる能力や資質は次第に増えていくという感じがします。
がるがる
ぬし
会議室デビュー日: 2002/04/12
投稿数: 873
投稿日時: 2003-12-27 15:42
ども。がるです。
引用:

ロードスターくんさんの書き込み (2003-12-27 13:27) より:
すでにお分かりいただいていると思いますが、「コスト」には電話代のように現金として飛んでいくものばかりとは限りません。

ここでは経済学で言うところの「機会費用(=opportunity cost)」の考え方を含めるべきでしょう。


んと。一応念のために。「私は」その辺は把握しています。
私が問題にしたいのは、多くの経営者が、その感覚を持っていない、
という部分です。
結局お金と決定権を持っているのが彼らである以上、私がそれを
理解しているだけでは全然意味が無くて。
経営陣がそれを理解する必要があるのですが…これがまた説得が
難しい。

例えばひとつの例題を。
現状で、月50万の売り上げがあります。実際には100万分の注文
があるのですが、手が回らず50万は捨てている状態です。
システムに100万投入、以降月々10万のメンテナンス料を払うと
その注文を捨てずにすべて拾えます。
さて。どっちが得でしょう?

この問題に対して、割と少なくない経営陣が「100万も払うのは
ちょっと…」としり込みして終わります。
きちんと計算式を出して、一年後にどんな推移になるのか、数字で
出してグラフにして、それでもなお。

ましてやそういう人たちに
引用:

2.私用電話中に着信したであろう顧客からの電話を受け取れないということから発生する機会損失
3.私用電話の時間に対して支払った給与(この時間は業務を行っていないのですから給与を出す側からすればムダ金ですよね。)


とか説明しても…。

そんな現状があるので、私はことさらにコストの話を持ち上げている
部分があります。
大企業は「なかなか動かない」体質を持ち、中小はおろかな経営陣が
少なからず存在する。
すべてとは言いませんが、そんな現場も結構大量にあるもんです。
# でもまぁ、ちと考えてみて。
# これを読んでいる「経営陣」がいると仮定して、その辺のコストの
# 説明をきちんと書いていただいたのはありがたいかもしれない
# (ってか、書かなかったおいらの手落ち?)
あにゃ
常連さん
会議室デビュー日: 2003/12/24
投稿数: 23
投稿日時: 2003-12-28 11:24
こんにちは。あにゃです。
1日見ていない間に、スレッドが伸びていて読むのが大変でした(^^;
様々なご意見、非常に勉強になります。

さて、「"作者への攻撃"よりも、この手のソフトウェアにどのようにシステム管理者が対応すべきか」というテーマに話題が収斂されて来たように思われます。

ここは一つ、創造的に、
「システム管理にかかるコストを度外視したら、どのような対策が可能か」
についてご回答いただけないでしょうか。

PCにadmin権限を与えない、というのも、ソフトウェア開発系の業務を行っている我が社では理想を通り過ぎて非現実です。テストのためにOSからスクラッチインストールしますしね・・。PC持ち込みをこっそりされたら意味ありませんし・・。

作者は、ちゃんとシステム管理がされていないから悪い、ソフトウェアの問題ではないと反論しているのですが、どうも私には、どんなに危機意識の向上と無尽蔵な対策コストが両立しても完全に抑え込むことが技術的に不可能ではないかという気がしてなりません(現時点では)。

そういう意味では、「世界中に広がったTCP/IPネットワークの持つ致命的なセキュリティーホールを、わかりやすい形で社会問題化した」という意味で作者は功績が大きいと思います。これを塞ぐ技術が今後何らかの形で間違いなくビジネスになるでしょう。理想ならば、制作者の彼が、このsoftetherと同時にこれをシステム管理する技術を発表すれば英雄なんでしょうけどね(^^。得てして抜本的な対策が出てくるのはもたらされる悪意が社会問題化した後です。

さて、このソフトウェアのとばっちりが自社に及ぶ前に、どうしようか・・・。

[ メッセージ編集済み 編集者: あにゃ 編集日時 2003-12-28 11:26 ]
あにゃ
常連さん
会議室デビュー日: 2003/12/24
投稿数: 23
投稿日時: 2003-12-28 23:43
とかなんとか言っている間に、再度公開が始まったのかよ!
しかも、変な理屈が増えてるよ・・
http://www.softether.com/jp/download/

前にも増してムチャクチャなことが書いてありますがいかがですか?

以下引用:-------------------
・一般ユーザーに Administrators 権限を付与しない。社内 LAN 上の PC を利用する一般ユーザーに対して Administrator 権限を付与していると、SoftEther をコンピュータにインストールすることができてしまう。そもそも、全社員が管理者権限を持っているようなネットワークでは、SoftEther とは関係無く非常に危険な状態であるため、注意が必要である。
・社内 LAN への私物のノートパソコン等の接続を禁止する。社内 LAN の HUB や無線アクセスポイントに対して、社員が持ち込んだ私物のノートパソコン等の接続を許可していると、SoftEther をインストールした PC が接続されることがある。私物の接続が容認されているような社内 LAN では、元々、SoftEther が無くても接続したノートパソコン経由でファイル等が流出する危険性が高いため、注意が必要である。
・またSoftEtherに限らず、管理者が許可していないソフトウェアのインストール禁止の徹底、可能であればツールによる各PCの導入ソフトウェアの状況を監視することなども管理として重要である。
-------------------------------

で〜す〜か〜ら〜、社内のPCにOSからスクラッチインストールされたら終わりなんですってば〜。結局問題提起だけであって、問題解決されてない!

プロキシ立ててSSLを禁止するしかないのかなあ・・。
BASE
大ベテラン
会議室デビュー日: 2002/03/13
投稿数: 178
投稿日時: 2003-12-29 01:18
ども、BASEと申します。

とりとめもなく考えた対策を以下適当に並べると・・・
@クライアント管理ソフトで余分なソフトのインストールの自動禁止
 #ユーザー数によるだろうが¥5,000/クライアント
 #アンインストールされたら意味無いが、
 #アンインストールしやがった馬鹿野郎がいるとは検知できる。
Aシンクライアント
 #ハードディスクが無いからインストールできない。
 #でも、最近だとUSBが当たり前に付いているから、
 #USBメモリでもUSB-HDでも付けられたら意味無い
 ##導入時に余計なプラグ関係は全部埋めるw
BProxyに対する通信が特定のブラウザ以外ではできないようにする。
 #ユーザエージェントなどとかで制御できませんかね?
 #ユーザエージェント自体簡単に偽造できますが・・・
 ##ほかに何か判別可能なパラメータとかってあります?
CクライアントOSをMS−DOSとかに戻す。
DWAN回線を低速にする。
E接続時特定のブロードキャストが流れるようですので、そのパターンの通信を検知したら切断。
 #IDSとかでできないかなぁ・・・
F1クライアントあたりのSSLセッションを制限。
 #複数のIPにSSLにカプセル化したブロードキャストが飛ぶのだから、
 #1IPからのSSLリクエストが2つ以上出たら、そのIPからの通信を全て拒否とか

SoftEtherをオープンコミュニティ用のプラットフォームとして発展させたいのであれば、
仮想HUBが立てられた場合、特定のサーバに報告が上がって、
そのリストを誰でも見られるような仕様とかにするのはどうでしょうかね?

ところで、がるがるさんが、色々コスト的な問題をおっしゃっているが、
賛成派な方々、これを使うことにより、
どれくらい金銭的なメリットが発生するかは語ってくれないのだろうか?
会社で使われることで、営業成績や企業収入につながるメリットを語れるのであれば、
管理者視点の方々から、利用賛成に回る方も出るかもしれない。

ちなみに、私としては、個人で利用する分には面白そうなものであるので、
自宅の環境内では使う予定ですがね
正直、共用環境に持ち込まれて迷惑こうむるのは勘弁願いたいですね・・・
ぽんす
ぬし
会議室デビュー日: 2003/05/21
投稿数: 1023
投稿日時: 2003-12-29 01:44
引用:

この問題に対して、割と少なくない経営陣が「100万も払うのは
ちょっと…」としり込みして終わります。
きちんと計算式を出して、一年後にどんな推移になるのか、数字で
出してグラフにして、それでもなお。


『ライト、ついてますか』に、「あまりにあっさり解いてしまうと
信じてもらえない」という話が出てきますが...
きっと、すっきり説明しすぎなのでしょう。10倍くらい時間をかけて
頭の悪そうな説明をすれば信じてもらえるかも

引用:

そういう意味では、「世界中に広がったTCP/IPネットワークの持つ
致命的なセキュリティーホールを、わかりやすい形で社会問題化した」
という意味で作者は功績が大きいと思います。


「セキュリティーホール」というよりは、これはTCP/IPのもともとの
性質で。それに対して(勝手な)仮定を加えた上での対処はそれなりに
有効な場合もあるが、全く役に立たないこともあるわけで。
ですから当然以前から同種の危険は存在していたし、そういうことを
行うソフトウェアがいくつも存在したわけです。
# なので、「『未踏』なんかじゃない」と思うです。
「わかりやすい形で」という点には同意です。
# 「スクリプトキディどもにも使えるようにした」という点に
# おいてのみ、「未踏」

引用:

プロキシ立ててSSLを禁止するしかないのかなあ・・。


「プロキシを経由しないと外に出られない」ようにするのは妥当だと
思います。SSLをどうするかというのが微妙ですねえ... その点を
なんとかしないと、この件に対しては全く意味が無いのですが
とりあえず、「誰でも自由にSSLでプロキシにトンネルを掘れる」
という状態はやめてもいいんじゃないでしょーか。

引用:

Proxyに対する通信が特定のブラウザ以外ではできないようにする。
#ユーザエージェントなどとかで制御できませんかね?
#ユーザエージェント自体簡単に偽造できますが・・・
##ほかに何か判別可能なパラメータとかってあります?


ご自身で指摘されている通り、簡単に偽造できる点が問題と思います。
「ニセhttpサーバ」と「ニセhttpクライアント」の双方がクラッキング
ツールによって実装されている状況までケアしておくべきと思います。
# ここまで考えると、凝った擬装を施して探知するのが非常に
# めんどくさくなる設計もできるよなあ... はあ...

LAN内部の一部のセグメントしか許可しないとか、特定IPアドレスのみ
許可するとかで、マシンを絞り込むべきと考えます。

[ メッセージ編集済み 編集者: ぽんす 編集日時 2003-12-29 02:00 ]
Seareizr
会議室デビュー日: 2003/12/29
投稿数: 2
投稿日時: 2003-12-29 13:32
はじめまして、Seareizrと申します。

SoftEther、つらいですね。
このスレッド、はじめから全部よみました。

>創造的な対策
SSL通信の一番初めのハンドシェイク部分をコンテンツスキャンできるサーバorアプライアンス(以下便宜上コンテンツスキャナ)を
立てて、そこから通信を要求してきたクライアントに対し、SSLのCertificateを要求し、
かつ、SSLを許可する接続先をCertificateごとに分けるとか・・・
#要はSSL用のプロキシ(orコンテンツスキャナ)のようなもの

許可した通信は、コンテンツスキャナが代行してクライアントが接続先ホストに通信する。
#SSLの仲買ですな。

こんなのがあればいけるのかしら・・・(現実には無理?

>現実に存在するシステムでの方法
IDS/IPSでシグニチャが出れば対応できるのかしら・・・

SoftEther(略してSE。あっw)の対策にはFW単体ではどうにもならないので、
プロキシをかましてSSLを拒否、または特定ホストに対して許可。

#んー、あとは中○のインターネットのようなシステムにしてしまうw

思い当たったのはこれくらいでしょうか。

がるがる
ぬし
会議室デビュー日: 2002/04/12
投稿数: 873
投稿日時: 2003-12-29 13:48
どもも。スレッド伸ばしの張本人の一人のがるです(笑
引用:

作者は、ちゃんとシステム管理がされていないから悪い、ソフトウェアの問題ではないと反論しているのですが、どうも私には、どんなに危機意識の向上と無尽蔵な対策コストが両立しても完全に抑え込むことが技術的に不可能ではないかという気がしてなりません(現時点では)。


そうなんですね。私も正直、そう思います。
例えば、自分が悪意を持ってSoftEtherと同様のものを作成するとします。
面白いんで設計書も大まかに書いてみました(笑
結果…無理です。現時点でどもなりません。
ネットワーク管理を基準にして考えると、やはり現状、私は想像も
つかないってのが実情です。

あまり前向きではないのですが、現時点で提示されているいくつかの手段
を否定するところから、状況の整理なんぞしてみたいか、と。
是非突っ込みをよろしくです > 有識者のみなさま

・F/W:正確にはポートフィルタリング
 アウチ。ここについてはすでに議論の余地はないか、と。

・パケット解析によるフィルタリング
 一つ目に「コストがかかりすぎる」ことが多くの場合において問題か、と。
 コストをクリアして。次に出てくるのは「本当に可能か?」
 現在は可能な様子。ただ、いつ不可能になってもおかしくないので
 過信は禁物。

・Proxyなどによる制御
 結局、例えば「HTTP通信」などに偽装されてしまうことを考えると
 あまり有効だとは思えない。

こう考えると後は「クライアントPCの制御」が焦点になりそうなの
ですが…
Admin権限云々はまぁ無理。
クライアントのソフトインストール状況をあとはがっちりと管理するしか
ないのでしょうが…無理とは言わないけど、壮絶にしんどそうな…。

あとは、Baseさんの
引用:

1.クライアント管理ソフトで余分なソフトのインストールの自動禁止
 #ユーザー数によるだろうが¥5,000/クライアント
 #アンインストールされたら意味無いが、
 #アンインストールしやがった馬鹿野郎がいるとは検知できる。
6.接続時特定のブロードキャストが流れるようですのでそのパターンの通信を検知したら切断。
 #IDSとかでできないかなぁ・・・


(すみません、○数字の部分だけ書き換えてます m(_ _)m)
あたりがちと希望の光。
クライアント管理ソフトってのは私はあまり詳しくないので。
もし「新しいExeが入ってきた」だけである程度検出が可能なら或いは…
とか思ってみたり。
ブロードキャストは、とりあえずパターン検知とMail報告だけでも
多少の意味はあるのかもしれない。
…これでまたネットワーク管理者の仕事が増えることを考えると
かなり憂鬱ではあるのですが。

なんとか手段を考え出してみたいですねぇ。
どうせよりいっそう面倒な「亜種」も出てくると思うので。

スキルアップ/キャリアアップ(JOB@IT)