Security&Trust Book Review

不正アクセスに備え、自己スキルを高める5冊！

二瓶朗
2002/10/30

ここで紹介する5冊 不正アクセス調査ガイド インターネットセキュリティ 不正アクセスの手法と防御 クラッキング防衛大全　第3版 プログラマのためのセキュリティ対策テクニック ネットワークセキュリティとシステム開発

　2000年に日本国内でも「不正アクセス行為の禁止等に関する法律」が施行された。それとともに、不正アクセスの報告は確かに減少しているとの報告もある。しかし、減少したとはいえ、不正アクセスの手法は多岐にわたり、その対処は容易ではないのが現状だ。

　しかも、すべてのコンピュータがネットワーク（インターネット）に接続される可能性のあるいまでは、アプリケーションのプログラミングや、その開発プロジェクトを管理するエンジニアにとっても無視できる事項ではない。そういったエンジニアも、不正アクセスやクラッキング、そしてそれらの根本的な原因ともなるセキュリティホールに関して配慮し、極力排除する必要があるのである。

　つまり、ネットワークセキュリティに関する知識は、ネットワーク管理者はもちろんだが、アプリケーションを開発するプログラマや、プログラマを束ねるシステムエンジニアにとっても必要なスキルなのだ。

　そこで今回は、不正アクセスに対処するに当たって参考となる書籍を3冊、ネットワーク管理者ではないプログラマ、システムエンジニアがネットワークセキュリティに対するスキルを身に付けられる書籍をそれぞれ1冊ずつ紹介する。ネットワークエンジニアはもちろんだが、セキュリティに関して他人事のように感じているエンジニアにこそ、現状と具体的な対処法を知るため、そして自分の役割の中で身につけられるスキルを知るために読んでいただきたい5冊である。

不正アクセスをどう認識し、どう対処するか？

不正アクセス調査ガイド　──rootkitの検出とTCTの使い方 渡辺勝弘、伊原秀明著 オライリー・ジャパン 2002年4月 ISBN4-87311-079-3 3400円 + 税

　不正アクセスを受けたコンピュータへの対応方法が解説する本書。不正アクセスを受けているおそれのあるコンピュータを前にした管理者が、いかにその事実を把握するか、もし不正アクセスを受けている場合は次にどのような対処を行うべきかの具体的指針として有用な1冊である。

　実際に不正アクセスツールとして使用される数種類のrootkitの動作の解説が導入として展開され、クラッカーの侵入手法が理解できる。結果として、クラッカーの手口を知ることで、侵入に対処する基本的手段もまた理解できるのだ。

　侵入手法の解説に続き、Linux、Windows環境での不正アクセスの調査方法が解説される。その調査ツールとしては、被害状況を詳細に確認できる「The Coroner's Toolkit」と、システムの整合性を確認することで不正なシステム改変を検出できる「Tripwire」の利用方法が紹介されている。

　これらのツールの具体的解説により、本書は不正アクセスに対処するある種のマニュアルとしての役割も担う。付録には、同書で紹介したchkrootkit、snortなどといった検査ツールの入手方法やインストールについて紹介してあり、読者自身がそれぞれのツールを試すことが可能である。

　ただし、本書はあくまで「不正アクセスが行われた場合にいかに対処するか」ということを切り口としているため、不正アクセスに備える部分の解説が薄くなっているのは否めない。不正アクセス防備に対してはまた異なる解説書を必要とするだろう。

　なお本書では、RedHat Linux 6.2およびWindows 2000／XPで構成されるコンピュータ環境について解説されているが、Linuxに関してはそのほかのディストリビューションでも大きな相違なく事例や記述が参考になるだろう。

不正アクセスの基本原理と防御手法を知る

インターネットセキュリティ 不正アクセスの手法と防御 白井雄一郎、白濱直哉、又江原恭彦、柳岡裕美著 三輪信雄監修 ソフトバンクパブリッシング2001年7月 ISBN4-7973-1391-9 3500円 + 税

　不正アクセスの手法について、その原理と仕組みを詳細に解説し、サイトのセキュリティ防御についての手法を解説する本書。セキュリティに関する基礎知識となる解説が豊富で、初級ネットワーク管理者にとってのセキュリティ管理入門本としても役立つ1冊だ。

　現在のセキュリティ事情や、ファイアウォールについてなどの基本事項に加え、不正アクセスの手法が幅広く解説されている。不正アクセスについてのそれぞれの解説では、あくまで攻撃の原理と仕組みを知ることに主眼が置かれているため、具体的な攻撃ツールの挙動などについては詳しく書かれていない。しかし、ネットワークセキュリティ全体と不正アクセス一般について鳥瞰でき、どのような防御法を取ればいいのか、その手法の大きな流れを知ることが可能である。

　また、取り扱っているプラットフォームもWindows、Solaris、Linux、FreeBSDと幅広く、汎用的な環境で応用できる知識が得られるのも特徴だ。セキュリティ全般についての基礎的な知識を必要とするユーザーにお勧めしたい。

クラッカーの手口を知って対処するための1冊

クラッキング防衛大全　第3版 ネットワーク攻撃の手口とセキュリティ対策 Stuart McClure、Joel Scambray、George Kurtz著 宇野みれ訳 宇野俊夫監修 翔泳社 2002年7月 ISBN4-7981-0281-4 4200円 + 税

　本書の冒頭には「汝の敵を観察せよ。汝の欠点を見つけるのは彼らだからだ」というアリストテレスの言葉が引用されている。それが示すとおり、本書はクラッカーの思惑と動機を知って彼らがどのようにネットワーク攻撃を行うかその手口を知り、その攻撃それぞれへ施す対策を解説する。

　具体的な攻撃方法（理論）→対策手段という順序で解説されているので、リファレンス的に参照することも可能だ。

　各攻撃は「一般性」（稼働中のシステムに対して実行される頻度）、「容易度」（攻撃実行に必要な技術レベル）、「インパクト」（攻撃を受けた際に発生すると予想される被害）について1〜10でランク付けされ（数字が大きい方が高ランク）、それら3項目の平均値で「リスクレート」が示される。これらの数値化により、どの攻撃がリスクの高いものか一目で分かる書面構成になっているのも特徴だ。リスクレートを把握することにより、「まずはどの対策を施すべきか？」という方策を素早く練ることが可能になるというわけだ。

　従来のクラッキングはもとより、無線LAN（IEEE802.11）関係のセキュリティホールなどここ最近のクラッキング事情までもが赤裸々に解説されているが、これはある種のフィクションを読んでいるようでもある（もちろんフィクションではないのだが）。

　セキュリティ対策に急を要するネットワーク管理者にとっては、即効薬的に役立つ1冊だ。

プログラマにとってのセキュリティ対策テクニックとは

プログラマのための セキュリティ対策テクニック Michael Howerd、David LeBlanc著 ドキュメントシステム訳 日経BPソフトプレス 2002年6月 ISBN4-89100-291-3 4800円 + 税

　セキュリティ対策に頭を悩ませるのはネットワーク管理者だけではない。プログラマにとってもそれは重要な課題となりつつあるのだ。本書は、「ネットワーク上のPCは必ず攻撃される」という認識のもと、攻撃に強いプログラム開発のテクニックを解説している。コンピュータがネットワークにつながるのが当然のこのご時世では、すべてのプログラマにとっての必携書だといっても過言ではない。

　プログラム言語はVB.NET、C#.NET、VC++.NET、C／C++を対象とし、それぞれについてサンプルプログラムが多数収録されている。また、セキュリティを考慮したプログラミングに取りかかる前のブレーンストーミングの手法も解説されており、プログラム設計段階からハッキングの脅威を軽減する対策を施すことも可能になっている。

　プログラム中のセキュリティの問題によるリスクをネットワーク管理者だけに押し付けないために、そして報告があってからセキュリティホールをつぶすという対症療法的作業を行わないためにも、本書によって設計時点からセキュリティを重視したプログラム開発を行う重要さをしっかりと理解したい。

システムエンジニア必携のセキュリティ解説本

ネットワークセキュリティとシステム開発 ラックSNSチーム著 三輪信雄監修 ソフト・リサーチ・センター 2002年1月 ISBN4-88373-159-6 2700円 + 税

　本書は、システム開発全般にかかわるいわゆるシステムエンジニア（SE）に向けて、アプリケーション開発におけるネットワークセキュリティの基礎について解説する。その内容は幅広く、単なるSEの枠にとどまらない。JavaScriptやHTML、CGIのサンプルソースを提示することで、Webプロデューサとしての必要知識ともいえるような部分のネットワークセキュリティについても詳細に解説しているのだ。

　さらに本書は、そういったネットワークセキュリティの知識のみならず、システム運用時のセキュリティポリシーについても詳細に解説している。それはシステム開発の経験を経てセキュリティ対策事業に携わっている著者・監修者の事例が盛り込まれた具体例であり、その中の失敗事例から示される「理想に近いセキュリティポリシー」は、ネットワークに深く関わるSEにとっては貴重な指針となる。

　また、記事自体の分量は少なめではあるものの、セキュリティを考慮したプロジェクト管理の手法や、セキュリティ技術の国際標準化の動向についての解説も非常に有用だ。

　「SEに求められるネットワークセキュリティのスキルとは」という切り口からは、一見基礎的なノウハウ書では？ という印象を抱かせてしまうかもしれない。しかし全編を通してしっかり読み込めば、いまや単純にSEというくくりでは業務内容を正確に表現できなくなったエンジニアにとって非常に重要な、セキュリティに関するスキルを身につけることができる1冊であることが理解できるだろう。

各書評にあるボタンをクリックすると、オンライン書店で、その書籍を注文することができます。詳しくはクリックして表示されるページをご覧ください。

Security&Trust記事一覧

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）