［運用］ これだけは押さえておきたいIIS FTPサーバ・セキュリティ（前編） ―― Gumblarに負けないコンテンツ更新システムの基礎作り ―― 1．FTPサーバに対する攻撃とは？ デジタルアドバンテージ　島田 広道 2010/04/28

Page1 Page2 Page3

　インターネットWebサイトのセキュリティ対策といえばWebサイトそのものに注目しがちだが、コンテンツ更新用のFTPサイトも軽視してはならない。それを証明したのが、2009年ごろから猛威を奮っている通称「Gumblar（ガンブラー）」と呼ばれるWebサイトの改ざん／クラック手法だ。GumblarではFTPサーバ経由で侵入してマルウェアを仕込もうとするため、コンテンツ更新にFTPを利用していた多くのWebサイトが被害に遭った（Gumblarの詳細については「新春早々の『Gumblar一問一答』」「分かっちゃいるけど難しい、アカウント情報盗用ボット対策」参照）。

　こうした事情はWindows Serverでも変わらない。ASP.NETなどWindows固有の機能でインターネット・サービスを構築する場合、IIS標準装備のFTPサーバ機能を利用して、追加コストなしでコンテンツ更新用FTPサイトを構築・運用している場合が多いだろう。こうしたIISによるFTPサーバにもセキュリティ対策に十分な注意を払う必要がある。

　そこで本稿では、Windows Server＋IISによるインターネット・サイトでコンテンツ更新にIISのFTPサイトを利用している管理者を対象に、FTPサーバへの攻撃手法を説明し、その防御のためにWindows ServerおよびIISの標準機能だけで可能なセキュリティ対策を紹介する。対象とするWindows Serverは、現在でも専用サーバ・サービスなどで主流のWindows Server 2003（IIS 6.0）を取り上げる。

　いずれの対策もコンテンツ更新システム全体から見ると基礎的なものであり、これだけは押さえておきたい最低限のものでもある。そのため、FTPクライアントなど、ほかの部分の対策が不要になるわけではない。しかし本稿の対策は、Gumblarをはじめとするさまざまな攻撃手法のすべてを完全に防ぐことはできなくとも、攻撃成功の確率を大幅に下げたり、成功しても被害を最小限に抑えたりするには十分に役立つ。IIS 6.0のFTPサーバを運用している（あるいはこれから構築しようとしている）なら、ぜひ確認していただきたい。

FTPサーバに対する攻撃とは？

　FTPサーバに対する攻撃とは、先に触れたGumblar以外にもあるし、目的も不正侵入が多いものの、それだけではない。FTPサーバに対する代表的な攻撃手法をピックアップして下図に表してみた。

FTPサーバに対するさまざまな攻撃手法

FTPサーバに対する代表的な攻撃手法を挙げてみた。Gumblarは、一番下の「アカウント／パスワード窃取→不正アクセス」という手法でFTPサーバに侵入して、Webサイトにマルウェアを仕込もうとする。

　具体的な攻撃方法は、次のとおりである。

名称・通称	攻撃手法の概要
サービス妨害（DoS）攻撃	サーバに対して大量の（無意味な）サービス接続要求を送り付け、サーバの負荷を高めて、サーバを過負荷でダウンさせたり、ほかの正当なユーザーへのサービスを妨げたりする
辞書攻撃	ユーザーがパスワードとして使いそうな文字列（辞書に載っていそうな単語など）を辞書として用意しておき、これらをパスワードとして機械的に次々と指定し、合致しないかどうかを試行することによってパスワードを解析・して侵入を図る
脆弱性攻撃	情報システムにおけるソフトウェアやハードウェアの欠陥や仕様上の不具合を攻撃して、システムを停止または破壊したり、侵入して不正に情報を入手したり改ざんしたりする
アカウント／パスワード窃取→不正アクセス	FTPクライアントのコンピュータに侵入したり、ネットワークを盗聴したりすることでFTPサーバのアカウント名とパスワードを盗み出し、FTPサーバの認証を破って不正に侵入する。FTPではパスワードが平文でネットワーク上に流れるため、ほかのサービスに比べてパスワード窃取の危険性が高く、この攻撃が成功する確率も高めだ。
各攻撃手法の概要

　各攻撃への対策については、まず「特効薬」のような対策はそうそうあるものではない。また、ある対策はこの攻撃手法には効くが別の攻撃手法には無効、ということが珍しくない。そのため、さまざまな対策を組み合わせて多層的に防御することで、初めて総合的な効果が発揮できる。これから説明するFTPサーバ向けのセキュリティ対策についても、程度の差はあっても1つの対策で万事解決はできず、すべての対策を組み合わせることで防御力を高められると考えていただきたい。

　本稿では、これらの攻撃を防ぐための基本的な対策について解説する。前編である今回は、主にFTPサーバに対するアクセス制限の設定方法を解説する。

• 対策その1： 「既定の FTP サイト」とは別にFTPサイトを作成する
• 対策その2： 匿名ユーザーによるアクセスを禁止する
• 対策その3： 接続元IPアドレスによってアクセスを制限する
• 対策その4： 最大同時接続数を最小限にする

　後編ではIISのFTP（仮想）サイトに対するセキュリティ設定について解説する。

• 対策その5： FTPサイトのルート・ディレクトリをWebサイトから分離する
• 対策その6： 類推の難しい名前の仮想ディレクトリを作成してWebサイトをマップする
• 対策その7： FTP専用アカウントだけにFTPサイトへのアクセスを許可する

　次のページでは、1番目の対策「『既定の FTP サイト』とは別にFTPサイトを作成する」について説明する。

INDEX
	［運用］これだけは押さえておきたいIIS FTPサーバ・セキュリティ（前編）
	1．FTPサーバに対する攻撃とは？
	2．「既定の FTP サイト」は使わない
	3．接続元IPアドレスや同時接続数を制限する
	［運用］これだけは押さえておきたいIIS FTPサーバ・セキュリティ（後編）
	1．FTPサイトはWebサイトから分離して設置する
	2．FTPサイトへのアクセスはFTP専用アカウントのみ許す
	3．FTPサイトのログから攻撃の痕跡を探し出す

運用

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）