安全なサーバー Linuxの場合平成１２年度東京大学技術職員研修１１月２９日１４：００－１７：００@図書館情報基盤センター安東孝二 <[email protected]> 東京大学のネットワーク事情 • 主にUTnet（情報基盤センター）が運用 – 事務系、病院系は今日は考えない • 支線は独自に管理 – 管理する体制が準備されているところもされてないところも – さまざまなセキュリティポリシーとsectionalism – firewallの導入は難しい • 工学部のように研究室ごとのＮＡＴ環境への移行が進んでいるところも東京大学のセキュリティ事情（１） • 情報基盤センターのネットワークセキュリティ掛を中心に啓蒙ＰｏｒｔＳｃａｎ各種アタックは日常茶飯事潜在的な踏み台は多い？ ← http://www.nc.u-tokyo.ac.jp/security/index.html 東京大学のセキュリティ事情（２） • 部局ごとのレベルのばらつき • コンピュータ and/or ネットワークセキュリティへの理解不足 • 人材不足 – みんながユーザー、管理者は数少ない – 管理者への負担 – そもそもマシン管理は本業ではない • 人材不足の悪循環大学における過去の被害例学内で求められるセキュリティ • 最低限のセキュリティレベルを維持する – 自分の知らない人に使われないこと • Open Relay Block • アタックの踏み台 • etc. – 自分の知らない人に使われないための努力 – 知ってる人にもちゃんと使ってもらう努力安全なサーバー • 何のためのサーバーなのか？ – 必要のないサービスはしない • 誰のためのサービスなのか？ – 必要な人だけにサービス • 最低限のセキュリティレベルは確保 Windows ｖｓ UNIX • さまざまな点を考慮して、適材適所！ – – – – Single User vs Multi User Desktop vs Server エンドユーザー向け vs 管理者向け Commercial Product vs OpenSource • UNIXベースの方がInternetになじむＬｉｎｕｘの特徴 • OpenSourceでＵＮＩＸ likeなＯＳである • 多くの場合ＧＵＩが用意され、エンドユーザーにやさしく見える • Desktopも充実 • 日本語環境も充実してきた • 初心者にやさしくするあまりセキュリティに落とし穴もＬｉｎｕｘの位置付け（きわめて個人的）学内での安全なＬｉｎｕｘサーバーの運用 • • • • • distributionの選択パッケージの管理サービスの管理アクセス制限暗号化 distributionの選択 • Desktopは必要か？ – 便利そうなツールほど穴になる • セキュリティと便利さは反比例 • 日本語は必要なのか？ – 日本語ならではの穴 • サーバー用として売っているLinuxはそれでいいのか？パッケージの管理 • Redhat系、Debian系、etc. 流儀が違う – ソースから作らないなら、パッケージ管理のプロになれ！ • キーとなるサービスはやはりソースから押さえることをお勧めサービスの管理 • インストール後は/usr/sbin/setupをすぐにチェック • いらないサービスを放置するのは犯罪に等しい – cf. DoS attack サービス管理のためにアクセス制限 • tcpwrapper • xinetd • ipchains,etc パケットフィルタリング暗号化 • ssh • SSL – telnet -ssl – imap-ssl – pop-ssl • （ちょっとちがうけど）OTPも有効 • PGP/S-MIME Ｌｉｎｕｘ情報のキャッチアップ – Linuxはユーザーが多いので、security holeもたくさん見つかる。 – Linuxはユーザーが多いので、security patchもすぐに出てくる。ＯｐｅｎＳｏｕｒｃｅのよいところ？有効なリソース（１） • 各distributionのＷＥＢサイト・メイリングリスト • Apache/Samba/sendmail,etc各サービスアプリケーションのＷＥＢサイト・メイリングリスト • CERTなど – JP CERTに多少の日本語リソース有効なリソース（２） • アングラ系も重要 – BugTraq • BugTraq JPには（株）ラックからの日本語訳サマリーも流れます – http://www.insecure.org – http://www.slashdot.org どきどきしながら運用する • でも、それってみんながすること？ • 外注してもいいんじゃない？情報基盤センターで受けられるサービス • セキュリティ掛でのサービス – ネットワークセキュリティ診断 – ワクチンソフトの配布 • ＥＣＣＳ掛でのサービス – WEBサーバーのレンタル • http://park.itc.u-tokyo.ac.jp/ – メールサービスの請負（予定）紙にかけない話 • 撮影禁止、オフレコで