2005年05月09日サーバ管理者日誌サーバ管理とそれ以外の日常を綴ります。メールはkei@nantoka.comまで。Tweet某所でログ解析を行わないといけない事態が発生した。Webページの改竄(未遂)と思われる状況が発生したので、再インストールをする前に、一応、取れるだけのファイルはコピーしたものだと言う。証拠保全という考え方からすると、せめてディスクイメージ丸ごと取っておいて欲しかったのだけれども、こういうケースではあるだけましなことが多いのだ。改竄を発見したとして、最悪のパターンでは再インストールして終わりにしてしまう。同じ攻撃を受けたら、同じ様な被害が出るのは当然。ましな業者さんだと、「○○のパッチを当てていなかったのが原因」等と、それなりに原因を推定して、再インストールしてパッチを当てる。この場合も、本当にそのパッチの脆弱性によって侵入されたのかどうかには疑問が残る。悪いシナリオを考えると、侵入者は既に内部に侵入経路を持っていて、最後の仕上げに改竄をやったのかも知れないし、ある侵入者が作って長年使っていた侵入経路をたまたま見つけて、他の人が改竄をしたのかも知れない。苦労して最初に侵入経路を作った侵入者は秘密裏にその侵入経路を使い続けたかったのだから、改竄の様な表に分かる様な行動は避けていたのだ。Webサーバの改竄に成功しただけではなく、これを踏み台にして他のサーバにも侵入をしている可能性がある。極端に言えば、ファイヤウォール内部にある全ての端末を再インストールする必要があるのかも知れないし、例えばメールの情報が盗まれた可能性も、この時点では否定できない。侵入者が行えた可能性のある操作を特定しない限りは、どこまで対策をすれば安心という基準は得られないし、被害範囲も想定できないのだ。いった訳で、こういった問題が発生した後には、各サーバやネットワーク機器のログを調査して、想定される影響範囲を狭めていく必要がある。ネットワーク構成等から考えられる最悪のシナリオを想定して、少しずつ可能性のある影響範囲を狭めていくのだ。要は、安全だと証明できるものは全て危険だという立場に立つ。この時に、各サーバやネットワーク機器の時計が合っていないと、なかなか困ったことになる。通常からNTPで時刻合わせをしていれば確実だし、事故を発見した時にマシンの時刻と本当の時刻のずれが記録してあれば、前後数秒の範囲の精度は確保できる。残念ながら、今回の場合は、問題のマシンは再インストールされてしまった後なので、正確な時刻のずれが分からなかったし、他のマシンのずれから判断すると、数分はずれて稼働していることが想定された。結局、各々のマシン間でやり取りしたメールのログ等のイベントと、時刻が信頼できるドメインとの間でやり取りしたメールのログなどを使って、最小二乗法で各サーバのオフセットと経過時間あたりのずれを算出した。本当は、温度依存性も持つはずなのだけれども、共通に記録されたログを照合してみると、前後2秒の中には収まっていた。記事を参照して頂きたい。様なので、この件についてコメントしていないか探してみたのだけれど、特に記述は見つからなかった。よると、この話はトリビアに登場したことがある様で、キティちゃんは擬人化されていて、人格を持っているのでペットを飼っていますという事らしい。ブログを書く位なので、ペット位飼っても良いのではないかと、この件に関しては思う。そもそもキティちゃんは、既にネコという気がしない位のキャラクタだ。能力や知的レベルが格段に違うからと言って、同種生物をペットにすることはやはり許されない様な気がする。いうことを考えるのは、スタートレックの観過ぎかも知れない。猫界における猫権と、人間界における人権はかなり違った概念:なんじゃないかという指摘を頂きました。人間の概念を当てはめるのは無理かも知れないし、人間の概念を当てはめようとしている時点で人類と認めているのかも知れない。