雄一TweetはじめにOSS分野でも近年、日々高まる脅威の中でセキュリティ技術が急速に進化してきていますが、日本国内ではその動向はあまり発信されていませんでした。このような状況を受け、2017年3月に「OSSセキュリティ技術の会」が設立されました(「拡がるOSSセキュリティ需要に向け、最新情報を発信する勉強会を開催!」)。本連載では、これまで発信されていなかったセキュリティ動向について、OSSセキュリティ技術の会の有志が最新の技術と情報を解説していきます。第1回の今回は、個々の技術を解説する前に、OSSセキュリティ技術の会が設立される背景となった脅威の動向について見ていきましょう。近年インターネット上のサイバー攻撃はさらに激しくなってきています。最近は、脆弱性を利用した攻撃や、マルウェアによる攻撃も猛威を振るっています。昨年から今年にかけてだけでも、下記の攻撃が話題になりました。単純に公開された脆弱性情報だけを見ても、昨年末から急激に数が増えています(図1)。図1:直近十年に公開された脆弱性情報(2014年のスパイクはHeartBleedの影響)。実際、サイバー空間は陸・海・空・宇宙に続く「第五の戦場」と呼ばれており、各国も専門家を育成して対処にあたっていますが、単に防衛だけでなく攻撃にも使用されてきているため、今までの愉快犯的な攻撃から高度な知識を持った専門家による攻撃というフェーズに移っています。このような攻撃者はなるべく目立たない様に攻撃を行うため、攻撃された側はなかなか検知できません。そのため、攻撃を検知してから対応するというだけでなく、そもそもの攻撃に対する堅牢なシステムを構築する必要があります。逆に攻撃を大々的に行って相手のシステムをダウンさせるようなDDoS攻撃もIoTを利用することでより激しく行われています。このような状況では、対応するサーバやネットワーク機器だけでなく、IoTデバイス自身にもセキュリティ強化を行う必要があると言われています。セキュリティの強化このような脅威が我々を取り囲む中、2020年の東京オリンピック・パラリンピックを前に政府主導の下でセキュリティ強化が図られています。オリンピックは各国が威信をかけて取り組むため、必要とされるシステムの安全性は必ず担保されなくてはなりません。ドーピング検査や各種不正のチェックに使用されるシステムが各国からの攻撃対象になることは容易に想像できるでしょう。これらのシステムのセキュリティを強化するために、不足しているセキュリティ人材の確保など様々な取り組みがなされています。言え、ひと言で「情報セキュリティの強化」と言っても、多くの分野があります。(相互関連するものもありますが)さっと思いつくだけでも下記のようなものが考えられます。暗号アクセス制御セキュリティパッチログ管理インシデント対策CSIRT構築IoT対策これらの対策・診断など、全てを実施するには膨大なコストがかかります。コストには、時間的なリソースと金銭的なリソースがあります。大企業であれば膨大なコストをかけることが可能な場合もありますが、大抵の場合はそれほどコストをかけられないのが実情です。強化すべきセキュリティと予算の関係セキュリティの強化とそのコストを考えた時に、一番有効なのは「弱点」を強化していくことです。弱点を強化していけば全体的なセキュリティ強度が高まります。強固な城壁を築いても、一部分の城壁が低ければ、その一点突破されて城は陥落してしまいます。城壁の低い部分(セキュリティの弱い部分)を強固にしていけば、全体的なセキュリティ強化に繋がるわけです(図2)。図2:どんなに頑丈な城壁でも弱点が一点あれば簡単に突破されるそれでは、どこが弱点なのでしょうか。弱点を把握している組織もあれば、そうではない組織もあります。言えば、弱点を把握していても、その弱点を補強するためのコストがかけられない組織が多くあります。日本では、一般的にセキュリティは「利益を追求する組織を害するもの」と考えられがちです(これは非常に悲しい考えであり、セキュリティ人材が不足する原因の1つになっています)。そのため、そのセキュリティは会社役員の承認が取りづらく、その結果、予算も取れないことが多いようです。会社役員を説得するために奔走する社内IT担当者の悲痛な声を多く聞いてきました。実際に会社役員を説得するには、下記のやり方が有効でした。セキュリティアセスメントを実施し、現在のセキュリティ強度を可視化(得点付け)する(匿名で)同業他社のセキュリティアセスメントの結果を提示するセキュリティアセスメントの結果だけを提示しても効果がある場合もありますが、予算を確保してくれる役員はあまりいません。同業他社のセキュリティ強度と自社を比較して、劣っている場合に予算を確保してくれるケースが多いのです。セキュリティインシデントが発生した場合、同業他社よりセキュリティ強度が低ければ、世間や株主の矛先が会社役員に向けられるからです。アセスメントの結果には興味を持ってもらえます。OSSとセキュリティ技術の関わりOSSとセキュリティ技術の関わりには、大きく分けて2種類があると思われます。商用のセキュリティ製品をOSSに置き換えるLinux等のOSS技術のセキュリティを高めるそれぞれ、詳しく見ていきましょう。(1)商用のセキュリティ製品をOSSに置き換えるOSSと言うと「最新技術を追いかけて開発することに主眼が置かれている」と捉えられがちで、一見すると関係性はないように思われます。セキュリティ製品はクローズドな環境で専門家が開発しており、肝心な個所はブラックボックス化されているため、OSSの思想とは相入れない印象があります。知られていませんが、実は商用のセキュリティ製品にもOSSの技術が使われていたりします。前の話になりますが、2014年4月に公開されたOpenSSLの脆弱性である「HeartBleed」が攻撃を受けた際、Cisco等数多くのセキュリティ製品にも被害の報告と修正が行われました。そのほか、各種の商用セキュリティ製品と同等の機能/スペックがクラウドなどの環境の発達によりOSSでも提供されています。これにより、かつては専用ハードウェアを利用しなくては不可能だった攻撃の解析などがOSS+クラウドなどでもできるようになりました。このように、最近ではOSSでセキュリティが提供されることも珍しくなくなってきました。利用面で考えれば「今まで商用製品で提供されてきたセキュリティがOSSでも実現できるようになった」と言えますし、また技術面で考えれば「今までブラックボックス化されていた商用のセキュリティ製品と同等の機能がOSSでも提供されたため、機能の概要が詳細にわかるようになった」とも言えます。この「商用のセキュリティ製品をOSSに置き換える」ことを「OSSは無償で使える」という考え方からコスト面に主眼を置きすぎると問題が発生するでしょう。会社役員などを説得するために高価な商用セキュリティ製品をOSSに置き換えるという考え方で提案すると、実際に開発・運用コストを計算した際に(あるいは導入後しばらく経ってコストを計算した際に)、「思ったよりもコストが下がっていない」と愕然とされてしまいます。筆者の経験でも、「商用製品とOSSのコストを比較してくれ」と言われた場合には、あまりコストが下がらないケースが多々あります。それには、下記のようなOSSではよくある話が元になっています。製品の初期導入コストのみを考え、サポート料は考慮されていない実運用段階になった際の定期的なメンテナンスでOSS特有の状況(マニュアルが整備されていない等)が考慮されていないバグフィックスなど製品に修正を加える際に、OSSを利用するための相応のスキルが必要とされる箇所が考慮されていないしかし、これらは「ある程度のスキルとマニュアル整備に時間を割くことで吸収できる差異」であり、最初にその分を加味したコスト比較をしておけば、「コストが(想像していたほど)下がらない」というイメージを払拭できます。(セキュリティ製品だけに関しての事情ですが)一般的にセキュリティ製品は運用フェーズへの導入・またメンテナンスにも相応のコストが発生します。下記のような操作は一般の管理者では対応しづらく、専用のトレーニングを受けた管理者が対応するケースが多くあります。FireWallに新たなルールを加えるVPNでの接続に新たな拠点を加えるため、グループとユーザを追加するSPAMフィルタでの誤検知が多いためフィルタを調整するこのような専用のトレーニング料や特別な(スポットでの)メーカー作業支援などのコストを考えると、OSSによる置き換えがコストに及ぼす影響は、一般の(例えばDB等の)商用製品からOSSへの置き換えに比べて大きくなります。(2)Linux等のOSS技術のセキュリティを高める最近では、「最新技術を追いかけて開発することに主眼が置かれている」際には主にOSSが使われるようになっています。昨今ではDevOpsやコンテナ化などの最新技術がOSSで提供されることが多くなってきています。OSSを使うと初期の研究・開発時にソフトのコストが(ほぼ)無料になるため、このような流れになるのは当然でしょう。クラウド基盤を使うことでプラットフォームとしてのシステムコストも節約できるため、「OSS+クラウドによる最新技術の開発」という流れは今後も続いていくことでしょう。このように、最新技術がOSSで提供されるようになる中で、その中で使用されるOSSのセキュリティ技術も、(もちろん商用のセキュリティ製品も使用可能ですが)、OSS自身のセキュリティ機構もOSSで開発され、使われるようになっています。本連載の解説内容について本連載では、OSSとセキュリティについて前項で触れた下記の2つの観点から「前編」「後編」に分けて構成していきます。次回からは、まず前編として「商用のセキュリティ製品をOSSに置き換える」技術として、まず「ウイルス対策」について解説します。コンピュータウイルスが誕生してから延々と続くウイルスとの戦いですが、オープンソースを用いて、その戦いを助けるヒントを記載していきます。Analysis)」です。次に、「検査ツール」について解説します。有償の検査ツールは優秀ですが、OSSにも優秀なツールが存在します。System)」を紹介します。最近では「ソースコードの脆弱性検査」もOSSのツールが多数活用されてきているので、それらについても紹介します。その他、システムの設定やバージョンなどが組織で必要な標準に該当しているかなどを検査する「OpenSCAP」も紹介します。Firewall)」や「ネットワーク系」についても解説します。クラウド型のWAFの普及に伴い、大・中規模のWebサイトにも導入されてきている感覚があります。後編の「Linux等のOSS技術のセキュリティを高める」技術では、まず「認証(FreeIPAなど)」について解説します。Directory(AD)と同等のLDAPおよびKerberosによる認証基盤ですが、Linux/UNIXシステムでの必要性にフォーカスしています。Sambaとは異なりADを置き換えることは考えていません。FreeIPAはネイティブのLinuxプロジェクトで、単体で使うケースだけではなく、ADが存在する環境で利用するケースを考慮しています。次に、「強制アクセス制御」について解説します。脆弱性に即座に対処することが難しくなっている中、近年では最後の砦として被害を最小限に軽減する強制アクセス制御技術が改めて脚光を浴びつつあります。ここでは、強制アクセス制御技術の代表格である「SELinux」を紹介します。最後に、「パッチ」「ログ」などの運用について解説します。セキュリティパッチ適用の必要性が再認識させられている昨今です。インシデント対応やインシデント予兆の確認のために、ログが活用されています。それらのパッチ適用ができているか、ログから何か予兆は出ていないかなどを集中して管理するための運用について紹介します。システム開発/構築や社内インフラを担当。その後、セキュリティベンダーに移り、セキュリティ診断(NW、Web、DB)に従事。現在は、診断、アドバイザリー、インシデントレスポンスを担当。本の執筆や講師も務める。OSS/セキュリティエバンジェリストOSSのセキュリティ専門家として20年近くの経験があり、主にOS系のセキュリティに関しての執筆や講演を行う。大手ベンダや外資系、ユーザ企業などで様々な立場を経験。2015年からサイオステクノロジーのOSS/セキュリティエバンジェリストとして活躍し、同社でSIOSセキュリティブログ(http://security.sios.com)を連載中。日立製作所OSSソリューションセンタに所属し、セキュリティ分野のOSSを活用したソリューション開発に従事。コミュニティ活動として、OSSセキュリティ技術の会を立ち上げ、SELinux等のOSSセキュリティ技術の普及活動を行っている。ITでは、より付加価値の高いコンテンツを会員サービスとして提供しています。ITのWebサイトにログインすることでさまざまな限定特典を入手できるようになります。VeloCloudが選ばれる理由SD-WANとはなにか。Linuxエンジニア育成への思いF5とNGINXの組み合わせで、サービス公開をよりセキュアに。ITがお届けするポッドキャストです。