(BSS)IT運用管理と情報セキュリティの専門家であるブロードが、次世代のビジネスプラットフォームに欠かせないセキュリティの最新情報をお届けします。サーバのセキュリティ、そしてUnixおよびLinux環境の保護は、これまでにないほど緊急性を増しています。PaaS、IaaS、SaaSといったモデルの採用がここ数年にわたって進められていますが、リモートワークの爆発的な増加や多岐にわたるビジネスのやり方に応えるため、デジタルへの移行が加速している時代において、すべてをクラウドで行うことへの要求が非常に高まっているのです。このように急速に発展が進み、ますます複雑さが増している世界では、サーバの脆弱性や保護策における穴が大きくなり、攻撃を仕掛ける者-外部の脅威実行者あるいは内部者-がこれを悪用して甚大な被害を与えることになりかねません。このブログでは、以下のことを中心にUnix/Linuxサーバのセキュリティとは何かについて探ることにします。Unixのセキュリティ=(イコール)クラウドのセキュリティなのかLinuxは、作業負荷のばらつきの大きなクラウド内で動作するオペレーティングシステムとして最も広く使われています。Linuxは、ウェブやデータベース、メールサーバアプリケーションだけでなく、ブロックチェーン、コンテナ、TV、IoT、SCADA、CI/CDパイプラインなどを実行するのにもよく使われています。インターネットと接しているクラウドアプリケーションの量が増えたため、増え続ける脅威の手から、このように価値の高いシステムを守ることは、これまでになく重要になっています。分散型システムの性質として構成が安全ではない傾向があり、セキュリティ防御上の穴が生じやすくなっています。ウェブアプリケーションで構成が単純なら、脅威の実行者は基本サーバからリモートでコマンドを実行することができます。目的を持った脅威の実行者はこのアクセス権を利用してシステムに常駐し、特権昇格を求め、ついにはシステム全体を支配することにもなるでしょう。そのうち、このような高度な持続型の脅威(APT)は、個々の頭痛の種というだけでなく、広範囲にわたる侵入の脅威に形を変え、世界中のデジタル社会を震撼させることになります。SolarWindsの攻撃で起きたことがまさにそれでしょう。問題の範囲はUnixやLinuxの構成だけにとどまりません。システムやプラットフォームの数が増えるにつれ、インフラストラクチャの操作を行う人は急速に増え続ける特権ID(人間のものマシンのもの問わず)も管理しなければならないのです。IDがこれほど急激に増加していることで、組織は難しい状況に直面しています。不適切に保管されたSSH鍵が一つでもあれば、そこが攻撃ベクトルとなって組織が侵入を受けることになりかねません。ひと言で言えば、形勢は明らかにこちらに不利です。攻撃者の狙いとしては、成功の機会が0パーセント以外なら有利に比べ、セキュリティチームは常に100パーセントの保護を目指さなければならないのですから。ここで、LinuxとUnixのシステムが動作する環境をあらためて考えてみましょう。これらは、ほぼすべての階層で、基幹業務プロセスの要となるものです。したシステムの中には継続的な処理を制御するものもあり、シャットダウンからの復旧には数週間を要することもあります。サイバー攻撃や構成不備のためにこうしたシステムが利用できなくなれば、その組織の評判にも経営にも甚大な影響が出るでしょう。UnixとLinuxのセキュリティの課題とは何か?成長を続ける最先端の技術に伴う課題はたくさんあります。サイバーセキュリティのチームはLinuxやUnixのシステムでのアカウント、とりわけrootのような高い特権を持つアカウントを能動的に管理しなければなりません。これが課題の始まりです。システムにはそれぞれ、固有のローカルユーザの保管庫があります。これはごく狭い環境であればうまくいくのですが、会社が成長して多くのシステムを構築するようになると、特権アカウントの数も倍増し始めます。したアカウントを管理しやすい立場にいるためには、次のような問いへの答えを考えることが重要です。システム管理者はどのようにすべてのrootパスワードを保管しているか?パスワードが平文でどこかに書き留められていたり保管されたりしているか?ITセキュリティ担当者はどのようにして、こうしたパスワードが脆弱でないと確かめられるか?ITセキュリティ担当者はどのようにして、デフォルトのパスワードが変更されたことを確かめられるか?システム管理者はどのようにして、システムファイルの統合性を確かめられるか?システム管理者はどのようにして、アプリケーションのセキュリティを確保しているか?また、どのようにしてSSH鍵を保護しているか?サーバ全体で特権IDとアクセスを管理するには:5つの「W」どのような環境においても、こうした特権IDを管理する際には、属している組織に合ったセキュリティ手段やプロセスを実現するために念頭におくべき5つのWがあります。Where(どこ)どこからこの変更を実行するか?この変更の完全な監査証跡はどこにあるか?サーバの特権を管理するためのオープンソースソリューション上の項で挙げた問いに答え、課題を解決するために、Unix/Linuxのプラットフォームには多くのオープンソースソリューションがあらかじめインストールされています。sudoは、標準ユーザがスーパーユーザ(root)または指定された他のユーザとしてコマンドを実行できるように、ほとんどの分散ファイルに入っている無償のアプリケーションです。Windowsの右クリックの「runas」オプションのようなものといえます。これはわかりやすい最小特権の原則(PoLP)を適用し、ユーザが自由に特権を昇格できるようにするためのものです。この簡単な解決法は、拡張が著しいインフラストラクチャは言うまでもなく、昨今のコンピュータ業界の様々な需要に対しては適切とはいえません。sudoの大きな脆弱性が最近Qualysの調査チームによって発見されたことを心に留めておくべきでしょう。この脆弱性は2011年からあったもので、最近になってやっと世間に注目されるようになったのです。詳細はこのブログでお読みいただけます。システムの数が増えるにつれ、sudoの管理は難しくなります。sudoのせいであらゆるホストを個別に管理しなければならず、これは管理者にとっては複雑で時間がかかる作業で、最終的には手に負えなくなります。一元管理できないというこの特徴のためにほころびが生じ、ひいてはこれがリスクにつながります(この拡張性の問題に対処しようとした無償の自動化ツールもあり、これについては後述します)。IDの管理も完全にはできません。その結果、チームのメンバーはrootや他のアカウントを共有することになり、それが回避策や侵入を許すことにつながるのです。rootアカウントを共有すると、監査またはコンプライアンスの問題が生じます。どのような特権を伴う動作についても、消せない監査証跡を証明することがまったくできなくなってしまうのです。改ざん防止策が施されていないので、コンプライアンスを証明したり、不正の問題を有効に調査したりすることができなくなります。sudoのこの問題点で窮地に陥るのを避けるため、またはこれを回避するための最善かつ最もうまくいく方法は、真の最小特権を用いたサーバ管理ソリューションに移行することです。これによって組織は、固定された特権がなくても、またアカウントを共有しなくても、すべてのユーザを実行させることができます。操作者と管理者はいつも使っているアプリケーションを引き続き実行することができますが、昇格は、業務ポリシに基づいて個々のコマンドに対してのみ行われます。ユーザの観点から見れば、これは動作コマンドの昇格をスワップアウトするのと同じくらい単純なことです。その後、すべてのイベントは信頼性を確保するために完全に記録され、詳細なポリシのおかげでどのような動作が可能か制御することができます。特権を伴う動作の情報はすべて改ざん防止の監査証跡に記録され、監査者やインシデントレスポンスのチームが使えるようになります。下の図でわかるように、既存のワークフローへの影響は最小限に抑えられます。BeyondTrustソリューションから過去のセッションをリプレイしている例。」コマンドをジャストインタイム昇格のために実行している。Moduleは、Linuxカーネルと共に出荷されます。LSMはLinuxカーネル内に加わったセキュリティのフレームワークで、従来の任意アクセス制御(DAC)ではなく強制アクセス制御(MAC)をシステム全体に行うものです。ユーザのシステムコールで内部の重要なカーネルオブジェクトがリクエストされた場合に、カーネルのあらゆる場所にフックを挿入します。すると、このフレームワークのおかげで強制アクセス制御を基盤としたセキュリティモデルを違った形で実装することができるのです。LinuxカーネルにはいくつかLSMモジュールが組み込まれていて、それぞれの手法と管理形態は少しずつ異なっていますが、すべて等しくシステムの安全性を向上させるでしょう。具体的な例としてSELinuxを取り上げてみると、このソリューションでは、従来ある「読み込み」「書き込み」「実行」というデフォルトの許可と、ファイルやディレクトリへの許可の割り当てを超えたきめ細かいセキュリティポリシを実施します。LSMが特に強力なのは、すべてのシステムコールがポリシデータベースでチェックされ、デフォルトで拒絶されるようになっているところです。これは、コンテクストをファイルやネットワークのポート(たとえば)に適用したり、こうしたオブジェクトにラベルをつけたりすることによって実現します。ポリシはその後、こうしたマッピングを参照して1つのまとまったポリシとなります。幸いなことに、管理者は白紙の状態で規則やラベルを書く必要がありません。今は見本となる規則が数多くあり、システムへの導入や試験も簡単になっています。Moduleは、途中で攻撃者を阻むことが証明されています。ApacheのLinuxサーバ上で動作する脆弱なPHPサイトがあるとします。LSMが正しく導入されていれば、PHPの脆弱性が大きくなってマシンに及んでも自動的にブロックされます。攻撃者が脆弱性を介して指揮・統制を行える場合は、昇格したり横方向へ移動したりしようとします。sudoerやpasswd、known_hosts、resolve.confなど重要なファイルはすべて、その攻撃者が存在しているPHPセキュリティポリシに対し異なるラベルを関連づけます。PHPポリシは他のオブジェクトには読み込みや書き込み、実行などの権利を許可しません。このような攻撃は興味深く、そして危険でもあります。いうのは、サーバにパッチを当て、完全に更新し、安全に管理することはできますが、それでも攻撃者は別の脆弱性を介してアクセスしてくることが可能だからです。LSMはここで重要なセキュリティ手段になってくれますが、鎖の強さは最も弱い環によって決まるのです。このようなrootアカウントを管理して特権昇格を阻止することについてはどうか?ITセキュリティの担当者はシステム動作とセッションデータの「よい」基準を知っているか?ITセキュリティの担当者は、5つのWの監査証跡を把握しているか?これがLSMの限界であり、別のセキュリティ手段が必要となる理由です。Mac製品もこれに含まれている)は、エンドポイントでの動作の基準や中央での監査証跡を作成することができます。システム管理者はすべて標準ユーザとしてシステムにサインオンし、ジョブを遂行するために必要なツールやアプリケーションを昇格させるだけです。Safeは特権アカウント(人間、アプリケーション、マシンなど)を自動的にスキャンし、登録し、管理します。組み込まれているrootアカウントのみならず、既知の、または発見された特権ユーザの身元情報やSSH鍵もです。Safeはすべての資格情報をちょうどいいタイミングで発行し、使用後に変更されるようにするのです。自動化ツール-コードとしてのインフラストラクチャ自動化ツール、具体的にはコードとしてのインフラストラクチャ(IaC)は、大規模環境の構成管理をじつに簡略化しています。するほど長時間にわたり大変だった作業(構成ファイルを100台のサーバで変更したり、ファイルをそこにコピーしたりすることなど)が、今では多くのプラットフォームやオペレーティングシステムを通じて、1つのツールで達成することが可能なのです。チームはこの技術を応用して、システムでのアカウント管理を単純にすることができます。中央にある親ノードから、新しいユーザやグループ、ホームディレクトリなどを作成したり定義したりすることもできます。SSSDのようなこうした組み込み式のソリューションは、複雑な環境ではうまく働かず、グループポリシや多因子認証(MFA)、一元レポーティングといった高度な機能がありません。したツールはまた、別のリスクを引き込む恐れもあります。認証ツールを強化する高度な特権アカウントは固定化されていることが多く、永続的な特権の数も膨大です。この種のアカウントは組織のインフラストラクチャ全体の統制が可能であるため、ほぼ間違いなく、どのようなサイバー攻撃においても意図を持った脅威実行者の格好の標的となります。これがあっても、一元ID管理が必要であることに変わりはありません。一元ID管理がなければ、あらゆるシステム管理者は、それぞれ固有のパスワードとポリシを持つアカウントが2つ以上必要になります。Directoryで統合することができます。すべてのユーザIDと認証をADで一元管理することで、企業は信頼できる情報源を一つだけにすること、すべてのシステムの管理場所を一つだけにすることができ、しかもWindowsのエンドポイントに限定されません。Bridgeがあれば、すべての構成やロールアウトや更新を中央のウェブアプリケーションで実施することができます。処理を行う時間が減らせるうえ、監査とコンプライアンスのための承認レポートを作成する労力も減らせるからです。利用によってITオペレーションの時間が大幅に削減できるだけでなく、セキュリティチームも単一パスワードの方針を徹底させながら、シングルサインオンを使うことでシステムのユーザがこれを簡単に行えるようにできます。UnixとLinuxに関するセキュリティ強化対策のベストプラクティスのトップ10システム管理者がUnixとLinuxの環境でセキュリティを強化するために講じるべき10の措置を下記に述べます。Unixセキュリティ特権アクセス管理(PAM)ベンダーを選ぶ際、PAMの全体を見ているか、また拡張だけでなくプラットフォームを選ばず、導入がしやすく、ROIが数値でわかるような堅牢なセキュリティ機能を持っているかどうかということを確認するのが重要です。BeyondTrustが役に立つUnix/Linuxの特権管理についての主なコンセプトを以下に述べます。パスワードポリシが守られ、固定化して脆弱にならないように、*nix環境の中でアカウントやパスワードや鍵を管理する。これによって、パスワードの再利用やパスワード解析、パス・ザ・ハッシュなどさまざまな種類のパスワード攻撃を防ぐことができる最小特権の原則を導入し、過剰な管理者特権を排除する。これは、UnixとLinuxの特権上昇攻撃と共に横方向への移動を防ぐことにも役立つ共有アカウントの危険な使用をなくし、否認不可性を実現する*nix環境へのアクセスを制御し、承認された場所からの承認と認証を受けた個人に対してのみセッションを許可するコマンドラインのフィルタリングを行い、不安定な悪意のあるコマンドを阻止するユーザの動作をログし、組織全体のコンプライアンスを徹底する問題、変更、インシデントについての監査証跡を完全にするため、リモートで特権を伴う動作を管理・記録しておく。BeyondTrustでは、すべてのセッション動作の完璧な監査証跡が残せる構成を調整したり進行中の疑わしいセッションを中断または終了させたりするなど、セキュリティにおいて先手の措置がとれるように、普段と違う動作に対して警告や通知を受けられるようにする一元化され、統一された管理を行って、IT担当者が可能な限り効率よく安全に作業できるようにするBeyondTrustは30年以上に渡って、サーバの特権管理や完璧なPAMプラットフォームをサポートしてきました。BeyondTrustなら、ご自身の環境に合ったペースで、IT資産全体を通じた特権アクセスのセキュリティ制御を充実させることができます。以下に、UnixとLinuxのセキュリティ分野で鍵となるBeyondTrustの4つのソリューションを挙げます。心に留めていただきたいのは、PAMの手順では特に始める順序を決める必要がなく、BeyondTrustがお客様の現在の状態に鑑みて、次にとるべき手順をきちんとお勧めできるということです。当社のソリューションは1つのプラットフォームに統合し、結合させて他の機能を活用することができます。Unix/Linuxは、Unix、Linux、ネットワークシステムで真の意味での最小特権を実現するためのもの。Directoryの認証をUnixとLinuxのシステムに拡張し、シングルサインオンとグループポリシの構成を行うためのもの。LankfordはBeyondTrustのソリューションエンジニアリング部長で、同社で働き始めてから4年になる。10年間さまざまな業界の企業と仕事をしたことで、セキュリティに関して幅広い経験と知識を身につけ、業界の会合では常に発表を行う立場にある。Report)の第8版ができました。2020年の一年間でMS製品の脆弱性は合計1,268が報告され、前年から48%の大幅な増加しました。Outlook製品の重大な脆弱性の100%が管理者権限を削除することで軽減できたことが判りました。記事を読む特権アクセスワークステーション(PAW)を使用したクラウドの保護クラウドを保護するための一般的な方法の1つは、特権アクセスワークステーションと呼ばれる資産を通じてクラウドコンピューティング環境へのすべての管理アクセスを保護することです。管理者個人が日常で使う端末は攻撃者にとって魅力的な標的です。資格情報がここから詐取されて攻撃を開始、さらに横展開に使用する可能性があるからです。記事を読む新型コロナウイルス対応でのリモートワークについての考慮点コロナウィルスの拡散に伴い、世界中の企業が事務所を閉鎖してリモート業務を指示しています。この状況の拡散に従い、従業員の健康を守りつつ、ウィルスの拡散を避け、ビジネスの継続性の保障のためにオンラインやリモートのサポートツールへの需要が増えています。記事を読むパスワードセキュリティが単独のセキュリティ推奨事項で最も重要である理由サイバーセキュリティ界では多様な脅威に対応するため、数多くの推奨事項のリストが存在します。これらは最新の脅威や危険な攻撃手法の詳細な分析に基づく一方、通常は特定事項に絞られており、誰にでも簡単に適用できるわけではありません。そこで今回はITセキュリティにおいて最も重要な推奨事項の一つ、パスワードに焦点を当てます。?サービスアカウントは、アプリケーションを実行し、自動化されたサービス、仮想マシン・インスタンス、その他のプロセスを実行するのに使われる特別な種類の非ユーザー特権アカウントで、特権ローカルアカウントやドメインアカウント、場合によりドメイン管理者権限を持たせることもできます。このように高度な特権によって、多くのITワークフローを円滑に進めることができますが、一つのサービスアカウントが多くのアプリケーションやプロセスで簡単に参照することができる相関性に加えて重要な使途で利用されるという性質があるため、管理が非常に難しくなっています。このブログ記事では、サービスアカウントの使い方、異なる環境での共通のユースケースとアカウントタイプ、サービスアカウントの管理における課題、サービスアカウントの管理と保護に関するベストプラクティスとソリューションについて考察します。Toolとして無償提供を開始しました。Toolの対象だったWindowsに加え、MacやUnix/Linuxの管理者権限アカウントや主なリモートアクセスツールを検知します。攻撃表面を狭めコンプライアンスを達成する5つの適用例Unix、Linuxの多くの基本OS、管理、アプリケーション、およびソフトウェア機能は一般ユーザ権限以上が必要です。このためにユーザが昇格した権限、つまりrootや管理者ユーザの形態である必要があります。このセキュリティとコンプライアンスリスクの克服にはrootや管理者権限の保持の必要性を排除しなくてはなりません。記事を読むサイバー攻撃者が悪用する、変わりつつある「最も楽な道」にどう対処すべきかデータや資産への攻撃として最も楽な道(POLR)は変わりつつあり、ITリスク管理の計算方法や保護についての優先順位も変化が必要です。攻撃の対象領域がどう変化し、これにより、なぜPOLRが変化しつつあるのか、物理的・サイバーセキュリティの見直しはどうなるか、ベストプラクティスがどう進化するかを探ります。Toolを無償で提供しています。Report)の第9版ができました。これまで同様、今回の2022年版でも、2021年中のMicrosoft社による「パッチチューズデー」の12か月間の統合ビューと分析内容を提供します。