情報セキュリティCAS 第二十三回放送用スライド

情報セキュリティCAS
情報セキュリティについて
中年オヤジがグダグダ語るCAS

このCASでは…
その日のテーマに沿った質問を受け付けています！
取り上げて欲しいテーマの募集もしております！

本日のテーマは…
騒ぎになっているShellShockって何？

結論から申し上げると…
早急にアップデートするほか
WAFなどで攻撃を防御しましょう

何でこのテーマを選んだか？
• サーバーを乗っ取られる可能性もあり危険
• サイト改竄などにつながるおそれも
• 実はサーバーだけではなくMacも被害に遭うおそれが

ShellShockとは
UNIX系OSで使われているシェルというコマンドの
一種であるbashに脆弱性が見つかった
!
不正な文字列をコマンドとして実行してしまう

何が危険なのか？
• サーバーをダウンさせることが出来る
• サーバーを実質的に乗っ取ることが可能になる
• サーバーを踏み台にして他者への攻撃が可能になる

何が危険なのか？
• サイトを改竄することが可能になる
• ウイルスを無差別にばらまくことが可能になる

一番危険なのは
実は問題はサーバーに限らない
!
MacOSXにも脆弱性があり
あなたのMacが知らぬ間に踏み台になることも…

一番簡単に攻撃する方法
ユーザーエージェントを偽装して
特定の条件を揃えたcgiにアクセスする
!
ユーザーエージェントに書かれたコマンドが実行される

Macの場合
• ウェブ共有を有効にしている
• cgiを外部からアクセス可能なところに配置している
• 外部からアクセス可能なネットワークに接続している

Macの場合
先の条件が揃っていると簡単に攻撃される可能性がある

例えば
← ここを有効にする
システム管理設定の
Web共有は
MountainLion以降には
ありませんが
Terminalから
有効に出来ます

例えば
実はこんな簡単なcgi（単に文字列を表示しているだけ）
でもアウトなのです

例えば
公衆無線LANの中には
グローバルIPアドレスが割当たるものがある
!
外部から直接アクセスすることが可能なので危険

こんな条件揃わない？
意外とcgiのテストとかをMacでされる方は少なくない
公衆無線LANを利用される方は少なくない
!
条件揃うのって多いんじゃない？

あと忘れてはいけないこと
最近、パソコンにUbuntuのような
Linuxを入れている人もチラホラ
!
MacOSXと同じ点を注意しないといけない

パソコンで気をつけること
• 不用意にウェブサーバーを起動しない
（LinuxやMacOSXでは標準で搭載されている）
• 外部からリモートで接続できるようにしない
• ソフトウェアは常に最新にしておく

サーバーで気をつけること
• サイトはWAFなどで防御しておく
• WAFなどのルールは最新にしておく

再び結論
早急にアップデートするほか
WAFなどで攻撃を防御しましょう

と言うことで…
• パソコンではウェブサーバー機能を有効にしない
• サーバーではWAFなどで防御することを考える

今後の予定
• 第二三回＝よく騒ぎになるIEって大丈夫なの？
• 第二四回＝危険なサイトには近寄らない
• 第二五回＝（タイトル未定）
• 第二六回＝（タイトル未定）

制作著作
「街のIT三河屋さん」合同会社くまさん
https://kumasanda.jp/
@it_mikawaya

Recommended