4月の届出件数は36件（3月：29件）とほぼ同水準で推移している。

4月の届出のうち実害があった届出件数は9件で、その内訳は、侵入被害が6件、メール不正中継が1件、アドレス詐称が1件、その他（パスワード盗用によるなりすましメール送信）1件であった。
侵入被害の届出6件全てがWebサーバーの被害であった。

4月のWebサーバーでの侵入被害の中でも、設定の不備や不要なサービスが原因となった被害届出が３件あった。
先月、OSやWebサーバー用アプリケーションソフトウェアに関する脆弱性に対する対策について記述したが、注意すべき点は、脆弱性だけではなく、あらゆる面から多重的にセキュリティ対策を行う必要があることを再度認識して頂きたい。

Webサーバーに限らず、外部に公開しているサーバーについては、以下の点を改めてチェックして頂きたい。

1）適切なアクセス制御

DMZ※に配置するなどのネットワーク構成になっているか。ファイル保存場所へのアクセス権を制限しているか。サーバーでのIPアドレス制御を行っているか。

2）適切なフィルタリング設定

ルーターやファイアウォールなどで不必要なポートやプロトコル、また不正なIPアドレスによる接続を排除しているか。

3）不要なサービスの停止・削除

提供していないサービスの停止や削除、不要なソフトウェアの削除がされているか。

4）適切なID、パスワードの設定・管理

不要なアカウントを削除しているか。8文字以上の推測されにくいパスワードを設定しているか。

5）最新パッチの適用

OSやソフトウェアに最新のパッチ（修正プログラム）を可能な限り早急に適用しているか。

※DMZ（Demilitarized Zone）：インターネットからも内部ネットワークからも隔離された区域のこと。

＜Webサーバーのみに関わる項目＞

6）不要なCGI※の削除

不要なCGIプログラムなどが削除されているか。

7）CGIの脆弱性の排除

最新のバージョンのCGIプログラムを使用しているか。ユーザーが自由にCGIを登録できるようになっていないか。

8）ftpサービスとWebサービスの分離

当該サイトにてftpサービスも行っている場合、ftpサービスとWebサービスを別々のサーバーで運用しているか。

※CGI(Common Gateway Interface)：Webサーバーが、ブラウザからの要求に応じて、プログラムを起動するための仕組み。掲示板やアクセスカウンターなどに使われている。

＜メールサーバーのみに関わる項目＞

9）適切な不正中継対策

管理しているメールサーバーとは無関係の第三者どうしのメールを転送するような設定になっていないか。

詳細は、以下のチェックシートを確認して頂きたい。

「セキュリティ対策セルフチェックシート」
http://www.ipa.go.jp/security/ciadr/checksheet.html

また、VBS/Redlof ウイルスのようにHTMLファイルに感染するウイルスも発見されている。ホームページを公開している場合は、コンテンツをWebサーバーにアップロードする際に、ウイルスチェックを行うなどの対策も必要である。

その他、以下のサイトを参考にしてセキュリティ対策を行って頂きたい。

「セキュアなWEBサーバーの構築と運用」
http://www.ipa.go.jp/security/awareness/administrator/secure-web/index.html

「セキュアなインターネットサーバー構築に関する調査（トラステッド OS 利用とセキュアWeb プログラミング）」
http://www.ipa.go.jp/security/fy14/contents/trusted-os/guide.html

「インターネットサーバーの安全性向上策に関する調査 （アベイラビリティ確保）」
http://www.ipa.go.jp/security/fy14/contents/high-availability/guide.html

4月にIPAにて掲載した脆弱性に関連する他組織からのお知らせ。

マイクロソフト　セキュリティ情報

• Microsoft VMの問題により、システムが侵害される（MS03-011）
• Winsockプロキシサービスの問題により、サービス拒否が起こる(MS03-012)
• Windowsカーネルメッセージ処理のバッファオーバーランにより権限が昇格する(MS03-013)
• Outlook Express用の累積的な修正プログラム（MS03-014）
• Internet Explorer用の累積的な修正プログラム（MS03-015）
• Cisco Secure ACS for Windowsにバッファオーバーフローの脆弱性

CERT/CC Advisories

• Snortのプリプロセッサに複数の脆弱性（CA-2003-13）

CIAC

• Sambaにバッファオーバーフローの脆弱性（CIAC N-073）

Oracle

• Oracle E-Business SuiteのReport Review Agent（RRA/FNDFS）に不正アクセスを許す脆弱性

Cisco

• Cisco Catalyst OS software 7.5(1)に脆弱性

詳細は以下を参照。

「脆弱性関連情報2003年4月分」
http://www.ipa.go.jp/security/news/news0304.html

コンピュータ不正アクセス被害の届出制度は、経済産業省のコンピュータ不正アクセス対策基準に基づき、’96年8月にスタートした制度であり、同基準において、コンピュータ不正アクセスの被害を受けた者は、被害の拡大と再発を防ぐために必要な情報をＩＰＡに届け出ることとされている。

ＩＰＡでは、個別に届出者への対応を行っているが、同時に受理した届出等を基に、コンピュータ不正アクセス対策を検討している。また受理した届出は、届出者のプライバシーを侵害することがないように配慮した上で、被害等の状況を分析し、検討結果を定期的に公表している。

コンピュータ不正アクセス対策基準

• 通商産業省告示第362号　平成 8年 8月 8日制定
• 通商産業省告示第534号　平成 9年 9月24日改訂
• 通商産業省告示第950号　平成12年12月28日改訂

IPAセキュリティセンター(IPA/ISEC)
(ISEC：Information technology SEcurity Center)

TEL：	03-5978-7508
FAX：	03-5978-7518
E-mail：
相談電話：	03-5978-7509
URL：	http://www.ipa.go.jp/security/