CADCEUS　CADCEUSを作る人々


	｜検索｜更新情報｜サイトマップ｜English ｜Chinese｜


		バックナンバー一覧はこちら　>>
インターネットセキュリティ講座　第1回　インターネットの脅威について

はじめまして、株式会社ネットワークボックス・ジャパン（NBJ）代表取締役社長の坂野直人(ばんのなおと)と申します。 NBJはインターネット・セキュリティ機器の販売・保守を専門としている会社です。CAD/CAMの世界とは直接関係しませんが、今や情報セキュリティは業界を問わず共通の関心事となってきています。また日本ユニシス・エクセリューションズ殿とはNBJ製品の販売面でご縁があり、その関係で本講座を担当させていただくことになりました。どうぞ宜しくお願い申し上げます。講座に先立って簡単に私の略歴を自己紹介させていただきます。私は1979年に工学部の電気工学科を卒業した後、（株）日立製作所に半導体の量産設計技術者として入社しました。90年代半ばから半導体製造部門のIT化を推進していく過程で情報ネットワーク構築に関わるようになり、退職前の最後の5年間は日立グループ統一のIDカードシステム構築プロジェクトを担当しました。このIDカードはセキュリティシステムのキーデバイスであったため、情報セキュリティに関して広く浅く、分野によっては深く関わりました。そこで得た経験と知識を「情報セキュリティーの仕組みと対策」という本にまとめ、2002年3月に中央経済社から出版することができました。この本の出版がNBJを設立するきっかけになっています。

インターネットの歴史
	仕事やプライベートで、インターネットのない生活を想像できますか？日本でインターネットの商業利用が開始されたのが1994年です。10年も経たないうちに、インターネットはいまや私たちにとってなくてはならない社会インフラとなりました。インターネットのセキュリティの話をする前に、その歴史について簡単に振り返ってみましょう。インターネットを飛び交う情報は、「パケット」と呼ばれる文字通りデータの小包に分けられて転送されています。このパケットを利用したコンピュータ通信技術の研究が1960年代初頭にDARPA（Defense Advanced Research Projects Agency：米国防総省の高等研究計画局）で開始されました。このネットワークはDARPAの旧称ARPAにちなんで”ARPANET”と名付けられています。このARPANETが今日のインターネットの原型となりました。もともとは米ソの冷戦時代を背景に、核攻撃を受けても通信に支障を来たさないようなネットワーク技術の研究から始まったのです。インターネットは基本的にオープンアーキテクチャであり、コンピュータやネットワークの個々の型式に制限されずに利用できることが最大の特徴です。これを実現可能にしているのがTCP/IPという世界標準の通信プロトコルです。このプロトコル開発の当初から、すでにゲートウェイやルータといった今日のインターネットに不可欠な要素技術の概念が提案されています。ARPANETのプロトコルがTCP/IPに移行したのが1983年1月のことです。さて数あるインターネットのアプリケーションのうち、私たちがおそらく最も恩恵を受けているのはe-mailでしょう。これがインターネットで初めて開発されたのが1972年です。E-mailはインターネットで最初に活用されたアプリケーションであると同時に、インターネット自体を発展させるコラボレーションツールとして研究者たちのコミュニケーションのあり方を劇的に変えてしまいました。インターネットの仕様に関する世界標準ドキュメントとなっているRFC（Request For Comments）は今日ではWebサイトから入手可能ですが、当初は研究者同士のメーリングリストで配布されていたのです。もうひとつの私たちに不可欠なアプリケーションであるWWW（World Wide Web）は、1990年代初頭にCERN (セルン：欧州原子核物理学研究所)の研究者によって開発されました。この技術のおかげで私たちはインターネットから文字だけでなく、静止画像、動画、音声といったマルチメディアで提供される情報も取得できるようになりました。このほかWWWは双方向性やリアルタイム性といった他のメディアでは得難い重要な特性をインターネットに与えています。

インターネットの脅威（Threat）とは？
	みなさんはコンピュータを使っていて、こんな目にあったことはありませんか？　■　作成した覚えのないファイルが大量に共有ドライブに書き込まれていた。　■　まったく身に覚えのない相手から「ウィルス付きのメールを送らないでくれ」と苦情を言われた。　■　見たことのないサービスが多数起動していた。　■　ある日ブラウザを起動したらホームページがアダルトサイトに設定されていた。　■　知らぬ間にインターネットの接続先が変更されて後日法外な接続料金を請求された。　■　パソコンのシステムファイルが知らぬ間に改変されているのに気付いた。　■　画面に異様な図形が現れてコンピュータが操作不能になった。　■　マウスポインタが勝手に動いたりCDトレイが勝手に開閉したりした。　■　あるWebサイトへのアクセスが異常に遅くなった。これらの現象はコンピュータウィルスの感染やハッカーによる攻撃が原因である可能性が高いと思われます。最近ではハッカーのテクニックを駆使する機能を備えたウィルスも多数見出されるようになりました。こういったインターネットのユーザに害を及ぼす危険性のある実体を総称して「脅威（Threat）」と呼んでいます。先に見たようにインターネットは歴史的な成り立ちがそもそもオープンであり、誰でも参加できるように設計されています。真面目な研究者たちが自由に情報を交換できる場として発展したインターネットは、本来脅威とは無縁だったのです。E-mailも初期のバージョンは脅威に対する何らの対策も施されていませんでした。当初はそれでも問題にならなかったのです。ところがインターネットの商業利用が爆発的に拡大した結果、いろんな種類の人々がここに参加するようになり、結局は脅威に対するインターネットの本質的な脆弱性が露呈してしまったのです。Network Box Corporationのデータによると、インターネットを飛び交うデータの約20%はウィルスやハッカーといった脅威が占めています。何も対策を施さなければ、これらの脅威は自宅や企業内のネットワークに易々と侵入し、ときには甚大な被害をもたらします。

インターネットに潜む脅威の実態
	では、インターネットに潜む脅威には具体的にどんなものがあるのか見ていきましょう。
	【ハッカー（Hacker）】
		日本でも海外でもハッカーは「悪者」というイメージがありますが、もともとはコンピュータの達人に対する「尊称」だったのです。参考にRFC1983によるハッカーの定義を示します。（和訳筆者）システムやコンピュータおよびコンピュータネットワークの内部機構に関してとりわけ深い知識を持つことに喜びを感じる人物。この言葉はしばしば”cracker”を正しい用語として用いるべき蔑視的な文脈において誤用される。
	【クラッカー（Cracker）】
		インターネットで悪質な行為を行う輩は、正式には「クラッカー」と呼ばれています。残念ながら正統派のハッカーがいくら啓蒙を試みても、一般的にはクラッカーという言葉は普及していないようです。この講座でも、申し訳ないですが、悪い意味でもハッカーという言葉を使います。ちなみにRFCによるとクラッカーとは次のような人物をさすのだそうです。クラッカーとは許可を得ないでコンピュータシステムへのアクセスを試みようとする輩のことである。ハッカーとは対照的にこの連中は多くの場合悪意に満ちており、しかもシステムに侵入するために思いのままに操ることのできる多くの手段を持ち合わせている。
	【コンピュータウィルス】
		パソコンでインターネットを利用し続けている限り、いつの日かコンピュータウィルスに遭遇してしまいます。古くはフロッピーディスクやCD-ROMから感染が広がり、その範囲も限定的でした。しかしながら最近ではメール経由で感染するタイプが主流になり、さらにはWebサイトを閲覧しただけで感染するタイプのウィルスも現れています。ブロードバンドの普及の影響もあるでしょうが、SQLスラマーのように最初の発見から3分以内で全世界に感染を広げてしまう驚異的な増殖力を持ったものも登場しています。
	【スパム（SPAM）メール】
		スパムとは、いわゆる未承諾広告やデマメールのような招かれざる迷惑メールの総称です。同名の食品ブランドとか、モンティパイソンのホームページの某コーナーにその名の由来があるようですが、なぜこの種のメールがSPAMと呼ばれるのかよく判りません。Network Box Corporationのデータによると、ひとつのネットワークが1週間に平均して受信するスパムメールの数は、2002年の実績で610件にのぼるそうです。仮にひとつのネットワークに50人のユーザが接続しているとして、各人が1営業日あたり2件以上のスパムメールを受け取っていることになります。
	【盗聴】
		本質的にオープンなインターネットでは、何もしなければデータは「平文（Plain Text）」という裸の状態で転送されます。本当にオープンだった時代であれば誰に見られても支障はなかったのでしょうが、現在のように商業利用されている場合は、当然機密情報も多数含まれているはずです。もちろんこの状況をハッカーが見過ごすはずがないわけで、インターネットを飛び交う情報を盗聴する専用のソフトウェアも実際に存在します。データを暗号化しない限り、インターネット上の通信は常に盗聴のリスクを抱えているのです。
	【内部者の犯行】
		米国のFBIを含む機関の調査によると、米国企業が被ったコンピュータ不正利用被害の約80％が内部者の犯行によるものであると報告されています。日本でも企業や団体の内部者による機密情報の流出が社会問題化してきています。そこまで深刻なケースでなくても、就業時間中に業務と関係ない趣味のサイトを閲覧したり、通販で私物を購入したり、プライベートなメールを送受信したりということは日常行われていると考えられます。日本では公式の調査結果はないようですが、些細な不正利用でも積み上げれば多大な損害を企業にもたらしていることは容易に想像できます。
	【ソーシャルエンジニアリング（社会工学）】
		これはインターネットから直接流入する脅威ではありませんが、間接的にハッカーの侵入を許してしまう悪質な行為です。会社の幹部や管理者を騙って「なりすまし」を行い、ログインのためのパスワードを聞き出す行為や、企業が排出するゴミからパスワードを盗み出す行為はソーシャルエンジニアリングに分類されます。また有名な企業のWebサイトになりすましてユーザを騙すケースもありますが、これもソーシャルエンジニアリングの一種だと思います。

次回（第2回）は？
	今回の講座ではインターネットに潜む脅威の概要について説明いたしました。第2回以降では個々の脅威の具体的な側面についてもう少し詳しく見ていきたいと思います。株式会社ネットワークボックス・ジャパン代表取締役社長坂野直人

		第2回につづく・・・

	インターネット・セキュリティについてのご相談は、日本ユニシス・エクセリューションズの担当営業まで、もしくは　こちら　からお問い合わせください。

お問合わせは

こちら