特権ユーザーの“野放し”にメスを入れ、安全なサーバー運用体制を築く

特権ユーザーアクセス制御ソフト

脅威は社外ではなく社内にある−。悪意を持った社員による情報持ち出し事件が露呈するなか、対社外のセキュリティ対策よりむしろ社内に管理の目を光らせる重要性が指摘されている。特に、万能の権限を持つ「特権ユーザー」の管理は最重要課題だ。OSレベルで特権ユーザーのアクセスを制御できる「セキュアOS」を中心に、最新の製品動向を見ていこう。

2009年4月に明るみになった、三菱UFJ証券の顧客情報漏洩事件。約5万件におよぶ流出件数もさることながら、システム部長補佐という、社内でシステム管理の権限を持つ役職者が利益目的で不正に手を染めたという点で、関係者に与えたショックは大きかった。

だが、同様の事件が他の企業で起きないとも限らない。システムを導入するからには、administratorやrootといった特別の権限を持つ管理者、すなわち特権ユーザーを設定しないわけにはいかない。特段の手を打たないまま、もし彼ら彼女らに魔が差してしまったら、いかなる情報もたちどころに流出してしまう可能性は否定できない。

もし、日々の運用管理作業で楽をしようと、特権ユーザーのIDやパスワードをシステム部門内で共用したり、そもそも“野放し”ているようなケースがあるとしたら、それはあまりにも危険だ。

かねてから特権ユーザーは存在していたが、性善説に立つ企業が多い国内では問題として浮上する機会が少なかった。ところが先の事件をきっかけに足下を見直そうという機運が急速に高まっている。

強制制御と権限分割で特権ユーザーの振る舞いを制限

そこで注目を集めているのが、システムリソースに対する特権ユーザーのアクセス権限を適切に管理するソフトウェアだ。アクセス権の制御は、サーバーOSのほか、アプリケーションやデータベースなど、様々なレイヤーにおいて考えられるが（ページ最下段のカコミ記事参照）、まず基本となるのはシステムリソースの管理中枢となるOSである。

サーバーOSを対象とした具体的な製品分野として、「セキュアOS」がある。これは、Windows ServerやLinuxといった既存OSに対してセキュリティ機能、とりわけ特権ユーザーの振る舞いをきめ細かく管理する機能を追加するソフトウェアを指す。このソフトを追加実装したOSはよりセキュアなものとなることから、セキュアOSという呼び名がある。

セキュアOSの特徴的な機能は大きく2つある。「強制アクセス制御」機能（図1）と「最小特権」機能（図2）だ。

図1　強制アクセス制御
一般のOSでは特権ユーザーのアクセスを制限する手段がない。セキュアOSでは、特権ユーザーでも回避できないアクセス制御を設定できる

図2　最少特権
一般のOSでは特権ユーザーがすべての権限を保有する。セキュアOSでは、特権ユーザーの権限を分割し、不必要なアクセスを防止できる

強制アクセス制御機能は、たとえ特権ユーザーであっても、あらかじめ設定したアクセス権限を強制的に適用し、その権限の変更もできなくする機能だ。“素”のOSでは、administratorなどの特権ユーザーに全権限が集中している。この「強すぎる」権利を第三者に奪取されるとシステムのセキュリティ対策は丸裸状態に陥る。そこで、特権ユーザーに対しても、もれなくアクセス制御の網をかけ、所定の範囲でしか操作できなくするのだ。

最小特権機能は、これまでの特権ユーザーが持っていた権限を分割し、適切な人物に対して必要最小限のアクセスのみを可能とするものだ。万能な権限を廃止し、サーバーをリブートするシステム運用担当者、データのバックアップ管理者、Webサーバー管理者といった役割ごとに、適切な最少限度のアクセス権を設定する。各ユーザーがどんなアクセス権限を持つかを定義したセキュリティポリシーを作成し、専用データベースに格納。ユーザーがシステムに対して何らかの操作をした際、リアルタイムでデータベースを参照してアクセスの可否を判断する。

強制アクセス制御にせよ最小特権にせよ、だれがアクセス権限を設定するのかという疑問が残る。セキュアOSでは、システム管理者とは独立して設定業務だけを担うセキュリティ管理者という役割（ユーザー）を導入しているのが一般的だ。

ログ管理や仮想化対応など機能拡張が相次ぐ

既存OSを対象に特権ユーザーのアクセス制御機能を追加するソフトは、まだ数は多くないものの国内市場にすでに投入されている（表1）。米国や韓国製の製品がほとんどで、いずれも前出の2大機能を備える。ノベルは09年2月に取得した米Fortefiの技術を活用し、特権ユーザーアクセス制御を実現する新製品「Novell Privileged User Manager」を開発したが、「国内投入はまだ未定」（ノベル）という状況だ。

最近の動きとしては、特権ユーザーのログ管理機能の強化が活発である。Linuxベースのシステムにおいて、あるユーザー名でログインした後、suコマンドでroot特権に権限昇格して何らかの操作をしたケースを想定しよう。これまでは、権限昇格後のユーザー名（root）の操作ログしか残らず、問題が起きた時に実際の操作者を特定するのが困難だった。これに対し、最近の製品はアクセスログの中にログイン時のユーザー名と、権限昇格後のユーザー名を併記する機能を備え始めている。

仮想環境のサポートも広がりを見せている。日本CAの「CA Access Control」は、VMWareやHyper-V、Xenをはじめ10種類以上の仮想化技術について、ゲスト OSだけでなく、仮想マシンモニターも制御できる。日本IBMの「Tivoli Access Manager for Operating Systems」も、標準でAIXの仮想化技術「LPAR」上でのゲストOSのアクセス制御が可能だ。日本CAによれば、「仮想化技術への対応が直接引き合いのきっかけとなる例はまだ少ない。だが将来的にニーズは確実に高まると見ている」という。

管理対象はユーザーだけでない
Linuxには標準搭載機能も

セキュアOSがアクセスを制御する特権の対象はユーザーだけではない。HTTPプロトコルを使った通信サービスを提供するhttpデーモンなど、プロセス（特定プログラムの動作）も対象となる。もともとセキュアOSは外部からアタックを受けた際、攻撃者が脆弱性をついて特定のアプリケーションの特権を獲得しても、システム全体まで影響が及ばないようにする思想が根底にあるからだ。例えばシーイーシーソリューションズの「PitBull Protector Plus」（開発：米Argus Systems Group）は、ユーザーのアクセス管理機能も搭載するが、「焦点はあくまでプロセスの特権管理にあてている」（同社）。

セキュアOSとは異なるアプローチで、アクセス制御を実現する製品もある。1例がブロードの「PowerBroker」（開発：米Symark International）だ。セキュアOSは、カーネルへの追加モジュールとして動作するものがほとんどだ。そのため、製品導入時にOSの再起動が必要となることが多い。同製品は、セキュアOSのようにカーネル領域には踏み込まず、Linux/UNIXのシェルとカーネルの間で動作し、シェルからのアクセス制御を実現する。プロセスのリアルタイム監視ができないなど、セキュアOSほどの強度はないものの、「『OSの再起動は避けたい、操作ログだけでも確実に取得したい』というユーザーのニーズにこたえられる」（ブロード）。

LinuxやUNIXの場合、OSに基本的なセキュアOS機能がすでに組み込まれている。Linux用のセキュアOSは大半がオープンソースで、品揃えも多い（表2）。代表格のSELinuxは、Red Hat Enterprise Linuxをはじめとした多くの主要Linuxディストリビューションが標準で搭載している。

こうしたOS標準搭載のセキュアOS機能は、複数のOSの混在環境の場合、共通のセキュリティポリシーを設定できなかったり、アクセスログのフォーマットがばらばらだったりといった問題点がある。その点、市販のセキュアOSなどは、1つの製品で複数種類のOSを統合管理できるのが強みだ。

システム面だけではなく
組織・運用面での見直しも不可欠

せっかく特権ユーザーのアクセス管理製品を導入しても、アクセス権限のポリシーを適切に設定しなければ意味をなさない。この点、多くの製品はポリシー設定を容易にするための支援機能を搭載しているので積極的に活用したい。併せて、各ベンダーがポリシー設定のコンサルティングサービスを用意しているケースがほとんどなので、必要に応じて活用するのも一考だ。

組織的な視点では、職務分掌が明確になっていなければ、そもそもポリシーが設定できない。ツール導入前に現在のシステム運用状況を確認し、各担当者の役割を今一度きちんと整理しておくことが重要となる。