anchor
セキュリティ向上のための簡単なまとめ
セキュリティを向上させるために何をやっているかということをいつかまとめようと思っていた。
シマンテックの製品の性能の問題のことを言っているのではない。しかしシマンテックだけ入れて後はデフォルトのままというのであれば、それは裸でいるのとあまり変わらないと思うのだ。
１）起動ボリュームの名称を変更するSafari の「ダウンロードした安全なファイルを開く」チェックを外す
１）起動ボリュームの名称を変更する
このウイルスの対策はファイル名で定義するワクチンソフトを実行することと、起動ボリュームの名称を変更しておくことだった。とにかく「MacintoshHD」という名称を使わなければ良い。
問題はOSXのボリューム名称の変更はOS9以前と違ってシステムインストールの事後に変更することをお勧めしないということだ。
余談だが、私はデータファイルを入れておくボリュームと起動ボリュームということでディスクをふたつに分ける形でパーティションを切っている。
（さらに余談追記Time Machine でバックアップすることにしているので、パーティションマップが壊れた時は、あっさり初期化、全域の復元という方法をとることにしているため。rEFIt で切ったLinux用の領域だけとなった。VMWare Fusion だけで使うならこれも必要も無いことになる。
デスクユーテリティ の
２）ファイヤーウォールを起動するここの「UNIXのルートを有効するに先立って実行しておくべきセキュリティ」 という項目でも書いたが、OSXにデフォルトでインストールされているファイアーウォールを起動しておくことだ。
３年前に世界中で猛威を振るったWindows向けのウイルス「Blaster」とその亜種のウイルスは従来の大多数のウイルスとは際立った特徴があって、それまでの流行種はほとんどメールなどに添付されるとか偽装ファイルとしてwebからダウンロードさせたりというものが大部分だった。
このウイルスのためにネットワークには非常に大きな負荷がかかってサーバが落ちたところもある。
しかしこのウイルスは従来のものとは振る舞いが全く違ったのでセキュリティの意識が低いユーザにはなかなか対策が浸透しなかった。相変わらずシマンテックさえインストールしていれば安全だと信じ込んでいるユーザが過半数だった。
このウイルスもOSXに対しては全く無効だったが、OSXもシェアが伸びていることだし今度はOSXをターゲットにしたこういうタイプのウイルスが出て来ないとも限らない。
このウイルスはネットワークを通じて増殖できなければ、威力は大幅減少するのでこの対策だけでもかなり有効なはずだ。というよりも「Blaster」以前にはWindowsの世界ではそういう対策も困難だったというところにおおいにプロダクトとしての問題点を感じるのだが。
MacOSXもインストールしたなりのデフォルトではファイアーウォールが起動されていない。
やり方は非常に簡単だ。
少なくともこれだけで「Blaster」のようなタイプに出会い頭でやられるリスクは大いに減少するはずだから、ぜひとも実行してもらいたい。
３）Safari の「ダウンロードした安全なファイルを開く」チェックを外すSafari のこのデフォルトの設定だった。
何が問題なのかというと以下のようなプロセスが成立してしまうからだ。Safari がダウンロードしたファイルはデフォルトではデスクトップに置かれるようになってる。Safari は勝手にこのファイルを解凍展開してしまう設定になっている。Terminal やHelp 、iCal などのスクリプト実行環境を起動してしまい、そこにある種のコマンドを渡してしまって、ユーザの意思とは関係なく外部からコマンドを実行できてしまうということが問題になった。
この時の対策ではある種のファイルが未登録の初めてのURIを開く時には「本当に開いても良いのか？」とユーザに注意を喚起する改良が行われた
しかし今年はじめからずっと続いているURIの脆弱性の問題は、この時の問題がまた再燃していることがことの本質だ。Spotlight は全てのファイルにメタデータを忍ばせることで高速のファイル検索、ファイル操作を可能にしているが、このメタデータというのは検索データだけでなくある種のスクリプトを忍ばせてここで実行させてしまうことが可能だということが判ってきた。
だから今年に起こった脆弱性の問題はタイガー固有の問題で、メタデータを採用していないOS10.3以前のバージョンではこの問題は起きない。
この対策はいくつかあるが、まずAppleのセキュリティアップデートは常に最新の状態にしておくことと、このSafari の自動展開の機能を切っておくことというのがSafari ユーザには有効だ。
Safari でwebサイトを表示しただけで勝手にある種のファイルをダウンロードさせることはできる。Safari が勝手に展開して、それをメタデータ実行環境を通じて実行されてしまうと、ユーザはこれを止めるすべが無くなってしまう。
このチェックを外しておけば勝手にSafari がダウンロードし始めたファイルもとりあえず実行されずにデスクトップにとどまる。
そのためにはダウンロード先もデスクトップではなく専用のダウンロードフォルダを作っておき、後述のウイルススキャンアプリに監視させるということが望ましい。
これもぜひ実行をお奨めしたい対策だ。
Safari の環境設定に入って「ダウンロード後"安全"なファイルを開く」チェックを外す
４）URI自動呼び出し実行機能をブロックするユーティリティを使うParanoid Android では全ての実行環境を未登録のファイルが起動しようという時に確認のタグでブロックしてしまおうというものだ。iTaf のようなiTunes を時間になると起動して演奏を開始してくれる目覚ましアプリなど、便利な自動機能がほぼ全滅的に死んでしまう。
しかし初心者も含めた不特定多数のアカウントを管理しなくてはいけないような管理者には、この対策は勧めておきたい。
ただこれも頻繁に書いているが、アラートを一切読まないで機械的にOKボタンをクリックするセキュリティ白痴には無意味な対策であることには変わりはないのだが。
もう少し便利をとりたいというシステム管理者、あるいは上級ユーザはSafairy を実行することをお勧めする。Safari が何かをダウンロードしようとしている時に「それは実行ファイルですよ。本当にダウンロードしても良いんですか？」というアラートで一度止めるというもの。
自動機能はやはり便利に使いたいが、ブラウザに勝手なことされては困るという人はこれを実行しても良いと思う。これは実行してしまうと解除の方法が無いのだが、私は別にそれでも良いと思う。
もうひとつのURIブロックの対策はここの記事でも紹介したTerminal自身に自動起動ブロックのタグを表示させる方法 だ。
これも自動機能を全般的に殺したくない時には有効だと思われる。Terminal だと思われるからだ。ここにはrootを有効にするコマンドやsudoコマンドで相当なことができる環境が完備されている。
その方法はリンク先に詳述しているが再度転載する。
##############################"/private/etc/bashrc" "~/.bash_profile" echo export Smultron を使って安直にやる方法をアドバイスいただいた。
方法は
Coela などの不可視ファイルも操作できるファイルブラウザを使って上記bashrcをSmultron にドロップするだけだ。
そうするとテキストとして開くのでその文末に以下の文字列をコピぺするだけで良い。
# keep my playground secure
echo "############################################################";
echo "## ##";
echo "## If you do not know why Terminal has launched, answer ##";
echo "## 'n' to the following question. Otherwise, hit 'y' to ##";
echo "## open Terminal as usual... ##";
echo "## ##";
echo "############################################################";
echo "Open Terminal.app now (y/n)";
read -r -t 15 -e OpenTerminal
if [ "$OpenTerminal" == "" ] || [ "$OpenTerminal" == "n" ]; then
exit 1;
fi;
if [ "$OpenTerminal" != "y" ]; then
LastCommand="$OpenTerminal";
echo "Open Terminal.app now (y/n)";
read -r -t 15 -e OpenTerminal
if [ "$OpenTerminal" == "y" ];then
echo "This was the command that started Terminal.app:";
echo $LastCommand;
else
exit 1;
fi;
fi;
そうすることでTerminal が起動する時にキャプチャーのようにアラートを表示するようになった。OnMyCommandCM のようなコンテクストメニューを使ってTerminal でmanを自動表示できなくなったということか。
Coela を使って"/private/etc/bashrc"をSmultron にドロップ
Terminal を起動するたびにこういうアラートを表示するようになるTerminal に連携する自動機能は使えなくなるという不便はあるが・・・
５）ウイルスチェッカーを使う
見ての通り私のところではこれは５番目の項目だ。ClamXav のようなフリーウエアを使おうが、シマンテックやマカフィーを使おうが全く同じことだと思っている。これらは他の対策と組み合わせて使わないとあまり意味が無いのだ。
それでこのウイルスチェッカーのようなソフトに関しては何を使っても良いと思うし、お金をかければより安全だということは全くない。ClamXav のようなフリーウエアで十分だと思っている。完全かどうかはわからないがこれまで運用してみたところ、確かに効果はありそうだと思える経験をしているので私はウイルス対策はこれ一本でいっている。
というかWindowsの場合はそんなこと言ってられないだろうけど、Macの場合はこれで十分だ。お金をかけるのならもっと他の部分でかけるべきだと思う。
６）htmlを自動プレビューするようなタイプのメーラを使わない
具体的にはOutlook Express 、Outlook 、Entourage などのMS製品がその筆頭になるわけだが、私はApple純正のMail もあまり信用していないので使っていない。Gyazmail やThunderbird を使うのが正解だと思っている。
７）ポート監視ユーティリティを使うLittleSnitch ということになる。
ポートを監視する意味は外からのクラッキングに関してはファイアーウォールが有効な防御になるが、内部からの攻撃に関しては逆にファイアーウォールだけでは不足があるからだ。
このアプリは何かのアプリが新たにポートを開こうとするとそのことを警告して、それを許可しても良いのか訊いてくるという機能だ。
これの良いところはTCPだけでなくUDPも監視してくれることだ。システムのステータス通信を偽装してスパイ活動をしようというトロイの木馬もちゃんとこれなら引っかかる。
８）パスワードについて
これはクレジットカードのパスワードと同じことだが、要するに名前と生年月日を組み合わせたようなパスワードを使うなということだ。
あるいはOSXの場合はメインユーザとrootのパスワードを変えるというのも手だ。
とにかく一番いけないのは名前そのままのすぐ想像できるパスワードで、ログインからrootから全てを統一して、しかもそういうパスワードをディスプレイにメモ書きして貼ってあるなんていうのが一番最悪のセキュリティ状況だと言える。
９）個人ファイルを暗号化するMacJournal に書き込むようにしている。
それを開く時にはパスワードを要求される。
またメモ以外のファイルは全てExces で生成した暗号化したボリュームに保存しているようにしている。
最近では例のWinny騒ぎで、情報の保有の厳格さが問題になっている。
これは結局個人の資質だけが問題だという矮小なところに議論を持っていこうとしているが、会社のデータを個人のモバイルでもシームレスに利用できてこそネットワークのメリットを享受できるというもので
実際今回は情報漏洩はWinnyという違法性の感じられるソフトで起こったが、Winnyのような落とし穴はもっと他でも起こるかも知れない。
これもやれば万全ということではないが、こういうことをマメに実行することでリスクは少しでも減らすことができると思っている。
１０）紛失時の変更IPを自動通知する機能を導入するWimp を使っている。
これはモバイルが盗難にあった時に、その窃盗犯がwebに繋ぐと新しいIPアドレスを送信してくるというアプリだ。
セキュリティといえば、ウイルス対策ばかりが思い浮かぶがこういう物理的な対策も必要なのだ。
＜注＞ Wimp は作者サイトのサーバの問題でサービスが停止している。作者さんはサービスを継続する意思はあるようなので、接続を切って数週間待ってほしいとのことだ。接続の切り方はリンク先で解説している。
１１）WAN接続はルータを噛ます
ADSLモデムからパソコン本体までをLANケーブル一本で繋いでいる状況というのはやはり危険な状態だ。
またプロバイダーによってはADSLの家を数件まとめてひとつのノードにして、そのノード間はLANのような接続スタイルにしているところもある。
だからもし本気でそういう環境をクラックしようと思えば、そういうパソコンはクラックできてしまうケースが結構多いんじゃないかと思う。
個人といえども防御はしているべきだ。
以上セキュリティに関する雑感を織り交ぜながら、今私がセキュリティに関して何をやっているかをまとめてみた。
本当はもっと有効な対策があるかも知れないし私も見落としていることがあるかも知れない。
