パスワードを忘れた？ アカウント作成
Close
2521 story

.co.jp 17万件のサーバー調査 61

ストーリー by yourCat
脆弱サーバー3万件 部門より

dai75 曰く、 "NetSecurityの記事によると、「国内最大のセキュリティ情報サービス "Scan Security Wire"（バガボンド社）とネットワークリスクマネジメント協会（ NRA ）は、共同で、国内企業サーバの実態調査結果を収録した「SCAN NRA Security Alert」を発表した」そうです。
.co.jp ドメイン17万件を調査と、調査対象が広く説得力のある統計。特定できた Webサーバー15万件の 82% が apache。特定できたOS 11万件の40%がSolaris、30%がLinux。特定できたホスティング事業者12.5万件の10%がOCNでトップ。脆弱なサーバーは20%だそうで、これを多いと見るか少ないと見るか。"

想像していた数字とはいろいろズレがあり、国内企業サーバーの最新動向が分かってたいへん興味深い。

なお、NetSecurityでは以下の4本の記事が読める。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

.co.jp 17万件のサーバー調査 More

  • どうでもいい疑問その２ (スコア:2, すばらしい洞察)

    by seldon (5637) on 2002年03月13日 18時38分 (#71395)
    調査は、国内のすべての企業サーバ約17万件が対象となった。
    って事は、.co.jpのドメインリストを入手して調査したんだろうけど、JPNICのJPドメイン名リスト配布先一覧 [nic.ad.jp]には@vagabondドメインの人も@nra-npoドメインの人も載っていない。
    どこから.co.jpドメインのリストを入手したんだろうか？
    ちなみに、既に入手している人から横流ししてもらったり、他の目的のために入手しているリストを別目的に流用するのは属性型（組織種別型）・地域型JPドメイン名リスト利用に関する同意書 [nic.ad.jp]により禁止されている。

    も一つ疑問は、仮に何らかの方法でドメイン名のリストを入手したとして、どうやってWebサーバを探し当てたんだろう？
    www.を付けてhttp://www.sample.co.jp/とやっただけかな？
    http://web.sample.co.jp/とかhttp://sample.co.jp/とかでしかWebサービスしてない所はまぁ統計的には無視して良い程度ではあると思うが...

    • 想像ですが、
      IPネットワーク範囲でやって、後から逆引きではないかなぁ。
      シェア
      親コメント
    • ちょっと前だったら、JPNIC whois をちょっとだけ上手につかえば、 JPドメインのリストを作るのは簡単でしたよ。

      ここに書く方法は、今はできないみたいだけど、"CONN 指定事業者略称" で whois すると、その指定事業者の管理ドメイン一覧が入手できました。そして2001年3月時点でのJPNIC会員一覧は JPNIC の anonymous ftp サーバにあるので、この一覧から会員略称を抽出して、上記のwhoisを総当りでやれば、JPドメイン（地域型・属性型)のリストが手に入るわけ。

      今だと、これに近い方法としては、ISPのネームサーバ名を参照する情報を検索すれば、そのISPで契約しているドメインがわかります。ホスティング利用の場合はネームサーバはISPだし、自前で運用している場合でも大半はセカンダリDNSをISPのサーバで運用しているはずだから この方法でもそれなりのリストが作れます。たとえば、slashdot.jp のDNSサーバのうち、vans.valinux.co.jpを参照する情報を検索すると、こうなります。 [nic.ad.jp] これを見ればわかるとおり、汎用JPドメインもリストアップされます。 あとはネームサーバの一覧さえあれば、だれでもJPドメインのリストを作れます。
      シェア
      親コメント

      • Re:どうでもいい疑問その２ (スコア:1)

        by seldon (5637) on 2002年03月14日 17時01分 (#71688)
        ちょっと前だったら、JPNIC whois をちょっとだけ上手につかえば、 JPドメインのリストを作るのは簡単でしたよ。
        いぇ、技術的にどうやってやるかという話ではなくて、不正な手段（だと仮にすれば）で手に入れた情報を元にしてセキュリティを語る上に金まで取ろうというあんたらの魂胆ってどうよ。という話なのです(^^;
        そもそも、このような目的で調査をしたいのであれば、そういう手練を使わなくても、正式にJPNICにドメインリストの公開依頼をしてドメインリストもらえば済む事でしょ？
        シェア
        親コメント
        • > 正式にJPNICにドメインリストの公開依頼をしてドメインリストもらえば済む事でしょ？

          今回のような目的だと、同意書第4条の「データベースを第三者のセキュリティを脅かす恐れのある行為に使用しないこと」に引っかかってドメインリストの提供を受けられないんじゃないかと思うんですが。
          シェア
          親コメント

          • Re:どうでもいい疑問その２ (スコア:1)

            by seldon (5637) on 2002年03月15日 17時27分 (#72132)
            単にhttp://www.sample.co.jp/にアクセスして、ヘッダからOS/httpdのバージョン拾うだけなら、アクセスに付いては問題無いでしょう。
            実際にセュリティーホール突いてみるってな調査方法だと問題だけど。
            後は公表する場合のやり方の問題で、具体的なサイト名を列記して「ココは危ない」とかやっちゃうとマズいだろうけど、統計的に「何%が危ない」という事を出すだけなら問題無いんじゃないかなぁ？
            まぁ、その数字をみて「おぉこんなに脆弱性を持つサイトがあるのか。だったらちょっと弄ってみよう」と思われてしまえば「第三者のセキュリティを脅かす恐れのある行為」かもしれないけど、ある程度脆弱性のあるサイトが存在するというのは、だいたい誰でも知ってる（というか予測している）事だし、それが単に具体的な数字になっただけなので、取り立てて「第三者のセキュリティを脅かす恐れのある行為」と言うほどの事はないんじゃないでしょうか？
            むしろ、啓蒙になるとかそういうプラス面もあるかもしれないし。

            まぁ、それをどう判断するかはJPNIC次第なので何とも言えませんが...

            シェア
            親コメント
  • 脆弱性のチェックって許可とってやったのかなぁ？
    アレだけの母体数だったら許可なんて取ってられないし

    バナーだけで判断かな？
    あとクロスサイトスクリプティングは脆弱性に含まれているのだろうか？
    これを含めるともっとありそうな気がしないでもない

    • Re:どうでもいい疑問 (スコア:1)

      by dai75 (557) on 2002年03月13日 13時30分 (#71327) 日記
      OS/サーバーソフトのバージョンチェックだけだと思います。

      どうやってチェックしたのかは分からないけど、つっついてみてその反応見たんでしょうね。
      --
      -- wanna be the biggest dreamer
      シェア
      親コメント

    • そんなの簡単じゃん (スコア:1)

      by Technical Type (3408) on 2002年03月13日 13時54分 (#71338)
      telnet どこぞ.co.jp 80

      などとすればサーバーのバージョンが判ります。これは、単にブラウザでアクセスするのと同じで、許可が必要なワケはありません。sorede, 既にセキュリティーホール(クロスサイトスクリプティング含む)があると判っているバージョンだったら、それだけで「危険」だとわかるでしょ？

      シェア
      親コメント

    • Re:どうでもいい疑問 (スコア:1, 参考になる)

      by es++ (5434) on 2002年03月13日 16時20分 (#71369) 日記
      >あとクロスサイトスクリプティングは脆弱性に含まれているのだろうか？

      含んでいないと思います。

      原則的に、XSS(クロスサイトスクリプティング)脆弱性はサーバーソフトウェアそのもののバージョンではなく、そのサーバーソフトウェア上で動作させているアプリケーションの製造上の欠陥に由来します。

      例えば、とあるweb掲示板にXSS脆弱性が存在していた場合、まず問題となるのはそのweb掲示板そのもののソースコードであって、サーバーソフトウェアではありません。

      従って、どんなにApacheやPerl、PHP、Servletエンジンなどを最新版にしてもそれを用いたアプリケーションの製造者にXSS脆弱性に対する認識が欠けていた場合、XSS脆弱性は容易に発生します。

      ですから、XSS脆弱性のチェックと称してサーバーソフトウェアのバージョンを調べるのはチェックになっていません。

      # 間違いがありましたら訂正を > 識者のかた
      シェア
      親コメント
      • Cros s-Site Scripting問題とは？ [wakwak.com]や Cross Site Scripting Info、 [apache.org]Apach e 1.3.12 文字化け問題 [asahi-net.or.jp] などを参考に、私ももっと勉強しようと思いましたが、、、 Apache も 1.3.12 より前は、サーバー側でチェックをしていない分、それ以降のバージョンより脆弱性が発生しやすいという意味で弱い、という考えもありかな、、、と。
        シェア
        親コメント

      • ですから、XSS脆弱性のチェックと称してサーバーソフトウェアのバージョンを調べるのはチェックになっていません。

        「サーバーのバージョンが十分に新しくても、それでXSS脆弱性が無いということにはならない」…それはあなたのおっしゃる通り。

        しかし、サーバーのバージョンが古

        • Re:どうでもいい疑問 (スコア:1)

          by es++ (5434) on 2002年03月14日 0時30分 (#71470) 日記
          >しかし、サーバーのバージョンが古いと、サーバー自体にXSS脆弱性
          >があるのですよ。とにかく一度 この文書 [etl.go.jp] を読むと良
          >いですよ。

          それは知っています。ですから最初に「原則的に」と書きました。
          サーバーのバージョンのチェックでXSS脆弱性について判断するのは片手落ちも甚だしい、というのが私の主張です。
          シェア
          親コメント
  • >・web サーバアプリケーションのシェアは、Apache 83% 、IIS 9%
    >・OS のシェアは、Solaris が40%、Linux が30%、Windows が 14%
    >・全体の60%以上が外部のアウトソーシングを利用
    >・サーバ事業者シェアのトップは、OCN 、２位シェアサイト、３位GMO
    >・全体の90%以上が、古いバージョンのソフトを使用
    >・攻撃を受けた場合に乗っ取られやすい、きわめて危険なサーバは約3万台20% 弱
    >・ワーム被害の拡大は、離れた生きているIPアドレス探索方法で変わる

    きわめて危険なサーバーが20％弱だということは
    危険なサーバーを含めるともっと多いということなのですね。

    #ううむ日本語は難しい…。
    • 「こうすれば乗っ取れちゃうから対策したバージョンに上げろ」というのを無視して古～いバージョンのサーバー使っている所が20%、そこまで危険ではないものの、比較的最近知られるようになったクロスサイトスクリプティング等の問題があるバージョンを使っている所も含めれば、「古い」のを使っている所は合計90%、ということでしょう。

      > ううむ日本語は難しい…。

      日頃、Netsecurity のサイトを見ていれば容易に判断できます。ここはタダで有用な情報が得られるので、お勧め。

      シェア
      親コメント

  • 危険なサーバーにおけるOSの割合 (スコア:1, 興味深い)

    by nasb (3002) on 2002年03月13日 14時12分 (#71346) 日記
    「極めて危険なサーバー」におけるOSの割合はどうでしょうか？

    OS自身の脆弱性はもちろん、OS毎の管理者の危険意識の傾向がうかがえるかと。

  • 記事を読んだ (スコア:1)

    by WindKnight (1253) on 2002年03月14日 9時31分 (#71541) 日記
    大規模なホスティングをやっているところは、 Sun & Apache がメインというところでしょうか。

    IIS って、やはりイントラ向けという感じもしますね。

    こういうのは、これからも定期的に調査をしてほしいものですね。
  • Netcraft [netcraft.com]で調べれば、誰でも簡単に co.jp のリストとか、 動かしているサーバーのバージョンが調べられますね。お試しあれ。

  • いつだったか (スコア:0)

    by Anonymous Coward on 2002年03月13日 21時55分 (#71424)
    「OCNエコノミー」のユーザ調査をやったことがあるんだけど、あれはネットワークアドレスの次のアドレスがルータのアドレスと決まっていてその次がDNSサーバのアドレスだから、ルータのセキュリティなんか簡単に調べられたんですが。

    で、半分くらいがNTT製のルータ使っていて、その35%にルータのパスワードの設定がされていなかったね。もちろんサンプリングしてやったので、全部見たわけじゃないんだけど。あのNTTのルータはパスワード設定されて、コンフィグレーションを変更されても、パスワード知らない限りは工場出荷時設定に直す、ということができない、というトンデモ機種だったんですがね。

    こういう調査はその母数にもよるけど「サンプリングで十分」ということと、不正アクセスになるおそれがあるので、通常はやってはいけない。と言うことがわかって、それからはやらないようにしたんですが。

    Webページを見に行くためにポート80をたたきに行くわけではない、という「動機」の問題がありますから、たとえそれがサイト管理者にそれとわからなくても、通常はやってはいけないこととおもいます。こういうことは。

    サイト管理者が「おれは好きで、かつ知っててセキュリティホール開けたまんまにしとるんや！何が悪い？」なんて言われたらどうするんでしょうね？こういうときは「ほかの人の迷惑にならない範囲でならいいんじゃない？」というのが、「自由」っちゅうもんだと思うね。

    要するにこの種の調査は多分に「余計なお世話」となる場合が多いんだね。昔「説教強盗」というのがあった、というけど、それに似てるねぇ。

    • Re:いつだったか (スコア:1)

      by take0m (4948) on 2002年03月13日 22時05分 (#71428) 日記
      でもさ、それを商売にしている訳でしょう、彼らは。
      いわゆる市場調査ですよね、これ。

      50万円かぁ

      17万件で50万円ってことは、1サイトあたり2.94円。
      印税10%として、0.294円貰いたいですね・・・
      1レポート売るごとに。

      でも、振込手数料で彼らは赤字ですね(笑
      シェア
      親コメント

    • Re:いつだったか (スコア:1)

      by seldon (5637) on 2002年03月14日 2時24分 (#71497)
      半分くらいがNTT製のルータ使っていて、その35%にルータのパスワードの設定がされていなかったね。
      NTTのとある機種では、バックドアのパスワードがあって、ユーザがどんなパスワードを設定してても入り込めたりしてましたが...

      バージョンアップ用のファームイメージを眺めてたら、何やら意味ありげな文字列が...入れてみよ...あ゛入れた...(^^;

      もちろん他人様のルータではなく、自前のヤツですから、入れても問題は無い（というか嬉しくも無い(^^;）のですが。

      シェア
      親コメント

  • このサービス (スコア:0)

    by Anonymous Coward on 2002年03月13日 21時59分 (#71427)
    netsecurity?
    なんか個人的には・・・

    運営している会社を見ても、記事を見ても、かなりあぷなっかしいイメージがあるのは気のせいでしょうか?

    • Re:このサービス (スコア:1)

      by Technical Type (3408) on 2002年03月14日 10時19分 (#71559)
      基本的には、煽って「心配なら弊社がコンサルティングしましょう」的な所はありますね。こちらも「商売だから」と割り切っ、情報を見る必要があるかと思います。 でも税金から補助金を貰っているJPCERT [jpcert.or.jp]や IPA [ipa.go.jp]の Web より遥かに役に立つ(というか、後の2つが何の役にも立たないので、存在意義が疑問)ので、各人で、提供されている情報から自分に関係する危険性を判断すればいいんじゃないでしょうか。
      シェア
      親コメント

    • 気のせいじゃない (スコア:0)

      by Anonymous Coward

      気のせいじゃないね。彼らが書いている文章をよく読むだけで、それが信頼に足らないことをしている、ということがよくわかる。彼らは「ネットを利用したスレスレ詐欺」をやることで有名な人たちだよ。

      そう感じたあなたはとっても正しいと思うよ。

    • Re:このサービス (スコア:0)

      by Anonymous Coward
      全コンテンツがhttpsになってる理由は何？
      なんか、よその会社のセキュリティ情報へリンク集作って
      「セキュリティ情報」なんてやってるし。

      リンク先のセキュリティ情報を提供してる会社 [softek.co.jp]もなんだか
      怪しいしなあ。こう

      • Re:このサービス (スコア:2, 参考になる)

        by Anonymous Coward on 2002年03月14日 1時02分 (#71480)
        全コンテンツがhttpsになってる理由は何？
        改竄されたり、成りすまされていないことを保証するためだろ？

        もしかして、https が暗号化だけだって思ってた？

        シェア
        親コメント
typodupeerror

ソースを見ろ -- ある4桁UID