(1/5)システムをクラックする手段として「rootkit」というツールが存在する。ほとんどのrootkitはインストーラー形式になっており、簡単かつ短時間で改ざん作業を完了できるようになっている。攻撃者が利用するrootkitについて、その概要を知るとともに、防御方法について考えていこう。ターゲットサーバの侵入に成功したクラッカーは、侵入後にどんな行動をとるだろうか。単純に考えれば、侵入を隠蔽するためにログを改ざんしたり、裏口(バックドア)を仕掛ける、また、管理者に侵入を気づかれないためにシステムコマンドの改ざんを行うなど、いくつかの項目が思い浮かぶだろう。いった作業を、侵入してから細々とやっていては手間がかかるうえ、管理者に気付かれてしまう可能性もある。そこで、クラッカーは「rootkit」と呼ばれる、侵入に利用するための各種ツールや、トロイの木馬などが満載されたパッケージキットを用いることが多い。ほとんどのrootkitはインストーラー形式になっており、簡単かつ短時間で、これらの改ざん作業を完了させることができるからだ。rootkitには各プラットホーム向けにいくつかの種類があるほか、それらを検出するためのソフトウェア(Tripwireもそのうちのひとつ)ももちろん存在する。そこで、今回から数回に渡り、Linuxのrootkitの概要と検出について解説していこう。rootkitにはどんなものが含まれているのか実際のrootkitに含まれるツールは、大まかに以下のように分類できる。■改変されたシステムコマンド(ps、netstat、ls、find、locate、syslogdなど)■バックドア■ネットワーク盗聴のためのスニッファ■ログの改ざんツール上記のもの以外にも、IRCのリレー接続サーバ(psybnc)、他のサーバをスキャンや侵入、攻撃するためのツールなどが含まれているものもある。クラッカーは「rootkit」と呼ばれる各種ツールやトロイの木馬などが満載されたパッケージキットを用いることが多い。ほとんどのrootkitはインストーラー形式になっており、簡単かつ短時間で、これらの改ざん作業を完了させることができるシステムへの侵入とrootkitのインストールLinux向けに作成されたrootkitの中で代表的なものとしては、「LinuxRootkit」、「t0rnkit」などがあり、これらはインターネット上で簡単に手に入れることができてしまう。今回は、t0rnkitに類似している「tuxkit-1.0」というrootkitを利用し、それを実際のシステムにインストールしたうえで、rootkitの概要について解説していこう。tuxkit-1.0はオランダのTuxtendoというグループの作成したrootkitで、RedHat8.0でも組み込むことができる。一部のツール類を省いたtuxkit-shortというものも配布されている。ここでは、イメージが沸きやすいようにサンプルとしてwu-ftpdの古いセキュリティホールを利用し、実際にテスト用のシステムへ侵入し、rootkitを組み込むことにしよう。ターゲットとなるシステムは下記のような構成とした。7.1をインストールしてFTPサーバ(wu-ftpd)とSSHを起動しただけの状態だ。今回はあくまでもrootkitの概要と、その防御方法を探るためにインストールして実行している。家庭内ネットワークなど、個人的に管理しているネットワーク以外では絶対にテストしないでほしい。外部サーバに対して実際に利用した場合には法律により処罰される。セキュリティホールを利用してシステムへ侵入するwu-ftpdのセキュリティホールを利用してターゲットのシステムへ侵入するわけだが、この侵入も、インターネット上で簡単に入手できるスクリプトを利用している。このツールはターゲットとなるFTPサーバのIPアドレスを入力すれば侵入が完了し、root権限でコマンドを入力することが可能になる。このような状況では、なんの知識も必要せずに侵入できてしまうというのがお分かり頂けるだろう。unknownこれだけで侵入に成功し、このあとはroot権限でシステムを操作することが可能になる。既知のセキュリティホールを放置していると、このような侵入を許してしまう可能性があることも理解しておく必要があるだろう。-ITmediaはアイティメディア株式会社の登録商標です。