１０月６日 掲示板あらし、襲来！被害状況深夜１時頃、ａｓｈのユーザの掲示板に対して、掲示板あらしに襲来されてしまいました。そのため、深夜にも関わらず、呼び付けられ、解析と対応をすることになってしまいました。 とりあえず、書き込み内容と、アクセスログを採取し、掲示板のデータを削除しました。 また、貼りつけられた画像データは、「アジアン・ティーン・ファック」という、米国のサイトへのリンクだったため、証拠としてダウンロードしておきました。 以下のＵＲＬにて、その手口を解析し、そのまま再現できるようにしてあります。 わいせつ画像が表示されたり、ブラウザの動作がおかしくなることがあります。
１０月７日 対策と調査対策とりあえず、暫定処置として、＜ＴＡＢＬＥ＞タグを無効にしました。この他、ＳＴＹＬＥという文字列を無効するとか、掲示板のＵＲＬを変更するなどの対処も検討中です。 また、タグを無効にするだけではなく、不正なタグを使用した書き込み自体を無効にするなどの対策も検討中です。 調査また、アクセスログの調査を始めました。アクセスログを参照できます。 このログによると、掲示板あらしは、「ＮＴＴドコモ九州」という会社からやってきた事が判明しました。 念のため、JPNIC whois データベースを利用して確認しました。 「ＮＴＴドコモ九州」の社員が掲示板あらしの犯人なのか、第三者の踏み台にされたのかは、当サイトはらわからないので、「ＮＴＴドコモ九州」に対して、メールをすることにしました。 ＡＳＨが、かつて、米国国防総省（ペンタゴン）から受けた行為と、今回は、立場が逆になります。とりあえず、ＡＳＨでは、この作戦を「ペンタ君大作戦」と呼ぶことにします。米国国防総省にならって、ネットワーク管理者と、ネットワーク管理団体と、サイバーポリスと称して動き出した、警察庁に対して、通報することにしました。 １０月８日 セキュリティ・コンサルティング調査結果余計なお世話とは知りつつ、「ＮＴＴドコモ九州」のセキュリティについてチェックしてみました。unix> finger gaiwww.docomokyusyu.co.jp finger: gaiwww.docomokyusyu.co.jp: no such user. unix> telnet gaiwww.docomokyusyu.co.jp Trying 203.138.230.3... telnet: Unable to connect to remote host: Connection refusedfingerや、telnetなどのサービスなどは、使えないみたいですが、これは、ＮＴサーバの反応みたいですね。 次に、プロキシサーバの状態を見るために、ブラウザのプロキシサーバとして、gaiwww.docomokyusyu.co.jp を指定してみました。 すると、何と、「ＮＴＴドコモ九州」のアドレスでアクセスできてしまいました。外部からのプロキシはしない設定にするのが一般的ではないでしょうか？当然、ＡＳＨでは、内部からのアクセスしかできない設定になっています。 とりあえず、ＡＳＨのホームページにアクセスし、環境変数を表示してみました。 REMOTE_ADDR = 203.138.230.3 REMOTE_HOST = gaiwww.docomokyusyu.co.jp HTTP_FORWARDED = by http://gaiwww.docomokyusyu.co.jp:8080 (Netscape-Proxy/1.12)ＡＳＨからアクセスしたにもかかわらず、REMOTE_HOST は、gaiwww.docomokyusyu.co.jp とすることができます。この状態で、掲示板に書きこむと、「ＮＴＴドコモ九州」の人がアクセスしたのと区別できません。 しかも、アクセス元のアドレスは通知されない設定になっています。これでは、不正アクセスの踏み台にされてしまう可能性があります。もし、公開プロキシとして使われるのであれば、アクセス元のアドレスは通知するべきだと思います。ＡＳＨでは、HTTP_FORWARDED で、アクセス元のアドレスがわかる指定になっています。 参考までに、ＡＳＨのプロキシを利用した時の環境変数です。 REMOTE_ADDR = 210.154.87.18 REMOTE_HOST = name.ash.or.jp HTTP_FORWARDED = by http://10.0.1.254:8080/ (DeleGate/5.6.7) for pc20.lo.ash.or.jppc20.lo.ash.or.jp と実際にアクセスしたホストが表示されるようになっています。 １０月９日 考察考察内容この掲示板あらしは、何という罪になるのでしょうか？多分、その１の例は、猥褻物陳列になるのではないでしょうか。 その２と。その３の例は、掲示板としての機能が停止したのですから、業務妨害か何かでしょうか。 また、書き込まれたユーザが削除しなかったら、罪になるのでしょうか？ もし、書き込まれたユーザが旅行中などで、対応できない場合は、どうすればいいのでしょうか？ これは、基本的に、罪にならないと思いますが、これを認めると、気づかなかったと言って、公開する人が出てきますから、放置期間によると思います。だいたい、１週間から１０日程度が限度ではないでしょうか。 この掲示板あらしの擁する、プロバイダや会社は罪に問われるのでしょうか？ ログの提出の拒否などをすると、どうなるのでしょうか？ プロバイダや、会社が罪に問われることはないと思いますが、ある程度の責任をとる必要が発生するのではないでしょうか。 gaiwww.docomokyusyu.co.jp のように、アクセス元を隠してしまうプロキシサーバには問題があると思います。 ＡＳＨが証拠として、わいせつ画像を持っていると罪になるのでしょうか？ ＡＳＨが証拠品である、わいせつ画像にモザイク加工すると、証拠の改ざんになるのでしょうか？ そのまま公開しなければ、問題ないのではないでしょうか。 私の深夜作業や、ログ解析などの対応のために消費された工数は、誰が負担するのでしょうか？ 少なくとも、私はボランティアで、やっているわけではありません。 犯人への処罰等は、警察にまかせたいところですが、果たして警察が動くのでしょうか？ とにかく、サーバ管理者としては、 １．不特定多数のインターネットのユーザに対して、プロキシサーバを利用できないようにする。 ２．中継する場合は、アクセス元のデータを付加して中継するようにする。 ３．サーバのアクセスログを保存しておく。 などの、対応が必要でしょう。 １０月１１日 関係各署への通報内容以下に、関係各署への通報のメールの内容を参照できます。通報先は、以下のとおりです。
１１月５日 NTTDoCoMo九州からの回答内容NTTDoCoMo九州から、メールで回答が来ました。内容については、以下の2点についての報告でした。 １．「掲示板荒らし」が行われた時間のgaiwww.docomokyusyu.co.jpのログについて ２．gaiwww.docomokyusyu.co.jpのProxyサーバの対応について ログについてログについては、ASHへのアクセスに対応する生ログが添付されていました。時間が多少ずれていますが、これは、サーバの時間が一致していないためだと思われます。このログのIPアドレスから、以下のサイトからのアクセスであることがわかりました。 Name: ppp3003.ifnet.or.jp Address: 210.141.245.70 このアドレスは、名前から判断すると、ダイアルアップ用のアドレスであると思われるので、多段中継はしていなかったみたいです。アクセス元のプロバイダは、イフネットと思われます。 サーバの対応についてサーバの対応については、連絡した当日にgaiwww.docomokyusyu.co.jpの設定を変更し、インターネット上からのProxyサーバへのアクセスはできないようにしたとの報告がありました。また、セキュリティーの見直し及び対策を実施し、今後、このようなことのないように対処したとの報告もありました。 １１月７日 犯人逮捕？内容ダイアルアップしたユーザまで、特定できたのですが、私には、処罰する権限も何もありません。そこで、実際の被害者に対して、警察に被害届を提出するかどうかを確認することにしました。被害者には被害届を提出する意思はないとの回答でしたので、私の調査も、このあたりで、打ち切りにすることにしました。 ところが、以下のような内容のニュースを発見！
この内容って、ASHに来た「掲示板あらし」の内容と非常に似ています。 と言っても、以下の４つの状況証拠からの推測ですけど・・・ (1) このニュースの発生日と、掲示板あらしが来た日が、一致している。 (2) NTTDoCoMo九州からの報告日と逮捕日が、一致している。 (3) 貼りつけられた画像が、「アジアン・ティーン・ファック」である。 (4) 掲示板あらしは毎月始めに来ていたが、11月始めに来なかった。(来れなかった？) この事件と、ASHへ毎月来ていた「掲示板あらし」との関係は、全く不明です。 しかし、この事件以来、ASHに「掲示板あらし」が来なくなったというのは、事実です。 |