インターネットのセキュアな運用のためのガイドライン
(Guidelines for the Secure Operation of the Internet)

このメモは、インターネットコミュニティのために情報を適用するものです。 これは、インターネットの標準を定めるものではありません。 このメモの配布に制限はありません。

本書の目的は、 インターネットのセキュアな運用を支援するガイドライン集を提供することにあります。 インターネットは、その歴史において目ざましく発展し、 今や全く別のものとなっています。 政府機関や外郭団体、学術調査機関、 商用ネットワークや電子メール配信業者および非営利研究センターと、 増えつつあるこの技術を主に利用する立場としての産業界の組識が参加しています。 この劇的な成長にもかかわらず、このシステムは、 いまだに純粋な共同に基づいて運用されています。 各参加ネットワークは、各々、自らの運用に責任を負います。 サービスプロバイダー、プライベートネットワーク運用者、 ユーザやベンダーは皆、 このシステムが機能し続けるように協力しあっています。

インターネットシステムのボランティア的な性格は、長所であるとともに、 おそらく最も弱い側面であることを理解することが重要です。 運用のルールは、エチケットのルールと同様に、 国内法に抵触してその侵害が訴訟に至る場合を除いてボランティア的なものであり、 主に強制ではありません。 インターネットの円滑で、 よりセキュアな運用のための一般的なルールは、 理想的にはボランティア的なものです。 それは、様々な国々の法規は、 データネットワーキングを考慮した単一のものではないからです。 まさに、下に示されたガイドラインもまた、 ボランティア的なものにすぎません。 しかし、インターネットへの参加は、任意なので、 制裁適用のための基礎が、どのような法体系であるかにかかわらず、 インターネットを規制するルールは、参加のための協定の一部である、 あるいは、ルールではそれらを規制できない、 と主張することもまた公平なことなのです。

このガイドラインは、インタネットコミュニティ全体を対象としています。 インタネットコミュニティは、ユーザ、ホスト、ローカルのネットワーク、 地域のネットワーク、国内のネットワーク、 国際的なバックボーンネットワーク と、オペレーティングシステム、 ルーター、ネットワーク管理ツール、ワークステーション、 他のネットワークコンポーネントを供給しているベンダーから成ります。

セキュリティは、情報のプライバシーの保護、 不正な変更(改ざん)に対する情報の保護、 サービス妨害に対するシステムの保護および不正アクセスに対するシステムの保護を含むものと解します。

このガイドラインにおいては、6つの主たる論点を扱います。 これらの論点は、次節において再度取り上げられ、本論が述べられます。 さらに、読者のみなさんの利用のために、 コンピュータとネットワーク関連の参考文献の目録が、 この文書の末尾にあります。

1. ユーザには、各自、 使用しているシステム(コンピュータとネットワーク)のセキュリティポリシーを理解し、 遵守する責任があります。 ユーザは、各自、自身の行為に責任を負います。
2. 各ユーザには、自身のデータを保護するために、 入手可能なセキュリティ機構と手順を採用する責任があります。 また、使用しているシステムの保護を支援する責任もあります。
3. コンピュータとネットワークサービスのプロバイダーには、 運用しているシステムのセキュリティを維持する責任があります。 さらに、ユーザにセキュリティポリシーと、 これらのポリシーの変更のすべてを知らせる責任もあります。
4. ベンダーとシステム開発者には、堅固で、 適切なセキュリティコントロールを実装したシステムを提供する責任があります。
5. ユーザ、サービスプロバイダー、 ハードウエアやソフトウエアのベンダーは、 セキュリティを提供するために協力しあう責任があります。
6. インターネットセキュリティプロトコルにおけるセキュリティの改善は、 継続的に模索される必要があります。 同時に、新しいプロトコル、 インターネット用のハードウエアないしソフトウエアの開発者には、 その設計と開発プロセスにおいてセキュリティについて考慮することが期待されます。

1. ユーザには、各自、 自身が使用しているシステム(コンピュータとネットワーク)のセキュリティポリシーを理解し遵守する責任があります。 ユーザは、各自、自身の行為に責任を負います。

   ユーザには、各自、自身の行為に責任があります。 システムのセキュリティに弱点があるからといって、 システムに対して侵入もしくは悪用しても許されるということにはなりません。 各ユーザには、 アクセスしているコンピュータとネットワークのセキュリティポリシーを知っていることと、 これらのポリシーに忠実であることが期待されます。 このガイドラインの明確な結論のひとつは、 コンピュータへの不正アクセス、 もしくはネットワークの不正使用は、 いかにそれらのコンピュータないしネットワークの保護が弱くとも、 明らかにインターネットの品行のルールの侵害である、 ということです。

   コンピュータシステムへの不正アクセスに対する法規制について、 国際的に注目が高まっており、いくつかの国々では最近、 この領域に対応した法案が通過しました。 (例：イギリス、オーストラリア)アメリカ合衆国では、 "the Computer Fraud and Abuse Act of 1986" 題目18 U.S.C.の第1030節が、特定の状況下で、 認可なしに連邦政府の利権に関するコンピュータにアクセスすることを犯罪としています。 (連邦政府のコンピュータ、金融機関のコンピュータ、 攻撃に関与した使用がなされている複数のコンピュータのうちのひとつで、 それらのすべてがひとつの州にはないもの。) アメリカ合衆国の50州の大部分は同様の法規をもっています。

   ポリシーのこの部分については、他に、 各ユーザには割り当てられたすべての資源の利用に責任があり、 それゆえ、 アカウントと資源へのアクセスの共有は固く禁じられていることがあります。 しかし、 資源へのアクセスは各サイトとネットワーク運用者ごとに割り当てられるので、 アカウントの共有を規制する固有のルールとアクセスの保護は、 ローカルなものである必要があります。

2. 各ユーザには、自身のデータを保護するために、 入手可能なセキュリティ機構と手順を採用する責任があります。 また、使用するシステムの保護を支援する責任もあります。

   各ユーザには、妥当なやり方でアカウントの権限を扱うことと、 サイトで定める、システムのセキュリティのための手順と、 データのセキュリティのための手順に従うことが求められます。 パスワードによる保護に依存するシステムについては、 各ユーザは適切なパスワードを選択し、 定期的に変更する必要があります。 適切なファイルのアクセスコントロールを設定し、 維持するためのファイル保護機構の正しい使用 (例：アクセスコントロールリスト)もまた、この責任の一部です。

3. コンピュータとネットワークサービスのプロバイダーには、 運用しているシステムのセキュリティを確保する責任があります。 さらに、ユーザにセキュリティポリシーと、 このポリシーの変更のすべてを知らせる責任もあります。

   コンピュータないしネットワークのサービスプロバイダーは、 組織のユーザの代わりに資源を管理します。 (例：大学におけるネットワークとコンピュータサービスの提供) あるいは、より大規模に外部のコミュニティ (例：地域のネットワークプロバイダー) にサービスを提供している場合もあるでしょう。

   これらの資源には、ユーザが採用したホストコンピュータ、ルーター、 端末のサーバー、パーソナルコンピュータ、 インターネットに接続されている他のデバイスが含まれます。

   インターネット自身は、集中管理されていませんし、 運営されてもいないので、セキュリティについての責任は、 インターネットの該当部分の所有者と運営者にあります。 さらに、 たとえこのインフラストラクチャに中央集権的な監督機関があったとしても、 セキュリティは、 システムの所有者と運用者の責任である必要があります。 そのシステムは、インターネットの主たるデータ資源であり、 処理資源であるのです。

   サイトにおける厳密なセキュリティ手段とシステムの簡易な使用の間には、 トレードオフの関係があります。 (例：厳密なセキュリティ手段は、 ユーザのインターネットへのアクセスを面倒にしてしまいます。) あるサイトが、システムを保護せずに開けておくようにする場合、 攻撃者の身元を隠しながら、 他のインターネットホストの攻撃のための足場を提供することになってしまいます。 オープンなシステムを運用しているサイトは、 システムのユーザの行為に対して責任があるとともに、 必要とあらば他のサイトを支援できるようにしておく必要があります。 各サイトは、 できるかぎりインターネットへのアクセスが認証されているかを確認するようにすべきです。 読者のみなさんは、 補遺 Aの、 よいセキュリティの要素についての簡潔な解説リストをご覧ください。

   (ネットワークサービスプロバイダーを含む)各サイトは、ぜひとも、 セキュリティポリシーを立案すべきです。 これらのポリシーは、ユーザや会員に明確に伝達される必要があります。 「サイトセキュリティハンドブック(FYI 8, RFC 1244)」には、 サイトとネットワークの両方のレベルで、 よいセキュリティポリシーと手順の立案についての有用な情報と指針があります。

4. 各ベンダーと各システム開発者には、堅固で、 適切なセキュリティコントロールを実装したシステムを提供する責任があります。

   ベンダーもしくはシステム開発者は、 インターネットコミュニティにそのシステムを導入する前に、 セキュリティコントロールの観点から各システムを評価する必要があります。 (商用、フリーにかかわらず)各製品は、 実装しているセキュリティ機能を記述する必要があります。

   各ベンダーと各システム開発者には、 インターネット用に販売しているシステムの、 セキュリティ関連部分の欠陥を修正する義務があります。 両者には、インターネットコミュニティと協力して、 セキュリティ上の欠陥の報告と、 適時にセキュリティ関連のフィックスをコミュニティに提供できるようにするための機構を構築することが期待されます。

5. 各ユーザ、各サービスプロバイダー、 各ハードウエアとソフトウエアのベンダーには、 セキュリティを提供するために協力しあう責任があります。

   インターネットは相互扶助ベンチャーです。 インターネットにおけるカルチャーと実践は、 セキュリティ事象において他のサイトやネットワークを支援を行うものです。 各サイトには、他のサイトにおける進行中の侵入を検知した場合、 そのサイトに知らせることが期待され、すべてのサイトには、 セキュリティ侵害に対応する際に、 お互いに助け合うことが期待されます。 この支援には、コネクションの追跡、侵害者の追跡、 法執行機関の努力の支援が含まれます。

   インターネットコミュニティ内においては、 セキュリティ侵害者は身元が明らかにされ、捕らえられるべきである、 という解釈が有力となってきています。 これは、ひとたび侵害が検知されたら各サイトは、侵害者の発見と、 法執行機関の努力を支援することに協力することが求められる、 ということです。 多くのサイトにおいて、 できるだけ早く自身のサイトをセキュアにすることと、 侵害者を特定できることを期待して自身のサイトを開いたままにしておくことの間のトレードオフに直面することが想定されます。 また、各サイトは、侵入の情報を規制することと、 侵入が起きたことを公表することのジレンマに直面することでしょう。 サイトが公表しないと決定した場合、このポリシーは、 サイトにそのシステムや、その評判について公表しなければならない、 と命ずるものではありませんが、各サイトには、 できるかぎり支援することが求められます。

6. インターネットセキュリティプロトコルにおける技術的な改善が、 継続的に模索される必要があります。 同時に、新しいプロトコル、 インターネット用のハードウエアもしくはソフトウエアの開発者には、 設計と開発のプロセスにおいて、 セキュリティについて考慮することが期待されます。

   上で検討された論点は皆、管理的な性格をもっていますが、 技術的な進歩も重要です。 既存のプロトコルやオペレーティングシステムは、今日、 求められているセキュリティのレベルを提供するものではありません。 3種類の進歩が推奨されます。：

   1. 既存の基本的なセキュリティ機構において、 改良がなされる必要があります。 パスワードセキュリティは通常、 インターネットの世界では貧弱であり、 パスワード割り当てを管理するツールと、 より良い認証技術の使用によって、著しく改善することができます。 同時に、インターネットユーザの人口は、増加しており、 技術的に不慣れなユーザが、 より多くの比率を占めるようになっています。 配布されるシステムのセキュリティのデフォルトとセキュリティを管理するためのコントロールは、 この増加しつつある人々に合わせる必要があります。

   2. プロトコルスーツのセキュリティ拡張が必要です。 セキュリティを改善するために追加される必要のあるプロトコルの候補には、 ネットワーク管理、ルーティング、ファイル転送、 telnetおよびメールがあります。

   3. オペレーティングシステムの設計と実装は、 よりセキュリティに重点をおくように改善すべきであり、 インターネット上のシステムへのセキュリティの実装の質に、 もっと注目すべきです。

ローカルのセキュリティを改善する際には、5つの分野の対策が必要です。：

1. ローカルのセキュリティポリシーの明確な表明が必要であり、 このポリシーは、 そのユーザと他の関連する主体に伝達される必要があります。 このポリシーは、ファイルとして、 ユーザがいつでも入手できるようにする必要があり、 システムへのアクセスを提供する際にユーザに伝達される必要があります。

2. 適切なセキュリティコントロールが実装される必要があります。 これは、つまり最低限、 システムへのアクセスをパスワードでコントロールし、 まともなパスワード管理を制定し、 システム自身とその中の情報を守るようにシステムを設定する、 ということです。

3. セキュリティの遵守を監視し、 セキュリティの侵害を含むインシデントに対応することができるものが必要です。 ログインのログ、 ログインの試みなどのセキュリティ関連のイベントは、 通常のログの監査と同様、強くお薦めいたします。 コネクションや、 侵入に対応した他のイベントを追跡することができるものもまた薦められます。 しかし、サービスプロバイダーは、収集する情報、 それにアクセスできる人、目的について、 よく検討された公表されたポリシーをもつことが重要です。 このようなポリシーを設ける際には、 ネットワークユーザのプライバシーの確保が、 考慮される必要があります。

4. セキュリティ事象を扱うために、 コミュニケーションと統制の連携が確立される必要があります。 セキュリティの連絡窓口としての責任者が指名される必要があります。 セキュリティの連絡窓口への連絡手段は、 すべてのユーザに知らせる必要があり、また、 公衆のディレクトリに登録される必要があり、 さらにコンピュータ緊急対応センターがいつでも連絡先情報を容易に見つけられるようにすべきです。

   セキュリティ連絡窓口は、 そのサイトのすべてのシステムの技術と設定に慣れているか、 もしくは、 いつでもこの知識をもった者と連絡がとることができる必要があります。 同様に、セキュリティ連絡窓口は、 セキュリティインシデントを扱う最善の努力を行なうことが事前に許可されているか、 もしくは、 いつでもそれを承認する者と連絡をとることができる必要があります。

5. セキュリティインシデントを知らされた各サイトとネットワークは、 適時に有効なやり方で対応する必要があります。 侵入ないし他の侵害が起きた場合、 各サイトとネットワークは、 そのインシデントの性格を識別するためと被害を限定するために、 資源と対策手段を割り当てる必要があります。 適時に、有効にインシデントに対応しないとしたら、 サイト／ネットワークは、 よいセキュリティをもっているとは考えられないでしょう。

   侵害者が特定できる場合、 それ以上の侵害が引き起こされないようにするために、 適切な行動がとられる必要があります。 侵害者に対して課されるべき制裁は、 インシデントの性格とサイトの環境によって決まります。 例えば、ある大学では学生の侵害者に対して、 内部的な処分を行うことを選ぶことでしょう。

   同様に、各サイトやネットワークは、 システムにセキュリティ上の欠陥があることを知らされた場合、 対応する必要があります。 各サイトやネットワークには、 修正プログラム(フィックス)が入手可能となり次第、 システムにそれらをインストールする責任があります。

[1] P.L. 100-235,

"The Computer Security Act of 1987",
(Contained in Appendix C of Citation No. 12, Vol II.), 1988年 1月 8日.

[2] P.L. 99-474 (H.R. 4718),

"Computer Fraud and Abuse Act of 1986", 1986年10月16日.

[3] P.L. 99-508 (H.R. 4952),

"Electronic Communications Privacy Act of 1986", 1986年10月21日.

[4] P.L. 99-591,

"Paperwork Reduction Reauthorization Act of 1986", 1986年10月30日.

[5] P.L. 93-579,

"Privacy Act of 1984", 1984年12月31日.

[6] "National Security Decision Directive 145", (Contained in Appendix C of Citation No. 12, Vol II.).

[7] "Security of Federal Automated Information Systms",

(Contained in Appendix C of Citation No. 12, Vol II.), Appendix III of, Management of Federal Information Resources, Office of Management and Budget (OMB), Circular A-130.

[8] "Protection of Government Contractor Telecommunications",

(Contained in Appendix C of Citation No. 12, Vol II.), National Communications Security Instruction (NACSI) 6002.

[9] Secure Systems Study Committee,

"Computers at Risk: Safe Computing in the Information Age", Computer Science and Technology Board, National Research Council, 2101 Constitution Avenue, Washington, DC 20418, 1990年12月.

[10] Curry, D.,

"Improving the Security of Your UNIX System", Report No. ITSTD-721-FR-90-21, SRI International, 333 Ravenswood Ave., Menlo Park, CA, 94025-3493, 1990年 4月.

[11] Holbrook P., and J. Reynolds, Editors,

"Site Security Handbook",
FYI 8, RFC 1244(English), CICNet, ISI, 1991年 7月.

[12] "Industry Information Protection, Vols. I,II,III",

Industry Information Security Task Force, President's National Telecommunications Advisory Committee, 1988年 6月.

[13] Jelen, G.,

"Information Security: An Elusive Goal", Report No.P-85-8, Harvard University, Center for Information Policy Research, 200 Akin, Cambridge, MA. 02138, 1985年 6月.

[14] "Electronic Record Systems and Individual Privacy",

OTA-CIT-296, Congress of the United States, Office of Technology Assessment, Washington, D.C. 20510, 1986年 6月.

[15] "Defending Secrets, Sharing Data",

OTA-CIT-310, Congress of the United States, Office of Technology Assessment, Washington, D.C. 20510, 1987年10月.

[16] "Summary of General Legislation Relating to Privacy and Computer Security",

Appendix 1 of, COMPUTERS and PRIVACY: How the Government Obtains, Verifies, Uses and Protects Personal Data, GAO/IMTEC-90-70BR, United States General Accounting Office, Washington, DC 20548, pp. 36-40, 1990年 8月.

[17] Stout, E.,

"U.S. Geological Survey System Security Plan - FY 1990", U.S. Geological Survey ISD, MS809, Reston, VA, 22092, 1990.年 5月

もし、インターネットにおいてセキュリティの考慮が、 これほど広く無視されていなければ、 このメモは存在していなかったことでしょう。

Richard D. Pethia
Software Engineering Institute
Carnegie Mellon University
Pittsburgh, Pennsylvania 15213-3890

電話： (412) 268-7739
FAX： (412) 268-6989

EMail： rdp＠cert.sei.cmu.edu

Stephen D. Crocker
Trusted Information Systems, Inc.
3060 Washington Road
Glenwood, Maryland 21738

電話： (301) 854-6889
FAX： (301) 854-5363

EMail： crocker＠tis.com

Barbara Y. Fraser
Software Engineering Institute
Carnegie Mellon University
Pittsburgh, Pennsylvania 15213-3890

電話： (412) 268-5010
FAX： (412) 268-6989

EMail： byf＠cert.sei.cmu.edu

宮川 寧夫
情報処理振興事業協会
セキュリティセンター

Email： miyakawa＠ipa.go.jp