HOME > ソフテックだより > 第68号(2008年6月18日発行) 現場の声編「セキュリティ対策 −メールの不正中継−」

「ソフテックだより」では、ソフトウェア開発に関する情報や開発現場における社員の取り組みなどを定期的にお知らせしています。
さまざまなテーマを取り上げていますので、他のソフテックだよりも、ぜひご覧下さい。

ソフテックだより(発行日順)のページへ
ソフテックだより(技術分野別)のページへ
ソフテックだより(シーン別)のページへ


ソフテックだより 第68号(2008年6月18日発行)

現場の声編

「セキュリティ対策 −メールの不正中継−」

1. はじめに

今でこそセキュリティ対策の大切さが認識されていますが、昔はセキュリティについてはあまり重視されていませんでした。
今では利用していて当たり前であるウイルス対策ソフトも、昔は一部の詳しい人や企業だけが使用している状況でした。
その当時に発生したセキュリティ問題をお話しいたします。

2. その当時に発生したセキュリティ問題
(1). 状況

当時は必要な知識があるわけではなかったため、参考書を片手にSendmail(同名の一般的なフリーソフトではなく商用メールサーバの一製品)というメールサーバを構築しました。
そんな状態のまま、2年間ほど運営していたときです。

(2). メールが届かない?

その日、出社してすぐにある社員から「メールが届かないんだけど・・」と連絡を受けました。
まずは原因の切り分けを行なわないと対応もできないので、連絡を貰った社員のPCやその周りのネットワークから調べはじめました。(その当時、多くはパソコン側の原因だったためです)
そうこうしている内に、他の社員からも連絡があり、しかも電話で別の事業所の社員からも連絡が入り始めました。
そこまで来ると、サーバ周りが怪しそうだということが分かります。
連絡があった複数の情報から、メールの読み込みは問題なかったため、ネットワーク問題でもなさそうだということも分かりました。

(3). サーバがおかしい

まずはサーバの状況を確認しようと考え、サーバのところに行ってディスプレイをONにしてみると、いつもと比べ、明らかにおかしい状態でした。どうおかしいかというと、画面の表示が数分かかって更新される有り様まで、マウス操作さえ難しいほどの状態です。
きちんとした画面表示もままならないほどですので、そのときは訳も分からない状況でサーバの再起動しかできない状況でした。その上、再起動も非常に時間がかかる状態です。
何とか再起動が完了し、ひとまずメールが届かない状況は収まった・・と思ったのもつかの間、すぐにサーバがどんどん重くなっていき、そうこうしている内に再び同じような状況に陥っていきました。

それからは何度か再起動を繰り返しては状況を確認していき、メールサーバが何やら原因となっていそうだということを探し当てました。
それは、メールサーバのタスクが大量に起動していることで、メモリを使い切っている状況だったためです。そこでメールサーバの状況を確認すると、送信待ちのメールが大量に貯まっていることが分かりました。

再起動後の少しの間、問題なかったのは操作が困難になるほどメール送信タスクが動作していなかったからですが、それらの送信待ちメールを送信しようとしてメールサーバが頑張り、最終的にサーバの性能を能力限界まで使い切ってしまう状況となり、操作も困難なほどになっていました。
それらのメールを確認してみると、ほとんどが業務に全く関係ない中国語のメールでした。

(4). メールの不正中継

その状況を見て、すぐ不正中継されている状況だと確信できました。
それというのも、当時からさらに1年ほど前にORDB(Open Relay Database)(※1)に登録されてしまったことがあり、その登録解除処理の対応を行なったことがあったからです。
1年前の対応はORDBのサイトが海外だったことから、簡易的に海外のIPアドレスからのメール送信受け付けを行なわないことで対応していました。(本当はきちんとした不正中継対策を行なうべきだったのですが、当時利用できる商用メールサーバでは不正中継対策機能は持っておらず、また他の事情もあって必要な対策が打てない状況でした)
それから1年間ほどは支障なかったのですが、今回、大量のメールを不正中継されてしまったということでした。
今ならメールの不正中継対策は当たり前のセキュリティ対策の1つですが、当時はメール不正中継対策を行なっていないサイトも少なくなく、ソフテックも同じ状況でした。

不正中継メールを送ってくるIPアドレスについて調べてみたのですが、国内だったり、海外だったり、大手プロバイダのIPだったり、真っ当な会社のIPだったりといった感じでした。
状況を見ていると、定期的に送信元のIPアドレスを変えていっている感じで、今考えると、おそらく乗っ取られたPCではなかったのか?と思われます。(今のようにウイルス対策ソフトを利用することがまだ当たり前ではなかったことから、当時は侵入されてバックドアとして乗っ取られているパソコンも少なからず存在していたと思います)

(5). まずは暫定対策を

しかし、不正中継という状況は分かっても、すぐに恒久対策が打てる訳ではありません。
まずは、不正中継メール送信元のIPアドレスを1つ1つブロックしていくという、対処療法的な暫定対策を行ないました。
当然、間に合わせの対策ですので、一時的には何とかなりますが1〜3日経過すると同じように不正中継してしまうという状況になってしまいます。
そのときは、まずは時間を稼いでその間に恒久対策を打つことを考えていました。
(なお、社内からのみメールを中継するという設定はあったのですが、諸事情で設定することはできませんでした)

(6). 恒久対策へ

それからは、サーバの状況を確認しつつ、恒久対策に着手しました。
ここで恒久対策とは、不正中継対策機能を具備している新しいメールサーバへの入れ替えです。
1年前は不正中継対策機能を使って運用できる商用メールサーバはありませんでしたが、月日が過ぎてその間に新しい製品が発売されてたため、改めて調べてみると数本のメールサーバがヒットしました。
その内の1本はその時のメールサーバのバージョンアップ製品だったので、すぐにそれと入れ替えようとしましたが、今度は別の問題で移行することができません。その間にも不正メールの蓄積・停止を繰り返していたため、あせる気持ちでメールサーバソフトの選定を行なっていきました。

不正対策機能だけではなく複数ドメイン対応等の別の要素も必要だったため、ある程度の検討時間がかかったのを覚えています。
それからしばらくして、あるメールサーバに移行することが決まり、その後、この問題は解決しています。

3. それから

それ以後もメール関連に限らず、いくつもの対策を行なって現在まで来ています。
その中には有効な対策を打てたもの、有効な対策を打てなくて暫定対策のままとなっているものもあります。

昨年、全社的に情報セキュリティ管理室を立ち上げました。
まだまだ取り込む必要がある項目は多いのですが、より一層のセキュリティ対策を行なっていきます。

(K.O.)

[注釈]
※1
迷惑メール送信の温床となる可能性があるメールの不正中継が可能なサイトの情報を収集し、データベース化してあるサイト。(2008年現在では閉鎖済み)
ORDBに登録されると、一部の宛先(ORDBの情報を不正中継サイトとみなして着信を拒否しているサイト)にメールが届かなくなるため、不正中継対策を行なって登録解除を行なう必要が出てくる。

関連ページへのリンク

関連するソフテックだより

ページTOPへ