15:10-15:35 VPN - L2TPによるトンネリングネットワーク 松本直人((株)インターネット総合研究所) not@IRI.CO.JP VPNとは Virtual Private Network Internet上に仮想の私設網を構築 VPNの種類 Network-to-Network型 End-to-Endd型 Virtual Dialup Service型 <-- L2TP ... etc VPNの基本要素 トンネリング技術 暗号化技術 Authentication L2TPとは L2TP:draft-ietf-pppext-l2tp-11 トンネリング技術のみ ISPの既存接続資源を共有 既存ユーザとVirtual Dialupユーザを共存 プロトコル概要 PPP Datagramをカプセル化 カプセルかデータをUDPパケットとして搬送 PPP Datagramをカプセルから抽出 ... L2TPの処理イメージ User --- LAC -(Tunnel)- LNS --- home site LAC: L2TP Access Concentrator アクセスサーバ(MAX等) 接続受け付け、認証、どのLNSに接続すればいいかの決定 どのユーザがどこに接続するか把握している。 LNS: L2TP Network Server 専用器は現状ではなし LACからLNSまで仮設ネットワークを構築する L2TPが行ってくれる事 認証 ユーザおよびトンネルの認証を行う アドレス割当 Virtual Dialupユーザに対して、アドレス割当を行う 使用許可 ユーザおよびトンネルの使用許可を与える 課金処理 ユーザおよびトンネルの課金情報を生成する トンネルの管理方法 トンネルの管理は、RADIUS等で行われる LACがTMS(Tunnel Management Server)に問い合わせてトンネルを決定 セキュリティ問題 L2TPには、暗号化アルゴリズムは含まれていない 主に以下の3種類が使用される PPP Encryption(Layer 2 Encryption) IPsec(Layer 3 Encryption) High Layer Encryption 各ベンダは独自路線を歩んでいる。 運用における問題点 ネットワークを跨るセキュリティが問題 中のパケットを見られる恐怖 ISPは安全か? トンネル管理は容易であるか ISPの管理ネットワークは安全であるか 暗号化の強度は高いか(日本国内の物は安全?) まとめ L2TPはすべてInternet-draft状態 相互接続実績はあがっていない いまだVirtualDialupServiceは始まっていない ちょっとCM NOEL - Network Operational Engineering laboratory -- IRI内で運用 質疑応答 Q インターネット上の任意の場所にいるclientからトンネルが張れるのか A 専用線ないしEthernetからは難しい ->別のトンネル技術を用いた方がよい。 L2TPは多くのルータベンダが実装中 IPsecはciscoが実装中 Q 相互運用試験 - アメリカでベンダレベルで実施しているが、 結果は公にはなっていない。 MS NT5.0で実装予定? アクセスサーバで実装すべきか、アプリケーションレベルでするのか どちらが良いか A NOELの中でも議論がある。ユーザの環境に依存しない形で実現するには ルータレベルで実装したほうがよい Q VPNサービスの将来性と奥行きは?トンネルの手間を省いてくれるだけ? A L2TP over ATMとかL2TP over FRとかの実装があり、奥の深さは色々ある。 価格的、運用管理的にメリットはある。資源の共有化が可能。 将来性に関しては立場上ノーコメント。 ------------------------------------------------------------------------------- 15:35-16:00 ダイアルアップＩＰを利用した障害検出 三浦 孝之(デジタルテクノロジー(株)) ダイアルアップを利用する利点 ・１台のクライアントがダイアルアップ先を替えて 様々なＩＳＰに接続して ISPのネットワークのテストを実施できる。 ・一般ユーザがpcをクライアントとしてテストを実施できる。 ・エンドユーザの立場から見たネットワーク障害を見れる。 統計データ収集方法 ・Active Data Collection 特定のマシンを使用し集計できる。 ダイアル対象を限定できる。 一定インターバルでデータ収集できる。 ・Passive Data Collection エンドユーザのpcにクライアントをインストールして生のデータを収集 この２つを使い分けるのがいいだろう。 Inverse Networks社の製品 AccessRampは Passive Data Collectionの製品 エンドユーザのPCにインストールし、ユーザがアクセスするとデータをInverse社の DataCollectorに転送する。 統計情報はリアルタイムでWebサーバにアップデートされる。 InternetMeasurementService社の製品はActive Data Collectionの製品 ＡＲ(Access Ramp) から得られるデータ システム情報(OS ver,AR ver,モデムタイプ) ネットワーク情報(発信者、発信エリア、POP電話番号) アクセス情報 client -> collectoer -> Aggregator -> SQLサーバ -> 集約 と言う形でデータが収集される。 実際に56Kモデムの利用状況を調査すると Intuit CorporationのソフトウェアQuickenに搭載したARクライアントからのデータ を使って調べると56kモデムユーザは増えているが33.6K以上のスピードでつながる 割合は あまり増えていない事が判った。 ＩＭＳから得られるデータ 共通のクライアント環境によるダイアル 米国主要ISPのPOPにダイアルアップテストを実施した PPP接続前のデータ コールフェイルレート PPP接続後のデータ DNS, SMTP, POP3, WWWなどの接続時間、スループット等 IMSによるデータ収集 Dialbots(ロボット)がＩＳＰにダイアルアップして収集 -> 集約 統計データのサンプル モデムのコールフェイルレート 特定のISPに対するコールフェイルレート POP毎のコールフェイルレート モデムの初期接続スピード PPPセッション確立までの時間 (ＰＰＰセッションが確立するまでの時間 ３０秒で８割がloginしている) DNS lookup 時間 DNS failure Web Page ダウンロード失敗率 Web スループット SMTP送信失敗率 SMTP スループット メッセージ到着時間 POPチェック時間(メールボックスが空の時) nslookupでＤＮＳレスポンスを測定 Ｗｅｂのダウロード時間 ISPをまたぐメールのレスポンス まとめ ＡＲ(Access Ramp) 実ユーザの直面している問題の把握 実ユーザの使用しているPC環境の把握 ＩＭＳ(internet Measurement Service) 特定のISPの問題をクローズアップ ISP間の通信に関する問題のクローズアップ 質疑応答 Q 実際に使おうとした時に、電話代が問題となる。60ヶ所で１万円/日 ... 非実用的 個人で作ったものを公開しても良いか。 A 確かに日本では電話代が問題である。今回は紹介のみ ------------------------------------------------------------------------------- 16:00-16:15 不正アクセスから見たネットワークオペレータとJPCERT/CCの役割(2) 白崎博生(JPCERT/CC) 広範囲なスキャニング finger,telnet,imap,pop,http,nfs,dns,Xのサービスへ接続を試みる ツールを使っている模様 日本とオーストラリアのドメインを攻撃する例を紹介している 以下のドメインから報告を受けている or.jp(10),ac.jp,co.jp(20) 広範囲のホストが影響を受けている可能性がある もしかして、日本全体？ スキャン範囲を調べたいので、ログを見て報告をして欲しい。 攻撃元 日本を含めて17ヵ国 スキャンプログラム自体には攻撃能力はないが、その結果を元に攻撃してくる 可能性は十分にあり、実際にそういう事例もある。 メールの不正中継 相変わらず多数の報告を受け取っている 2つのパターン (1)中継に利用される (2)勝手に名前をかたられる (1)->(2)という例もある 全てのサイトで対策を実施すべき smurf IP Denial of Service attack ときどき見掛ける Ingress Filtering - RFC 2267 不正アクセスの動向 97/10〜97/12 IMAPサーバプログラムを悪用したアタック ... 等々 98/1〜98/3 AnonymousFTPを使ったアタック ... 等々 不正アクセス報告件数の推移 97/1〜97/3に200件、98/4〜98/6に150件 右肩上がりで増加中 海外との連係強化(FIRST加盟) 名称 Forum of Incident Response and Security Teams 目的 メンバー間の協調、迅速な対応、情報共有等 組織 Steering Committee,Secretariat 参加 現在70ヵ国が加盟している イベント メキシコで今年の6月末に会議があった FIRSTへの参画 8月にJPCERTが加盟予定 メンバー登録(作業中) メンバー間の情報交換 国際貢献 アジア太平洋地域におけるIRT構築支援 名称 APCIRC Asia Pacific Security Incident Response Coordination APNGのワーキンググループ 目的 AP地域におけるIRTフォーラム 情報共有 IRTの構築を支援する メンバー 日本、韓国、シンガポール、オーストラリア 現在は活動準備段階 JPCERT/CCからのお願い JPNICデータベースの更新 インシデントの連絡先として(連絡を取りたくても取れない事がある) Network Operations Mailbox RFC2142 security@domain,abuse@domain,noc@domainを作ってください。 JPCERT/CC - 情報提供のお願い - 1.不正アクセスを受けたサイト 2.あなたの連絡先 3.影響を受けたホストの情報 4.不正アクセスの内容 JPCERT/CCへのアクセス WWW & FTP http://www.jpcert.or.jp/ ftp://ftp.jpcert.or.jp/ 情報提供用メーリングリスト http://www.jpcert.or.jp/announce.html コンタクト情報 電子メール info@jpcert.or.jp 電話 03(5575)7762 FAX 03(5575)7764 ------------------------------------------------------------------------------- ログ採取:岡(松下情報システム),湯川(インテリジェント・テレコム)