本記事はアフィリエイト広告（PR）を含みます。紹介料の有無で内容や評価は変えていません。
今年の6月、自社のサーバーが乗っ取られ、外部への攻撃の踏み台にされていました。お客様の話ではありません。IT保守を仕事にしている、私たち自身の話です。
書くかどうか迷いましたが、原因が情けないほど単純で、しかも同じ状態の会社を私は何度も見てきたので、そのまま書きます。
気づいたのは、自分たちではなかった
最初の連絡は、契約しているインターネット接続事業者からでした。「おたくの回線から不審な通信が出ている」という趣旨の警告です。
ここが、いちばん反省しているところです。自分たちでは気づいていませんでした。社内の誰も「おかしい」と感じていなかった。業務は普通に回っていて、誰も困っていなかったからです。
踏み台にされている側は、たいてい困りません。困るのは攻撃を受けている相手です。だから自分では気づけない。これが厄介なところです。
UTMのログを見たら、はっきり出ていた
社内にはUTM（SonicWall）を入れています。連絡を受けてすぐログを解析しました。
知らない外部IPアドレスへの発信が、大量に記録されていました。見れば一目で分かる量です。
つまり、記録は最初から残っていたのです。機器が悪かったわけでも、検知できなかったわけでもありません。誰も見ていなかっただけでした。
UTMやファイアウォールを入れて安心している会社は多いと思います。私たちもそうでした。入れることと、見ることは別です。
原因：半年以上使っていないサーバーが、電源だけ入っていた
発信元は、社内のサーバー1台でした。
そのサーバーは、もともとグループウェア用に使っていたものです。ただ、自社で新しいシステムを作って移行したため、半年以上前から誰も使っていませんでした。
それなのに、本体の電源は入れっぱなしでした。
使っていないので、更新もしていません。誰もログインしないので、異変にも気づきません。ネットワークにはつながったまま。攻撃する側から見れば、これほど都合のいい機械はありません。
「移行が終わったら、そのうち止めよう」と思っていた。それだけです。悪意も、技術的な難しさもありません。ただ、半年間そのままだった。
「使っていない」と「止まっている」は、まったく違う
この一件で、私の中ではっきりしたことです。
| 状態 | 更新される？ | 異変に気づく？ | 攻撃対象になる？ |
|---|---|---|---|
| 使っている | される | 誰かが気づく | なる（が、気づける） |
| 使っていないが電源が入っている | されない | 誰も気づかない | なる（最悪） |
| 電源を落としてある | — | — | ならない |
使っている機器は、誰かが毎日触るので異変に気づきます。動きが遅い、変な画面が出た、といった形で誰かが言ってくる。
ところが使っていない機器は、誰も触らないので誰も気づきません。更新も止まっているので、時間がたつほど穴は増えていきます。会社の中で、いちばん無防備な状態です。
やったこと
- 該当サーバーをネットワークから切り離し、隔離した
- UTMのログを遡って、いつから・どこへ発信していたかを確認した
- 他の機器から同じ通信が出ていないか、2週間かけて経過を見た（結果、他に同様の症状はありませんでした）
- 接続事業者へ状況を報告した
2週間見たのには理由があります。1台止めて通信が消えても、それは「その1台だけだった」証明にはなりません。攻撃する側が別の機器に移っている可能性もあります。しばらく様子を見ないと、収束したとは言えません。
同じ状態の会社は、たぶん多い
お客様先でも、次のような機器をよく見かけます。
- 入れ替えたのに、前のサーバーが横で動いたまま（「念のため」残している）
- 使わなくなったNASが、電源だけ入っている
- 退職者のパソコンが、そのまま席に置いてある
- 試しに入れたネットワークカメラが、その後放置されている
- リース返却前の複合機が、まだネットワークにつながっている
どれも「そのうち片づけよう」で止まっているものです。悪気はありません。私たちもそうでした。
今日できる棚卸し
難しいことをする必要はありません。次の3つだけで、かなり見つかります。
| やること | 所要 | 見つかるもの |
|---|---|---|
| サーバーラック・機器置き場を実際に見て、ランプが点いているものを数える | 15分 | 存在を忘れられた機器 |
| ルーターやUTMの管理画面で、接続中の機器一覧を出す | 15分 | 把握していない接続 |
| その一覧に「これは何の機械か」を1行ずつ書く | 30分 | 誰も答えられない機器 |
3つ目で「これ何だっけ」となったものが、危ないものです。用途を誰も説明できない機器が動いている、という状態そのものが問題です。
止めるときの手順
- いきなり廃棄しない。まずネットワークから外す（LANケーブルを抜く）だけにする
- その状態で1〜2週間おいて、業務に支障が出ないかを見る。意外なものが裏で動いていることがあります（古いプリンタサーバー、共有フォルダの参照など）
- 問題がなければ電源を落とす
- 廃棄・返却の前に、ディスクのデータを消す。ここを飛ばすと別の事故になります
（PR）入口の対策もあわせて
今回の原因は「使っていない機器を止めていなかった」という運用の問題で、セキュリティソフトを入れていれば防げた、という話ではありません。棚卸しと停止がいちばんの対策です。そのうえで、日常的に使うパソコンの入口の対策として一例を挙げておきます。家庭向けの製品なので、法人として使う場合はライセンスの条件を事前に確認してください。
まとめ
原因は「半年以上使っていないサーバーの電源が入ったままだった」という、それだけのことでした。難しい攻撃を受けたわけではありません。
この一件で、自社の運用として2つ変えました。
- 機器を入れ替えたら、旧機の停止日をその場で決めて記録する。「そのうち」をなくす
- UTMのログを定期的に見る。入れて終わりにしない
IT保守を仕事にしている会社でも、こうなります。知識の問題ではなく、段取りの問題だからです。
もし今、社内に「使っていないのに電源が入っている機械」に心当たりがあるなら、今週のうちにLANケーブルだけでも抜いてみてください。それだけで、この記事に書いたことは起きなくなります。
運営元からのご案内（法人・個人事業主の方へ）
この記事のようなネットワーク・パソコン・サーバーのトラブルや、導入・保守のご相談は、このサイトを運営している株式会社ヒューマンシスコム（千葉市）で承っています。
※ご相談は法人・個人事業主の方に限らせていただいています。個人のお客様からのご相談（ご家庭のパソコンやスマートフォンなど）はお受けしていません。
お問い合わせ（公式サイト）
