組織におけるネットワーク管理とセキュリティ対策について

大阪市立大学を含む大学や企業を対象に

中野秀男(大阪市立大学 学術情報総合センター)


1. はじめに

 本報告では、大阪市立大学における学内のネットワーク管理とセキュリティ
対策について述べる。他の大学や企業のネットワーク管理やセキュリティにつ
いては、当事者が報告するべき性質のものであり、特にセキュリティ対策は外
に漏らさない事自体がセキュリティ対策であるので、本報告の文章では一般的
な記述にとどめ口頭での発表にする。コンピュータシステムも含めネットワー
ク管理に王道はなく、また属人的な要素も多いため、本報告は著者の1つの意
見であると捉えていただけると幸いである。

 各章は大阪市立大学でのネットワーク管理とセキュリティ対策の事例から説
明を始め、後段で他の大学や企業や公共的な組織について触れる。

2. キャンパス/企業/組織内ネットワーク

2.1 大阪市立大学キャンパスネットワーク

 大阪市立大学のキャンパスネットワーク(以下、OCUNET)は、学術情報総合セ
ンターが開設された1996年10月から正式に運用が始まった。大阪市立大学はキャ
ンパス的には杉本キャンパスと医学部系がある阿倍野キャンパスに大きく分か
れる。

 両キャンパスでは独自にVLANのATM網を構築しており、キャンパス間はATM的
には接続していない。VLANの特質は建物が分かれていても組織(例えばある学
科とその実験設備や、離れている生協や教職員組合)内で同じサブネットが切
れる点にある。OCUNETの基幹部ではIPしか通さないため、Windows系のNetBEUI
でファイル共有等を研究室単位や生協等の行う場合は便利なようである。

 本学のATM網ではサブネット間のMulticastが現在はできないため、業者と協
力してMulticastの利用を実験中である。これは、これから盛んになる動画の
中継やテレビ会議でのトラフィック軽減を期待するからである。

2.2 OCUNETにおけるネットワーク管理組織

 本学のネットワーク管理は基幹部や対外接続等の部分を、学術情報総合セン
ターがネットワークセンター的な機能をもつため、その担当者が運用を行って
いる。学術情報総合センターには12名の専任教員がおり4つの部門に分かれて
いるが、その1つがネットワーク部門であり、この部門の教員を中心に新しい
環境の設定や大きなトラブル対応にあたっている。事務部門には数名の技術職
員がおり、勤務時間中は常駐の外注のネットワーク監視室要員(1名)とともに、
日々の運用のチェック等を行っている。教員サイドにはトラブル事にはメール
で連絡が届き、事態の大きさや種類に応じて対応を変えて処理している。今年
度から、情報システム相談室が事務部門に設けられ、大学院生が1名詰めてい
る体制を取っている。

2.3 組織内ネットワーク

 大学のネットワーク環境は古くはJUNET時代のボランティア体制から始まった
所が多く、逆に新しくキャンパスネットワークを構築した大学は最初から業者
が入った体制で望んでいる。ただネットワーク技術は日進月歩であるだけに、
ネットワーク技術の現状や近未来に造詣が深い教員や事務員がいるかが常に先
端のネットワークでいられるかの差になる。

 企業のネットワークの場合には、ネットワーク構築や管理を自社で行うか外
部に委託するかが大きな分かれ目になる。一般に情報系の企業ではなるべく自
社で、情報に対してユーザ的な企業は外部に委託するのが良いと著者は考えて
いる。情報系企業でもセキュリティ対策等の更に専門の知識が要求される場合
には他の企業やコンサルティングに設計や管理を依頼するのが良い。逆にユー
ザ系の企業の場合は利用形態は担当者が熟知しているので、その知識を以下の
委託会社が実現してくれるかが勝負になる。

2.4 組織内のセキュリティ対策

 セキュリティ対策は主に外部からのアタックの対策が多いので4章で大きく
取り上げるが、ここでは簡単に触れる。一般にセキュリティ対策に対しては内
部の管理者達にたいするものと、ユーザに対するものに分けて考えるのが良い。
ユーザに対してはあまり不安を抱かせない方が良いので、パスワード教育程度
にとどめ、できるだけ内部の管理者の管理技術で守るべきだろう。

3. 基幹ネットワークと支線ネットワーク

3.1 大阪市立大学の基幹部と支線部

 OCUNETでは支線LANという名称で各部局(学部等)のネットワークを呼んでいる。
各部局にはサブセンターが置かれ、ネットワークサーバが設置されている。全
学のネットワーク管理者と各部局のネットワーク管理者の責任分界点は、この
サブセンターのサーバの管理となっている。したがって基幹ネットワークから
支線ネットワークに入るATMのHUBの部分は全学の担当者が主に担当し、各学科
や研究室に入る部分は各部局のネットワーク担当者が運用することになる。と
は言っても工学部や理学部のように理系の学部と商学部を始めとする文系の学
部では守備範囲が異なる。

 今年度、情報システム相談室が設置され、大学院生のサポートも受けられる
ことから、各部局と個別に相談を行い守備範囲の確認を行った。この守備範囲
にはName
 serverのようなものからホームページ作成のサポートまで含まれている。サー
バの管理の分担は工学部のようにまったく学部に任せる方式から文系の学部の
ように全学の担当者が基本的に運用を行う方式までまちまちであるが、これは
仕方がない事である。

 大阪市立大学には10名程度の教員組織(我々もそうであるが)や2名の独立し
た研究室もあり、それぞれにサブドメイン名で運用しているため、それらに対
するケアも必要になる。更に後援会や生協や教職員組合等の大学本来の業務を
補完する組織とはOCUNETのAUP(利用ポリシー)を遵守してもらいながらや、
学内のネットワークとして運用しているため、ネットワーク管理はそれぞれ独
自に運用してもらいながらも、セキュリティ対策には足並みを揃える必要がで
てくる。

 また、大阪市の中心地の梅田にある文化交流センターは広く学外に開かれた
窓口として機能しているため、ISDN回線で当面はSOHO的な接続を行い、徐々に
遠隔講演や対話形式のパネルディスカッションに利用することを考えている。

3.2 組織におけるネットワーク管理体制

 大学にしても企業にしてもネットワーク管理の階層をどのように構築するか
は重要な問題である。大学の場合は程度の差はあれ、また誰が担当するかの差
はあれ、全学のネットワークの担当者があり、そこが各学部まで担当するかど
うかは多かれ少なかれ3.1で述べたOCUNETの場合とそれほど差はない。大きな
違いは我々のようなセンター組織の専門家の教員がいるかであろう。

 JUNET時代から大学のネットワーク管理は(良い意味での)ハッカーと称される
若者がイニシアティブを取って運用を行ってきた。全学のネットワーク担当者
が任命されてからは、彼らの一部は全学の担当者になり、他は学部や学科や研
究室のネットワークやサーバの管理者になっている。彼らの多くは論文を書か
ない(そのような時間がとれない)ため処遇の問題が出ている。

 企業の場合は、大学と違って全社情報システムを構築する場合が多く、単に
ネットワークやそのサーバシステムの管理だけでなく、情報システム全般に渡
る管理が必要になる。しかし、2.3で述べたように企業でも情報系の企業はと
もかく情報に対してユーザ系の企業では能力のあるネットワーク管理者を維持
するのは難しい。この場合は外部に運用を委託するか、社内のパソコン通の若
者を応急管理者にせざるをえない。
 ネットワークや情報システムのサーバ管理ではUNIX派とWindows NT派に分か
れるが、企業の場合にはNTが大学に比べて多く、「眠れない管理者」を生むこ
とになっている。

3.3 組織内のセキュリティ対策

 大阪市立大学の場合のセキュリティポリシーは、適当な危ないパケットは通
さない事と、サブセンター等のサーバのパスワードは破られないものをつけな
い程度の緩いものになっており、各部局ではそれに準じるか、それ以上きつい
セキュリティポリシーで対応してもらうことを期待している。

 多くの大学ではこのように厳しいfirewallは作らずに、上記のようなパケッ
トフィルタリング程度のセキュリティ対策である。これは国内外の研究者と共
同研究をしたり、在外研究員などで外部からアクセスする場合が多いため、比
較的緩いセキュリティになっている。

 企業の場合は強固なfirewallを構築することが不可欠で、これは外部からの
アタックに備えるだけでなく、企業の内部からの情報漏れを防ぐという意味も
ある。制約の厳しい企業では電子メールは内部だけにとどめられている場合や、
外部に発信するのは業務として認められた人のみが可能な場合もある。

4. インターネット接続

4.1 大阪市立大学におけるインターネット接続

 OCUNETでは正式運用開始以来、大阪大学大型計算機センターが中心になって
運用しているORIONS(大阪地域大学間ネットワーク)を通してインターネット接
続を行ってきた。しかし昨年度からホームページ利用者が増し、ダウンロード
に時間がかかるためユーザから苦情がたえず、1998年4月から商用プロバイダ
も併用してインターネット接続を行っている。現在はORIONSへは1.5Mbpsで接
続され、WCNに6Mbpsで接続されている。

 このような接続は一般にマルチホームと言われている。各大学ともホームペー
ジの利用は爆発的に伸びており、就職活動にも利用されるため、本学のように
商用プロバイダと学術ネットワークを併用する場合が増えてきている。マルチ
ホームの手軽な実現方法は、ホームページの利用のみを商用プロバイダから取
り込む方法で、商用プロバイダからのネットワークにProxyサーバを置く事で
実現できる。しかし、この方法ではホームページ以外の利用では相変わらずト
ラフィックの混みが大きいと予想されるため、OCUNETでは商用プロバイダにも
協力してもらってBGP技術を使ってマルチホームを実現させている。このよう
なBGPを使ったマルチホームの実現には、それに伴うルータの導入や設定が必
要であり、ある程度しくみの理解できる管理者も必要になってくる。マルチホー
ムのおかげで、今まで上位のネットワークの切断による学内からの苦情が緩和
され、また増速によってホームページ閲覧が快適になり喜ばれている。

 現在、インターネットとの接続では5分単位や30分単位でのトラフィックを監
視しており、30分単位の観測データは日々メールの形でネットワーク管理者に
届くようになっており、主なポート単位のトラフィックは学内の対応する全学
的な委員会でも報告されている。どの組織でも同じ傾向にあると思うが、ホー
ムページ系のトラフィックが全体の70%から80%を占める。

 ネットワークトラフィックの測定はパケットの取り込みで行われるが、これ
はプライバシーの侵害にもつながる恐れがあり、ネットワーク管理者としても
慎重に対処する必要がある。委員会でもこの問題は取り上げられたが、現状で
は「地方公務員としての守秘義務」を根拠にネットワーク管理者に自制を求め
ている。

4.2 組織におけるインターネット接続

 ここ数年の商用プロバイダの乱立は接続費用の値崩れを起こし、またWWWシス
テムの興隆は高速なインターネット接続の必要性を喚起している。とは言って
もまだインターネット=遊びと捉える経営者や、逆にクラッカーからのアタッ
クを恐れる(上位)管理者は多い。そのため組織としてのインターネット接続速
度は遅く、各部門で勝手に商用プロバイダに電話で接続して情報を得ている場
合も多いようである。

 大学の場合は今年度から本学のように商用プロバイダとのマルチホーム接続
が増えてきたことは先ほど述べたが、これは特に私学のように生き残りをかけ
た戦略とも関係すると見ている。

 インターネット接続もSOHO技術によってISDN電話を使うことで必要なときに
だけインターネット接続すれば良い技術が出てきており、更にはNTTのOCNエコ
ノミーで代表される第1種通信事業者による比較的安価な128Kbps接続が実現
されるようになってくると、月3万円から4万円程度で常時接続が実現できる。
しかし、この常時接続の容易性は逆にアタックしやすいサーバを生むことになっ
ている。著者も自宅には常時128Kbps接続のインターネットがきており、独自
ドメインをあげているため、大学ではネットワーク管理の指揮を執りながら、
自宅では一介のネットワーク管理者として、これから述べるSPAM対策を行わね
ばならず、便利さと危険が表裏一体となっている。

4.3 インターネット接続でのセキュリティ対策

 組織のネットワーク(イントラネット)をインターネットに接続すれば、当然、
インターネット側からのアタックは覚悟しなければならない。最近ではアタッ
ク本も書店に平積みされる時代になっており、「攻めるのはますます易しく、
守るのはますます難しい」状況になってきている。

 その典型な例の1つがSPAMメールの踏み台攻撃であろう。SPAMメールとは郵
便でいうDMのことで、一般にユーザが希望していないメールが届くことである。
踏み台攻撃とは自分の利用しているプロバイダ等からメールを送信せずに、セ
キュリティの甘いメールサーバを経由してSPAMメールをばらまくことを意味す
る。昨年ぐらいから顕著になったこの攻撃はインターネットに接続されたほと
んどのメールサーバが被害にあったといってよいほどである。しかし、これを
防ぐためにはメールサーバの設定の変更が必要であり、少し高度な技術が必要
である。また、堤防の1隅でももれれば洪水が起こるように漏れがあっては困
るという点がやっかいである。例えば、自分のメールサーバで対策を講じても、
親切心を出して学内からのメールなら大丈夫だから中継すると、学内のメール
サーバに対策が施されていないと踏み台攻撃を受けることになる。本学ではメー
ルサーバ等のサーバの管理者を集めたメーリングリストを作成し、踏み台攻撃
チェック等の方法を示して個別の対策を行っている。

 企業の場合はfirewallを設けてメールは一旦全社のメールサーバで受ける場
合が多いので1個所の防御で対応可能である。しかし、それも技術力のある企
業や管理に費用が使える物分かりの良い(上位)管理者がいる企業の場合で、ひ
どい場合には商用プロバイダ自体がSPAMの踏み台攻撃を受ける場合もある。こ
の攻撃の困った点は、SPAMメールの発信アドレスを偽造できる点で、これをや
られるとエラーメールが山のように「なりすまされた」ユーザに返ってきて業
務に支障をユーザ、更にはユーザの所属する組織に与えることになる。業務へ
の支障は更にはネットワーク管理者に対する仕事の増加も意味する事になる。

 インターネット上ではこのようなアタックや、それを受ける元となるセキュ
リティホールが見つかっており、ネットワーク管理者は日々そのような情報の
収集に努めておかねばならない。このような情報は適用なホームページやメー
リングリストや口コミで収集される。

5. 学術情報総合(メディア)センター内ネットワーク

5.1 学術情報総合センター

 大阪市立大学では1996年10月から学術情報総合センター(以下、センター)と
名づけられたセンターを開設した。英語名はメディアセンターであり、従来か
らあった図書館と計算センターを組織的にも合体させ、更に電子図書館機能、
ネットワークセンター機能、データベース/マルチメディアセンター機能、情
報処理教育センター機能を併せ持ったセンターである。最初にも述べたように
センターには4部門12名の専任教員がおり、大学教員の使命である教育と研究
以外にセンターの基盤支援を行っている点が他の大学との大きな違いであろう
か。

 従来、紙ベースであった図書館や大型計算機ベースであった計算機環境を、
電子図書館機能や分散計算機環境を加えるのが大きな目的であったが、我々、
専任教員が技術的なサポートをボランティア的ではなく本来業務としてやって
いるところに特色があると考えている。

5.2 学術情報総合センターにある情報システム

 センターには複合されたセンターと考えられ、多くの機能を併せ持っている
が、それらは以下のような情報システムやそのサブシステムとして実現されて
いる。それらを箇条書きしてみる。

・ライブラリーサービス
  ・蔵書検索(OPAC)
  ・全文データベースシステム
  ・2次情報サービス(各種文献検索:学内限定)
  ・古文書マイクロフィルム画像検索システム
・情報処理サービス
  ・並列処理サーバ
  ・図形画像処理サーバ
  ・汎用計算機
・ネットワークサービス
  ・各種ネットワークサーバ
  ・WWWサーバとProxyサーバ
  ・教職員や学生の電話によるアクセスサービス
・情報処理教育システム

 この中で最後の情報処理教育システムについては参考文献[1]が詳しいの省略
する。ようするに図書情報も含めてあらゆる情報を提供しているセンターであ
る。

 この中でネットワークはキャンパス基幹網であるATM網のVLAN機能を使って、
機能やシステムやクライアント系群の構成にあわせてサブネット別に分けられ
て運用されている。サブネットに分ける目的はトラフィックの適正な分散であ
るが、それ以外にも運用ポリシーやセキュリティポリシーに応じてパケットの
フィルタリングがサブネットに分けることによって実現できる。例えば上のシ
ステムの中でOPACは蔵書検索システムであり、当然、インターネットから自由
に閲覧できる。センター内にはこのOPAC端末が20台以上館内に配置されている。
この端末は現在Windows NTを使ってNetscape Navigatorをクライアントソフト
ウェアとして使用しているが、このソフトウェアではメールやニュースが利用
できる。そのため、OPAC端末群は1つのサブネットに入り、このサブネットか
らはメールやニュースが使えないようになっている。また、一般的なホームペー
ジを見るソフトであるため、隠れて蔵書検索以外のホームページを見ることが
できるので、現在は学内利用に制限している。

5.3 電話によるアクセスサーバ

 いわゆる商用プロバイダの個人接続サービスであり、教職員用23回線と学生
用23回線が用意されている。この分野の進歩は早いためPHSのPIAFサービスは
サポートされてないが、ほぼ3年前の最新アクセスサーバを導入したためほと
んど無保守でサービス実行中である。そろそろ、この合計46回線もテレホーダ
イ時間帯には混雑しているため回線の増設を考えているが、近年の安価な商用
プロバイダの出現を考えたとき、どこまで大学がこのようなサービスを継続さ
せるかについては議論が必要になる。商用のプロバイダやSI業者に委託してこ
のようなサービスを行っている大学もあるし、全面的に商用プロバイダを使う
ことを薦めている大学もある。ただ、最後の場合には大学に届いたメールを自
宅で商用プロバイダを通して入手するためパスワードが直接流れないプロトコ
ルでしか利用できないように限定させるとか、学内にTelnetする場合にはSSL
やSSHの仕組みの暗号系を利用したアクセスしか許さない等のセキュリティ的
な配慮が肝要になる。ただし、アクセスできるアプリケーションを限定した場
合にはWindows系のOSでしか動かないなどの別の問題点も起こってきており悩
ましいことである。

 OCUNETのこのアクセスサービスでは、教職員はインターネットを自由に利用
できるが、学生(大学院生を含む)が学内に利用は限定され、Proxyサーバを利
用することでホームページを閲覧できるようにしている。したがって学生はイ
ンターネットにはTelnetもFtpも利用できない。この学生のアクセスに認証に
は情報処理教育システムのアカウントが利用されており、アカウントの管理は
ネットワーク部門では教職員だけですむようになっている。

5.4 情報コンセント

 センターにはおよそ4500の情報コンセントが設置されている。壁の下側面に
取り付けられていたり、カーペットの下に埋もれていたり、自習室のテーブル
の中に入っていたりする。この情報コンセントは電話系とも混在が可能になっ
ていてパッチ盤で切り替えられるようになっている。

 この情報コンセントが、5.2で示した多くの情報システムのネットワーク部分
を構成しているが、それ以外に会議室や開架式閲覧室に設置されている。これ
らの情報コンセントは公開の場にある情報コンセントと呼ぶが、職員等が日ご
ろ目がいつも届いて管理している場所ではないという意味で「公開の場所」と
いう言い方をこれからはする。

 このような公開の場所にある情報コンセントはいずれもDHCPをサポートして
いるが、センター内では3つのサブネットに分けている。1つ目は会議室等で原
則的に教職員が予約して利用する場所にある情報コンセントである。このサブ
ネットには制限を加えていない。教職員を信用しているということと、責任の
所在がわかりやすいという点もある。あとの2つは研究者(大学院生を含む教職
員)と一般の学生が使えるゾーンである。研究者用の情報コンセントは実験的
に地下1階の学術雑誌閲覧室に利用できるが紙ベースの申込書に記入してもら
うことで不正利用を防止している。

 情報コンセントに学生が自由に持ち込んだパソコンを接続してインターネッ
ト利用してもらうのはもっともな利用方法とおもえるが、不正利用の現状を知
る立場にあるネットワーク管理者から見れば不安のある利用方法と映る。幾つ
かの大学で、このパソコン接続利用のための仕組みを考えているが(MACアドレ
スの登録が多い)、これからの1つの問題点といえる。

 公開の場のインターネットという見方からは、自治体などの公共機関が設け
る「公共端末」の管理の問題が出てくる。著者は大阪市内で情報化のあるプロ
ジェクトメンバーにもなっているが、公共機関に置いた端末の利用もそのテー
マの1つになっている。この目的は老齢者や障害者も含めて使いやすい端末の
開発であるが、使った人のプライバシー保護も対象になっており、広い意味で
のセキュリティと捉えている。

6. むすび

 本報告では大阪市立大学でのネットワーク管理やセキュリティ対策を事例と
して取り上げながら、その一般的な問題点を組織のそれらにまで広げてみた。
学術情報総合センターのホームページ

http: www.media.osaka-cu.ac.jp/

や参考文献でもセンターが紹介されているが、実際に訪問して実感していただ
くのが一番理解が早いと思う。

参考文献

[1] 松浦敏雄、中野秀男、北克一、柴山守、Venkatesh Ragavan、安倍広多:"
大阪市立大学学術情報総合センターの機能と運用管理について",情報処理学
会研究会資料(DSM),(1996-11)

[2] 大西克実,中野秀男:"大阪市立大学の基幹ATMネットワークと情報システ
ム群",電子情報通信学会研究会資料(IN98-124),(1998-11)