2008.10.10
[IP Network Skill - No.0377 -] P2P その５
‥‥……━━━━━━ IP Network Skill No. 00000377 ━━━━━━……‥‥
～ P2P その５ ～
‥‥……━━━━━━━━━━━━━━━━━━━━━━━━━━━━……‥‥
【まえがき】
お詫びが一点あります｡
６月に外資系IT企業への転職情報について載せて､
詳しく知りたい方はﾒｰﾙを返信してください､と
いう企画を行いました｡
たくさんの返信があったにも関わらず､ﾒｰﾙｻｰﾊﾞ
の設定がおかしく､正常に受信できていませんでした｡
資料請求してくださった方､大変申し訳ございません
でした｡
ﾒｰﾙを頂いた方には別途連絡させていただきます｡
外資系IT（主にﾈｯﾄﾜｰｸｴﾝｼﾞﾆｱ）への転職情報
についてご興味ある方は､本ﾒｰﾙに資料請求と記述
して返信ください｡
╋━━┳━┳━┳━┳━┳━┳━┳━┳━┳━┳━━━━━━━━━━……‥‥
┃本┃日┃の┃試┃験┃対┃策┃問┃題┃
╋━━┻━┻━┻━┻━┻━┻━┻━┻━┻━┻━━━━━━━━━━……‥‥
〔問題１〕P2Pをﾌｧｲｱｳｫｰﾙで防ぐのが難しい理由のうち､誤っている
ものはどれか｡
１．宛先ﾎﾟｰﾄ番号がﾗﾝﾀﾞﾑに変化するため
２．通信が暗号化されているため
３．ﾌｧｲﾙ要求ﾘｸｴｽﾄが既に確立されたｾｯｼｮﾝ経由で来るため
４．宛先IPｱﾄﾞﾚｽが一意でないため
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
ﾈ┃ｯ┃ﾄ┃ﾜ┃ｰ┃ｸ┃の┃基┃礎┃講┃座┃
━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛
-----------------------------------------------------------------
この企画は処女作｢TCP/IPﾈｯﾄﾜｰｸｽﾃｯﾌﾟｱｯﾌﾟﾗｰﾆﾝｸﾞ｣
http://www.Amazon.co.jp/exec/obidos/ASIN/4774116351/ipnetworksk01-22
を基に構成変更､加筆､修正､省略｡｡｡いろいろ手を加えたものです｡
TCP/IPﾈｯﾄﾜｰｸｽﾃｯﾌﾟｱｯﾌﾟﾗｰﾆﾝｸﾞは第４刷を重ねました！
講習教科書などでご利用いただいています｡
-----------------------------------------------------------------
【11．ｱﾌﾟﾘｹｰｼｮﾝﾌﾟﾛﾄｺﾙ】
11.24. P2P
11.24.4. P2Pを制限するには？
通常､ｲﾝﾀｰﾈｯﾄ上で通信に制限を掛ける場合､ﾙｰﾀでｱｸｾｽﾘｽﾄ
を記述するか､ﾌｧｲｱｳｫｰﾙでｾｷｭﾘﾃｨﾎﾟﾘｼｰを記述することにな
ります｡
ｱｸｾｽﾘｽﾄは送信元ｱﾄﾞﾚｽ､宛先ｱﾄﾞﾚｽ､宛先ﾎﾟｰﾄ番号の組み合わ
せで通信を判定します｡
ｾｷｭﾘﾃｨﾎﾟﾘｼｰもほぼ同様で､HTTPなど一部のﾌﾟﾛﾄｺﾙのｱﾌﾟﾘｹｰ
ｼｮﾝﾍｯﾀﾞを見て制御できるものもあります｡
ﾙｰﾀのｱｸｾｽﾘｽﾄとﾌｧｲｱｳｫｰﾙのｾｷｭﾘﾃｨﾎﾟﾘｼｰは何が違
うのでしょう？
まず､ﾙｰﾀの場合､ﾊﾟｹｯﾄを｢許可｣か｢破棄｣できます｡
あるｲﾝﾀﾌｪｰｽから入って別のｲﾝﾀﾌｪｰｽへ出て行く過程で､incoming
（入力）か outgoing（出力）か､という方向の区別もできます｡
これに対してﾌｧｲｱｳｫｰﾙの場合､ｾｯｼｮﾝの状態を監視します｡
方向についても､ｿﾞｰﾝという概念を持ち､あるｿﾞｰﾝから入って別のｿﾞｰﾝ
へ出て行く通信を監視します｡
たとえば､内部ｿﾞｰﾝから外部ｿﾞｰﾝへ出て行くTCPのSYNﾊﾟｹｯﾄは通過を
許すが､外部ｿﾞｰﾝから内部ｿﾞｰﾝへ入っていくSYNﾊﾟｹｯﾄは許可しない､
という感じです｡
また､外部ｿﾞｰﾝから入ってくるHTTPﾘｸｴｽﾄに関してのみ､DMZｿﾞｰﾝ
のHTTPｻｰﾊﾞへSYNを送ることが可能､というような条件も付けられます｡
前置きが長くなりましたが､P2Pを制御する場合を考えて見ましょう｡
P2Pの宛先ﾎﾟｰﾄは､HTTPで80番が定義されているのとは異なり､ｳｪﾙﾉｳﾝ
ﾎﾟｰﾄでﾕｰｻﾞが勝手に決めることができます｡
またWinnyのPort0ﾉｰﾄﾞのように､外部ﾉｰﾄﾞを介してｺﾈｸｼｮﾝを確立
し､外部からのSYNﾊﾟｹｯﾄがﾌﾞﾛｯｸされている状態でもﾌｧｲﾙ要求を
受け入れることができてしまいます｡
P2Pの場合､ｻｰﾊﾞとなるﾉｰﾄﾞはｲﾝﾀｰﾈｯﾄ上に散らばっていて､
ｱｸｾｽﾘｽﾄで宛先を羅列していくことはできません｡
そのため､ﾙｰﾀやﾌｧｲｱｳｫｰﾙでP2Pﾄﾗﾌｨｯｸを制御することは
通常できません｡
-------------------------------------------------------------------
【補足：ﾙｰﾀのｱｸｾｽﾘｽﾄ】
ﾙｰﾀのｱｸｾｽﾘｽﾄについて復習しましょう｡
CiscoのIOSを例にすると､標準ｱｸｾｽﾘｽﾄと拡張ｱｸｾｽﾘｽﾄがあり
ます｡
[標準ｱｸｾｽﾘｽﾄ]
(config)# access-list acl-num [ permit | deny ] source
例）
(config)# access-list 10 permit 192.168.1.0 0.0.0.255
ｱｸｾｽﾘｽﾄ番号＝10､192.168.1.0/24というﾈｯﾄﾜｰｸを送信元とする
通信を許可する､という例です｡
[拡張ｱｸｾｽﾘｽﾄ]
(config)# access-list acl-num action protocol source [port] destination
[port] [option]
例）
(config)# access-list 110 deny tcp any host 10.1.1.1 eq 80 syn
ｱｸｾｽﾘｽﾄ番号110番で､すべての送信元から10.1.1.1というｻｰﾊﾞ宛の
TCPﾎﾟｰﾄ80番通信について､SYNﾌﾗｸﾞが立っているﾊﾟｹｯﾄが到着したら
通信を拒否する､という例です｡
補足）
"port" には以下のｵﾌﾟｼｮﾝがあります｡
eq num: 一致したﾎﾟｰﾄ番号
neq num: 一致しないﾎﾟｰﾄ番号
gt num: num より大きいﾎﾟｰﾄ番号
lt num: num より小さいﾎﾟｰﾄ番号
range num1 num2: num1 以上 num2 未満のﾎﾟｰﾄ番号
"option" には以下のｵﾌﾟｼｮﾝがあります｡
log: ﾄﾗﾌｨｯｸをﾛｸﾞに記録
established: TCP の ACK または RST ﾌﾗｸﾞが立っているﾊﾟｹｯﾄ
syn: TCP の SYN ﾌﾗｸﾞが立っているﾊﾟｹｯﾄ
ack: TCP の ACK ﾌﾗｸﾞが立っているﾊﾟｹｯﾄ
fin: TCP の FIN ﾌﾗｸﾞが立っているﾊﾟｹｯﾄ
psh: TCP の PSH ﾌﾗｸﾞが立っているﾊﾟｹｯﾄ
rst: TCP の RST ﾌﾗｸﾞが立っているﾊﾟｹｯﾄ
urg: TCP の URG ﾌﾗｸﾞが立っているﾊﾟｹｯﾄ
【ﾌｧｲｱｳｫｰﾙのﾎﾟﾘｼｰ】
ﾙｰﾀの場合､ﾃﾞﾌｫﾙﾄﾎﾟﾘｼｰは "permit" です｡
つまり､何もｱｸｾｽﾘｽﾄを設定しなければ､すべての通信を通過させます｡
通信の中継器ですから､通過させて当然です｡
ﾌｧｲｱｳｫｰﾙの場合､ﾃﾞﾌｫﾙﾄﾎﾟﾘｼｰは "deny" です｡
ｾｷｭﾘﾃｨを守る機械なので､最初は何も通しません｡
通しても良い通信だけ､ permit ﾎﾟﾘｼｰを作っていきます｡
ﾌｧｲｱｳｫｰﾙは､ﾙｰﾀと違ってｿﾞｰﾝの概念があります｡
たとえば以下はNetScreenﾌｧｲｱｳｫｰﾙの例です｡
set policy from untrust to dmz r-mail_svr mail_svr MAIL permit
untrust (外部) ｿﾞｰﾝから dmz (DMZ) ｿﾞｰﾝへの通信について､r-mail_svr
（これは別途ｺﾏﾝﾄﾞでuntrustｿﾞｰﾝ側にあるIPｱﾄﾞﾚｽが定義されている｡）
からmail_svr（DMZ側のｻｰﾊﾞのｱﾄﾞﾚｽ）宛てのﾒｰﾙ通信（ﾎﾟｰﾄ番号が
別途定義されている）を許可する､というものです｡
ﾙｰﾀであれ､ﾌｧｲｱｳｫｰﾙであれ､IPｱﾄﾞﾚｽ､ﾎﾟｰﾄ番号､
TCPのﾌﾗｸﾞといった情報がないと､拒否すべき通信を判定できません｡
-------------------------------------------------------------------
P2Pﾄﾗﾌｨｯｸを制御するには､以下の装置を使います｡
･IDS/IPS (不正侵入防止装置)
Intrusion Detection System や Intrusion Prevension System の略｡
ﾈｯﾄﾜｰｸﾄﾗﾌｨｯｸを受信し､ｱﾌﾟﾘｹｰｼｮﾝﾃﾞｰﾀの内容を解析
して､異常がないかを確認する｡
ｱﾝﾁｳｲﾙｽ（AV）ｿﾘｭｰｼｮﾝの場合､ﾌｧｲﾙ単位でｽｷｬﾝする
が､IDSやIPSはｱﾌﾟﾘｹｰｼｮﾝﾌﾟﾛﾄｺﾙの制御ﾍｯﾀﾞやﾍﾟｲﾛｰﾄﾞを見
て通信特性（振る舞い）を元に異常がないか判断する｡
･ｱﾌﾟﾘｹｰｼｮﾝﾌｧｲｱｳｫｰﾙ
通常のﾌｧｲｱｳｫｰﾙはﾎﾟｰﾄ番号ﾚﾍﾞﾙで判別しますが､ｱﾌﾟﾘｹｰ
ｼｮﾝﾌｧｲｱｳｫｰﾙは特定のﾌﾟﾛﾄｺﾙに対してIPS機能が付いている
ようなもの｡
P2P用のｱﾌﾟﾘｹｰｼｮﾝﾌｧｲｱｳｫｰﾙもある｡
UTM (Unified Threat Management) 製品もIPS機能がついたﾌｧｲｱｳｫｰﾙ
といえます｡
･ﾌﾟﾛｷｼｱﾌﾟﾗｲｱﾝｽ
ｾｷｭﾘﾃｨ機能付きのﾌﾟﾛｷｼ製品を使うと､ﾌﾟﾛｷｼがｸﾗｲｱﾝﾄ側
ｾｯｼｮﾝを終端したときに､P2Pﾄﾗﾌｨｯｸかどうかの判断ができる｡
これを元に制御する｡
要するに､ﾄﾗﾝｽﾎﾟｰﾄ層までしか検知できないﾙｰﾀやﾌｧｲｱｳｫｰﾙ
ではなく､ｱﾌﾟﾘｹｰｼｮﾝ層のﾃﾞｰﾀをﾁｪｯｸする機能のある通信装置を
選ばないと､P2Pで知らない間に内部情報が流出する､というようなことを
完全に防ぐことはできないということです｡
ｳｲﾙｽに感染して､本当に知らない間に流出するのを防ぐために､ﾊﾟｿｺﾝ
にｱﾝﾁｳｲﾙｽｿﾌﾄを入れておく､ということも重要です｡
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
かんたんﾈｯﾄﾜｰｸ入門
http://www.amazon.co.jp/exec/obidos/ASIN/477412124X/ipnetworksk01-22
第５刷好評発売中！
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
解┃答┃と┃解┃説┃
━┛━┛━┛━┛━┛
《本日の試験対策問題》
（解答）２
（解説）
通信が暗号化されていると､ｱﾌﾟﾘｹｰｼｮﾝﾃﾞｰﾀの
中身を解読することができません｡一部のP2Pｿﾌﾄ､
たとえばWinnyでは暗号化をｻﾎﾟｰﾄしていますが､
暗号化はあくまでｱﾌﾟﾘｹｰｼｮﾝﾃﾞｰﾀ部であり､
ﾌｧｲｱｳｫｰﾙでﾁｪｯｸの対象となるﾈｯﾄﾜｰｸ
層やﾄﾗﾝｽﾎﾟｰﾄ層の情報は暗号化していません｡
そのため､暗号化のｻﾎﾟｰﾄというのがﾌｧｲｱｳｫｰﾙ
で防ぐことができない直接の原因ではありません｡
それよりも､P2Pはｲﾝﾀｰﾈｯﾄ上に散らばった無数
のﾉｰﾄﾞ（ｻｰﾊﾞ）とやりとりが行われるため､
ﾌｧｲｱｳｫｰﾙでIPｱﾄﾞﾚｽによるﾎﾟﾘｼｰを記述
したくても特定できず､すべてのｱﾄﾞﾚｽを意味する "Any"
という値にせざるを得ません｡
ﾎﾟｰﾄ番号も同じで､特定の番号が決まっていないので
これも "Any" とするしかありません｡
また､ｿﾞｰﾝ特定を行ったとしても､一部のP2Pでは外部
から内部へのﾘｸｴｽﾄについては､代理ｻｰﾊﾞを介して
内部から外部への通信に変換してしまうことができます｡
ﾙｰﾀのACLやﾌｧｲｱｳｫｰﾙではP2P通信を防ぐのは
難しく､ｱﾌﾟﾘｹｰｼｮﾝﾃﾞｰﾀの中身まで解析できる
装置が必要になります｡
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◆◆◆◆◆◆ ┃ あとがき ┃ ◆◆◆◆◆◆
５月のｺﾞｰﾙﾃﾞﾝｳｨｰｸは祝日が３日あるため､土日と
合わせると５連休となります｡
2009年の５月は､３日の憲法記念日が日曜で､その後４日
と５日がそれぞれ祝日のため､振替休日が６日の水曜日に
発生し､５連休となります｡
５月４日がみどりの日となったのは昨年の2007年からです｡
ちなみにみどりの日は1989年から2006年まで4月29日でした｡
4月29日はご存知のとおり､昭和天皇の誕生日です｡
振替休日は1973年に制定されました｡
もともと５月４日は｢国民の祝日｣と呼ばれていました｡
これは1985年に､｢２つの祝日に挟まれた平日を休日とする｣
として誕生したものです｡
2003年から敬老の日が９月第３月曜に移動されました｡
2009年は敬老の日が９月２１日､そして秋分の日が９月
２３日であり､２２日が｢国民の祝日｣となります｡
来年は５月と９月に５連休ができます（土日が休日で
ある前提）！
adzuki
………………………………………………………
IP Network Skill vol.000377 10/10/08
発行者=adzuki http://www.xai.nu/ipnet
…………… ｉｐｎｅｔ７＠ｘａｉ．ｎｕ ……
◎￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣◎
｜ 新規購読･購読解除･ﾊﾞｯｸﾅﾝﾊﾞｰ ⇒ http://www.xai.nu/ipnet
｜ IP Network Skill 掲示板
｜ ⇒ http://www.xai.nu/cgibin/ipnet/bbs.cgi
｜ ﾊﾞｯｸﾅﾝﾊﾞｰ一覧
｜ ⇒ http://xai.nu/ipnet/stack/index.html
｜ 間違いご指摘
｜ ⇒ ﾒﾙﾏｶﾞにｺﾒﾝﾄを添えて返信ください｡
◎＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿◎
友達にﾒｰﾙで教える
語学･資格ﾗﾝｷﾝｸﾞﾄｯﾌﾟ
まぐまぐｱｰｶｲﾌﾞﾄｯﾌﾟ
お問い合わせ
(C)まぐまぐ
ﾒﾙﾏｶﾞﾄｯﾌﾟ(記事一覧)へ
前|
最新号
|
次
