応用：改竄の検知

応用：改竄の検知

これまでトラブル事例からサービス監視の必要性と典型的な仕組みについてを説明しましたが、この仕組みは他の監視にも応用が利く方法です。今回は改竄検知への応用について説明します。不正アクセスの検知は、複数の方法を用意すべきですが、その中の1つとして改竄検知は有効なものです。

   サービス監視の仕組みを使った改竄検知の方法は大きく2つあります。

方法1

固定文字の比較

方法2

マスタページと公開ページの比較

方法1：固定文字列の比較

方法1の仕組みは図3のようになりますが、基本的に図1とほとんど同じで、違う点は改竄検知と判断する方法です。正常稼動時は固定のページ（＝固定文字列）となります。
 

図3：改竄検知の仕組み（方法1）

ここでは正常稼動時と異なるページが表示されたとき（＝異なる文字列のとき）に改竄検知と判断し、障害として通報します。

 

方法2：マスタページと公開ページの比較

この方法の仕組みは、図4のようになります。
 

図4：改竄検知の仕組み（方法2）
（画像をクリックすると別ウィンドウに拡大図を表示します）

サービス監視システムから2パターンでアクセスを行います。
 

それぞれのページを比較した後（図4-3）、2パターンの結果が異なる場合は改竄とみなし、障害通報します（図4-4）。

改竄検知方法の1と2にある共通ポイントとしては「ページの重要性」があります。何百何千ページと公開ページがある場合、すべてのページに対してこの作業を実施すると、検知するまでに数時間を必要となります。そうなると改竄を発見するのが遅れてしまい、本来の目的を達成できません。しかしページによって重要度が異なるのが一般的であり、重要度に合わせて、改竄検知の頻度を変更することが現実的な対応になります。
 

図5：ページの重要度と改竄検知の頻度についての例

例えば、トップページとトップページから何回もリンクを経由して表示されるようなページ（奥のページ）に対して考えてみましょう。トップページはシステムの玄関であり、利用者は必ずアクセスします。そのため重要性が高いと考えられ、改竄検知の頻度を多くすべきです。逆に奥にあるようなページは利用頻度が低く、重要性も低いと考えられるため、頻度を少なくしても問題ないといえます。

 

今回のまとめ

今回のまとめです。障害に対する監視方法は様々なものがあり、サービス監視の必要性について例をあげて説明しました。またサービス監視は、障害原因の絞り込みや改竄検知など応用の利く監視であることを説明しました。
 

障害発生後、素早く対応できるように、障害監視を考えましょう

• サービス監視は必要です
• 大規模システムの場合、サービス監視を発展させ、障害原因の絞り込みまで行うと非常に有効です
• サービス監視を応用し、パフォーマンス監視や改竄検知を行うことも可能です

次回は、クライアントPCなどの利用環境を切り口とした内容を説明します。