Tweet

第4回 Apacheセキュリティチェック、PCI DSSの場合

PCI DSSはペイメントカード業界だけではなく、セキュリティのチェックリストにも使える、というのがこの連載の趣旨でした。では、具体的にどのようにチェックを行っているのでしょうか。今回は身近な「Apache」を題材に、セキュリティ評価ベンダがなにをチェックしているのかを解説します（編集部）

　セキュリティ評価ベンダ（QSA）によるPCI DSSの訪問審査では、文書調査やインタビューのほかに、実際のOSやアプリケーションの設定を、画面上で目視確認することで、PCI DSSの要件に対応しているかどうかを調査します。今回は、QSAとして訪問審査を実施する際に確認するシステム上のポイントを、「QSAの視点」と称して、実際のアプリケーションを例に取って解説したいと思います。

　UNIX系OSを使用している環境において、WebサーバアプリケーションとしてApacheが一般的に利用されています。対象環境にApacheがあった場合に、PCI DSSの12要件の順序ではなく、どのような点を注意深く確認するのかをご紹介したいと思います。ここで使用する環境は、Linux＋Apache 2.2.8です。

　稼働プロセスの確認

　対象範囲内のOSについては、まずネットワーク接続状況と稼働するプロセスを確認しますが、Apache httpdの存在はnetstatやpsで確認することができます。通常、インタビューや文書確認を先に行っており、Apacheが稼働していること自体はすでに分かっています。

　しかし、この時点で“稼働していないはずのApache”を発見することもあります。そういった場合は、PCI DSSの訪問審査の観点では指摘事項となるため、非準拠になります。例えば、データベースやそのほかのツールのWeb管理コンソールが、使用されていないにもかかわらず稼働しているようなケースがよく見受けられます。

　つまり、この作業が、要件2.2.2の「システムコンポーネントのサンプルを選択し、有効なシステムサービス、デーモン、プロトコルを調査する」の一部であるといえます。ここではpsコマンドでの確認方法を挙げてみたいと思います。

　ここでApacheについて確認できるのは3点、実行ユーザー、実行バイナリ、および使用されている設定ファイルのパスです。

　なぜこのプロセス情報を確認するのでしょうか。それはRPMでインストールしていようと、ソースからコンパイルしていようと、稼働しているプロセスをもとにしてこれらの情報を確認しなければ、関係のないファイルを見てしまっている可能性があるためです。例えばRPMでインストールされているパッケージは存在するものの稼働しておらず、ソースからコンパイルされたバイナリが動作している、というようなことも考えられるためです。

　httpdプロセスの実行ユーザーもここで確認できます。forkされたhttpdプロセスもすべてrootで動作していた場合、指摘対象となるでしょう。つまり、Apacheは実際のHTTPリクエストを受け付けるために子プロセスを生成するため、これらのプロセスの親プロセス1だけがrootユーザーで実行されており、それ以外の子プロセスはApache専用のユーザー、もしくはnobodyなどで起動されていることが必要です。この部分は、要件2.2.3.cの「システムコンポーネントのサンプルを選択し、一般的なセキュリティパラメータが適切に設定されていることを確認する」という項目の確認作業の1つであるといえます。

　バージョン、バイナリの確認

　起動プロセスのバイナリに-Vオプションを指定して、コンパイルオプションなどを確認します。

　これらの値はあくまでコンパイル時に指定された静的なものですので、実行時オプションやhttpd.confの内容によって変化する可能性もありますが、後半の調査のためにもコンパイルオプションを確認しておきます。通常、確認する基本的なポイントは緑色の部分となります。

1/3

Index
Apacheセキュリティチェック、PCI DSSの場合
	Page1 稼働プロセスの確認 バージョン、バイナリの確認
	Page2 サーバ全体設定の確認 実行ユーザーの設定を見る ロードモジュールを確認する
	Page3 コンテンツ関連の設定を見る ログ設定を確認する 環境に合ったセキュリティ対策を

オール・ザッツ・PCI DSS 連載インデックス

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）

RSSフィード