【調査】自治体サーバー、大半がセキュリティーに欠陥

★自治体サーバー、大半が安全上の欠陥

・政府や自治体が運営するウェブサイトなどのサーバーの大半は、安全上の欠陥を含む古い
　基本ソフト（ＯＳ）やソフトウエアを利用。迷惑メールなどを不正に中継するサーバーも８１台
　あったことが、インターネット関連調査会社バガボンド（東京）が６日、発表した調査で分かった。
　バガボンドは「５４の事例を詳しく調べたところ、内部システムに侵入できそうな例が自治体で
　１件、公立学校で８件あった」と指摘している。

　同社が３月、自治体などのサーバーを調査した結果によると、ウェブサーバーソフト３１０３件
　のうち、マイクロソフトの「インターネット・インフォメーション・サーバー４・０」が２０・１％、
　米アパッチグループの「アパッチ１・３・１２」が８・９％など、有名ソフトだけで全体の約半分は
　安全上の欠陥が報告された古い製品。対策を講じた最新版の割合は「かなり低い」という。

　通信企業ケーブル・アンド・ワイヤレスＩＤＣの技術者は「アパッチ１・３・１２は攻撃者がサーバー
　上のすべてのファイルにアクセスできてしまうなど、多くのセキュリティーホール（安全上の欠陥）
　が発見されており、大変危険」と、早急に最新版にするよう警鐘を鳴らしている。

　http://www.sankei.co.jp/news/020806/0806sha114.htm

2

あれま

ｷﾀ━━━(ﾟ∀ﾟ)━━━!!

賛成派と反対派のループ！

6

IISってインターネット・インフォメーション・サーバー
っていうんだ

　　
　　　　セ　キ　ュ　リ　テ　ィ　ー　に　血　管

某市住民コードMXで流出中

つーか、なんでバージョンアップしないのか理解に苦しむ。
バージョンアップしなくてもせめて緩和措置とかメールで配信されてるん
だからやっとけよ。（根本的な解決にはならんが・・・）

そりゃNECと富士通が作ったシステムだからな

ところでバガボンドってもともとサブカル会員制BBSから
スタートした会社じゃなかったっけ？
フランキーオンライン（死語）みたいなやつだったような記憶があるのだが。

やれって指示がないとしないからだろ
OSのCDROMとか一括管理で飛ばしたりしたら嫌味たらたらで
やってきそうだ

ナイスタイミング（ｗですか？

バガボンドからは武士道を感じられない。

ウヨ大好き産経がソースじゃん

友達のハッカーから聞いた事あるよ

これって結構前の記事では？

>>9
単純に時間と金と意欲が無いんだろうね。
3000台ものサーバを最新の状態に維持管理するのって､
すげぇ大変だろうなぁ・・・（と人事）。

問題無しと言い切れる方が問題かと。

>>13
これでも読んでろ！
http://www.bookclub.kodansha.co.jp/Scripts/bookclub/intro/intro_comics.idc?id=30586

一回導入されたら、後は業者のメンテだけだよ。普通・
OSのverupなんて予算が付くわけ無いじゃない。
民間の人はわかってないんじゃないの？

つーか国や自治体の爺たちにOSとか言ってもわからんだろ

>>16

結構前の記事。おまけに、ここにもスレがたった事が有る。

サンケイが今だしてきたのは、盛り上げるためだろうね。
「旬」だから。

>>20

あなたは役所の人なんですか？
今後は、メンテの予算も入れてね。
放置されている IIS CodeRed には、非常に迷惑しているんだから。

>20
そうそう。保守契約ってなんですか〜ってカンジだもんなぁ。

保守費用は全体の６割を占めると習ったが、
保守費用の概念すら知らない奴が多そうだな。

自治体に限らず、バージョンアップされず設置されたまま放置されている
サーバはかなりの割合だと思う。

1.3.26入れてるApacheの割合はまだ半分もいってないのでは？

セキュリティは立ち上げたときだけではなく、持続させないと意味がない
ことを知らずにWebサーバ立ち上げる人が多すぎると思う。
これはIISだとかＡｐａｃｈｅだとかいう問題じゃない。

kanteiとsoumuはさすがに最新のようだな。

>>26

首相官邸のサイトとかどこが構築してるの？
やっぱNECとか東芝？

それか東工大の研究所辺り？（これは無いと思うが）

まじっすか？まじっすか？まじっすか！
国民を11桁で処理すんな！！

>>1
ニュースソースの元になった発表はこちらです。

特定の地方自治体のサーバにnetbios共有設定など侵入および悪用の可能性
https://www.netsecurity.ne.jp/article/1/6232.html

俺んとこのは実質スタンドアローンだからまだましだけど

>>28
じゃぁ１２桁にします

俺のようなスパーﾊｯｶｰにセキュウリテーなんて意味ないのさ。

ＭＸの時代だ　　

お役所にせきゅりちーを期待しても無駄

ばぐ太のスレに夢中

ばぐ太のスレに夢精

　　（〈
　　(ﾟДﾟ)λ　ｶﾏﾄﾞｳﾏｰ ?
　　≪≫　ゝ

俺が去年まで勤めていたところは、Netscape-Enterprise/3.6 SP3 on Solaris
なんだが、これはどないだ。

問題無しと言い切れる方が問題かと。

自治体はこういうところケチるんだよな

で、情報が漏れて謝罪ですます。と。

つーか情報が漏れたら漏らしてしまった人に慰謝料として5万円前後はせめてくれない？

ApacheだろうがIISだろうが、Updateしてなきゃ危険じゃん。

役所関係はみんな専用線を全国に張り巡らして鎖国ネットを作らなきゃ
危険だな。

役所はサーバー持つな。

うち市の鯖のOSはWindows98・・・・もうアホかとバカかと

実は何処も凄ぇせきゅりていで隙が見あたらないっつー報道なら
ニュースになりもするのだろーけどねぇ

なんでこんなに公務員はバカなんですか？

住基ネット立ち上げるくらいバカだからなあ。
手に負えん。

不具合とか欠陥とか（それも致命的なもの）があるものが、
システムの世界では市場に出回っているということが、
長老たちには理解できていないのでしょう。

いざ具体的な問題が発生してあわてても遅い罠。

脳みそ　も漏れぎみでえひhiｌ」：：￥・；。・。

ソフトウェアに完成品などあり得ないからなあ。
どこかに必ず穴とかバグとか改善の余地とかがある。

大半の問題は、担当者のスキル不足が原因と思われ。

担当者なんか存在しねーよ。
サーバーがぽつんとおいてあるだけ。

Update専門に雇ってくれれば
いい仕事してやるのになあ。

大体は業者の問題だろ。

別に住基ネット立ち上げても、円滑に運用できるようなスキルを持った公務員がいるなら
勝手にすればいいんだが、それどころかホットメールのアカウントすら取れないような
糞素人の集まりなんだろ？公務員って。

大半の問題は、立案者の脳みそ不足が原因と思われ。

>>58
（･∀･）ｿﾚﾀﾞ!!

業者じゃなくて知人にｲﾝｽﾄしてもらってるんだからしょうがないね。

好学の謝礼を約束しているグループがいるそうです。

特中央官僚、議員、検察、判事、公安関係
Ａ地方警察、議員、国家公務員
等々出そうです。

勿論家族関係が網羅されている事が前提だそうです
なにに使うんでしょうかね？

地方自治体に勤めている貴方、一発勝負してみては？

導入したときにセキュリティホールが問題になるなんて考えてないから、予算がつかない。
最初に予算に入れてないと後から追加なんてなかなかできないもんよ。

公務員は文系ばっかだから仕方ないよ。全員クビ。

少しは優秀な役人が増えてほしい。というかそうでないと困る

じゃあ予算に「セキュリティ対策費」を盛り込まないとな。

>>62
公務員にはセキュリティホールじゃなくて｢保安上の穴｣と言わないと通じないです

>>56
俺、業者側の人間だけど、最近自治体の予算が厳しくて
保守契約結んでくれないんだよね。

>>57
ホントは出来るんだけど、それを隠してる人もいっぱい居ます。
コンピュータに詳しいと、管理者に任命されるんだけど、
仕事が増えるだけで人事考課に反映されないからだとか。

オレがﾊｶｰなら台帳情報盗みまくってTV局に垂れ流し
こんなシステム中止にさせるんだけどなぁ・・・

ﾊｶｰになるためにどんな勉強したらいいんですかね？
どこで勉強したらいいんですかね？
まずはなにからしましょうか？

専任の管理者だったらやってもいいが
通常の業務との兼任だったらやらない罠。

>>67
ずいぶんコンピュータ関係の仕事は軽視されてるんですね

サーバーのセキュリティーホールが問題じゃなくて
公務員のセキュリティーホールが問題といってみる

というか、思ったんだけど、各自治体にシステム担当って居るの？
市役所のＩＴ系の統括をする人。外部に委任してたら駄目駄目だと思うんだが。
警察や自衛隊は凄いＩＴ軍団がいそうだけど。

すいません。予算がないんです。あんまりいじめないでください。

>>70

民間の会社も小さいところは、
コンピュータ関係の雑用（調整・バックアップ）とかを、
結構コンピュータ関係に明るい人が、
半ボランティアでしているところが多いのでは？

よーーーーし　ポートスキャンやりまくってみます

(　´�D｀)ノ<　ｋｒドメインだけやってくれれす。>>75

krの学校って同じ業者が同じようにメールサーバーの設定したから
全部のメールサーバーがSPAMしほうだいって本当？

>>70
企業でもそうなんだけど、ハッキリ言ってしまうと、コンピュータ関係って閑職なんだよね。
だからやる気の無いTOPが多いのよ。

>>68
まずはNT系とUnix系の操作
その次にCかアセンブラ
その後TCP/IP
この辺ができるまではスクリプトキッズ

次に解析
Snifferのログから通信元・先・内容を割り出したり
アクセスログの不審な点を割り出すとか
どのモジュールに何を突っ込んだらバッファが溢れるとか
ソースを辿って弱点を見つけるとか
この辺でやっと素人ハッカー

>>72
自衛隊は無いだろ。
この前、防衛庁が富士通にシステム開発委託して
その下請けからデータ流出したばかりじゃん。
前はオウム関連の業者に委託しちゃったり。

こんな重要なシステムにＩＩＳやApacheを使うなよ。
ハカーの格好の餌食じゃん。

ケビン・ミトニックですが、何か?

下村 努 襲撃事件ですが 何か？

ｷﾀｰ！ 役所の主張。

>>一回導入されたら、後は業者のメンテだけだよ。普通・
>>OSのverupなんて予算が付くわけ無いじゃない。
>>民間の人はわかってないんじゃないの？

分かってないのは、予算がつくわけがない役所じゃないかよ。
組織がどうだの予算がどうだの（俺は役人じゃないので
よく分からないが）、どうでもいいから、「セキュリティを
しっかりしろ。それに必要なことはやれ。」それだけだ。

同じ文系から見ても役人はとんでもないヴァカだな…。

と言いつつ社員でも何でもない俺が
親の会社のホームページを管理しているわけだが。

あげ

>>85
管理費くらいもらっとけ。

じゃー決をとりまーす
役所はクラックしほうだいということでよいですか？

>>85
“ホームページ”の管理なら、楽だろ。

ようわからんけど、だいたい小さな自治体や学校なんて、
そんなにたくさんページビューがあるわけじゃなし、
ホスティングサービス使ったほうが安くていいんじゃないの？
そんな無駄なことに税金使わんといてほしい。

>>84
対策には何かとお金を必要とすることも多いのです。
wwwサーバやOSにパッチを当てるだけがセキュリティ維持ではないですからね。

>>79
先は長いんですね・・・

>>91
でもその金のかからないパッチもやってないのが現状な訳だが。

トロイとか余裕で食らってしまってる罠。

本とはルーターに入る方が面白いんだけどね

>警察や自衛隊は凄いＩＴ軍団がいそうだけど。

そう思うでしょ？
ところが、ちがうんだよな。
警察のサイバーフォースってあるだろ、
あれって、発足当時、うちの兄（警察官です）に声がかかったんだけどさ。
なぜ兄に声がかかったかというと、所属の署でいちばんWindowsやExcelの
操作に慣れていたからなんだ。
単にアプリケーションが素人並に扱えるってだけで、
あとは、各署何名っていうノルマがあるから、
上が推して来たんだって。警察のIT部隊って、そんなものらしいよ。
結局、兄はコンピュータ嫌いなので、断ったらしいけど。

>>84
税金が足りん、もっと払えってことか・・・なる。
住基保守税ができるに３兆アパッチ。

よーし先生、ウイルス送っちゃうぞ

＞インターネット関連調査会社バガボンド（東京）



ｲﾀﾀﾀﾀﾀﾀﾀ

どのくらい脆いか、賞金つきハッキングコンテストやったらいいね。
もちろんデータはダミーで。
どっかの警備会社もやってたよな

セキュリティがパーペキな

システムがどこにあんだヨボケ

・パソコン使えない公務員をクビにしてください。

・それから、マスコミ（特に朝日新聞、テレ朝）は、住基反対をもろに言わないでください。

・マスコミは、住基NETのメリット、デメリットをちゃんと説明してください。

・サーバー管理者、パソコン指導者を地方公共団体に派遣してください。

・パソコンに詳しくない人は首長にならないでください。

・デモをしている学生は、サーバー管理とかできるのですか？
シスアドくらいとってから、「ハッキングの危険性がある」と言ってくださいね。

・住基ネットには「電話番号」は載らないんですよ。
誰ですかねえ？
「住基が始まると、個人情報が漏れて、変な電話がかかってくる」とか言ってるババアは？

以上、偽内閣官房からでした。

内部データーと切り離されたサーバーなら多少脆弱でも特に問題ないでしょ。
まあ踏み台にはされるかも知れないけど。

>>103
オルテガ？

>96

何処の会社もそんなもん。

バガボンドを知らないヤシがいるな？
セキュリティ系ではかなり有名だぞ・・・

俺なんかコンピュータが触れるってだけで、
上司からのあだ名が「コンピューター」だよ。

自治相の「安全だ」を繰り返す百姓づらの馬鹿づらを見るたび
不安が増幅される。

＞105
公務員はみんなパソコン使えないのがよくわかる。

前、事故で、警察いって、なんかパソコンで書類書いてるんだけど、
打つのがおそくておそくて、、、１時間半もかかったよ。

おれが代わってやろうか？といったら、いやいいです、と。
ちゃんと使えるようになってから実践しろよな。
バカ警察官。

こんなとこに俺の情報は預けられネェ。

バカボンド

>>105
うちの会社はセキュリティグループとセキュリティテストチームがある(；´Д`)

>>102 電話番号は将来の話，もしくは，住基番号にリンクする公共のデータベースのことだろ．それくらいわかれよDQNじゃないなら．

>>107　確かに。
俺も同じようなもんだな。
普通にＣＡＤとかエクセルとかワードとか使ってるだけなのにいつの間にかＳＥになってる。（w

だいたいセキュリティーなんて裏の裏まで知ってる奴じゃないと役には立ちませんよ。

>>67
後半は事実だね。コンピュータ関連だけじゃなくて、高圧ガスとか危険物とか
放射線とかも、資格を持っていても言わない方が吉。
ま、持ってないと仕事が出来ない場合は別だけど。

>>100
HTTPサーバーのソフトを売っているところなんかはやっているよ。
MSはやっていないようだが。

>>116
MSがやったらえらいことになる。

っとんでもない

・ダウソロード
　こちらに移動しました。
　http://www.hulinks.co.jp/download/data/

http://google.yahoo.co.jp/bin/query?p=%a5%c0%a5%a6%a5%bd&hc=0&hs=0

これは公務員の問題だろ、最新のものに換えとけよ

某自治体はニムダに感染しまくって面白いことになっていたよ。
O、お前だよ。

>>120
そうかも・・・

古い公務員は新しいのに入れ替えないと
機能とか拡張性が足りないからなあ。

ざまーみ

>>123は消されましたか？

そしたら、住基ネットはハッキングの可能性とかないの？
住基ネットって、ＶＰＮでしたっけ？
これは、大丈夫なんでせうか？

>107あ最高に可哀想です

>>125
むしろハッキングは端末のモニターあるいはプリンタからというのが常識。

>>127

洩れる電磁波ってこと？
それとも、公務員が不正を働くってこと？

役所にシステムわかんのなんかほとんどいません。汎用持っててシステム管理室なんかもってるとこにはやっぱそれなりの専門家いるみたいですけど、今回のように山間僻地の役場までサーバ設置するとなればお役人たちは近くにも寄らないでしょう。
その上、そんなところに保守を委託する予算はあるわけがない。納入業者もスキルよりも入札で安く入れるところを採用する。安くするためには中古のＯＳでも入れちゃう業者もあるし、それを見抜けるお役人もいない。
つまり、そんなところに個人の情報をのっければ先は見えてるね。その上、一度やっちゃって、この話題が旬を過ぎればぞろぞろといろんな情報にリンクさせてくるに決まってる。その時にハッキングされれば・・・・いやはや恐ろしい限りですな。

今の自治体のシステムも、１年後には順次統合に入るからな。
早い話、３０００から１０００に、ここ３年で合併するという。
住基カードの発行と市町村合併重なるし、あの形状ならば、再発行しないとね。
今、セキュリティホールを直しても、新しくシステムが作られるから、無駄。

>>128
パスワードをメモしたポストイットがディスプレイに貼られ、
認証用のカードは同じ机の引出しの中。
しかも、端末が置いてある部屋には鍵なんかかかっていない。

ってケースがざらなんだろうな。

なるほどねぇ〜。
確かに、四日市の時もそんなこと書いてたあるYO

ということは、VPNとかよりも、そっちのほうがやばいってゆうわけね；

>>132
「ぶい・ぴー・えぬ」の仕組みを理解して発言してるの？

この文脈上はVPNが何であっても差異は無いと考えます。

>>132
VPN→からVを取れ

>>112
切磋琢磨しあえれば良いセキュリティを維持できるかもね。
どっちもダメダメだったら泣きを見るけどｗ

ひひひ

マスコミは、旬が過ぎると直ぐに報道を他に移すのが悪い癖。
徹底的に、住基ネットを糾弾してみれ！

危険だな