 |
 |
記事検索 |
イベントレポート |
|
||||||||||||
|
||||||||||||
|
||||||||||||
|
||||||||||||
|
||||||||||||
|
迷惑メール対策ブラックリストの功罪について「Spamhaus」と国内ISPが議論 |
||||||||||||
|
||||||||||||
|
|
||||||||||||
|
||||||||||||
|
||||||||||||
|
||||||||||||
|
||||||||||||
|
||||||||||||
|
||||||||||||
|
「Email Security Conference 2006」が28日・29日の2日間に渡り、東京・神田のベルサール神田で開催された。このイベントは最新のメールセキュリティ技術やノウハウなどの情報共有を目的とし、主に企業やISPにおいてメールの運用に携わっている方を対象としている。今回は、29日の午後に行なわれた迷惑メールに関する2つのパネルディスカッションについてレポートする。 ● ISPがRBLの弊害を報告、無実の顧客がとばっちりを受ける事例も
まず、チェアを務めたニフティの木村孝氏（経営戦略グループ担当部長）からRBLについて簡単な説明があった。木村氏によれば、RBLの利用によって確かにスパムメールは減ったが、同時に、本来届くべきメールが届かなくなるという弊害が発生しているという。また、迷惑メール対策機能をうたったアプライアンス製品の中にRBLが組み込まれていても、そのことをユーザが知らずに使用している場合があるといった実態が紹介された。 次に、最も広く利用されているRBLの1つである「Spamhaus」のメンバー（実名非公開）が、Spamhausの活動を簡単に紹介した。Spamhausは1998年から活動を始め、データベースのエディター（編集者）は全員ボランティアである。現在は全世界12カ国30以上の公開ミラーサイトがあるという。Spamhausのメンバーが公の場で発言をするのはたいへん珍しく、日本では今回が初めてのことである。 続けてISPを代表して、KDDIの和田潔氏（ブロードバンド・コンシューマ商品企画本部商品サービス開発部課長補佐）が、同社がユーザーに提供しているIPアドレスがSpamhausのRBLに登録されてしまい、メール送信に支障を来たした事例について報告。和田氏によると、RBLに登録されたIPアドレスの中には、DNSキャッシュポイズニングの脆弱性を悪用されてAレコードを書き換えられたDNSを管理しているユーザーのCIDRブロックが含まれており、そのDNSに登録されたとされるドメインから迷惑メールが送信されたという理由でRBLに登録されたものがあったという。 また、KDDIの対応に対してSpamhaus側が「KDDIはスパマーを支持している」と判断し、「報復」（Spamhausは「エスカレーション」と表現）処置として全く関係のないアドレスを含むブロック単位でRBLに登録したものもあったとしている。 和田氏は、RBLにはそれを管理する側のポリシーによって全く無関係のアドレスも登録されてしまっていることがあり、一度RBLに登録されてしまったアドレスの所有者が変わってもそのまま登録されたままになってしまっている（メンテナンスされていない）といったRBLの問題点を指摘した。 最後にホスティング事業者を代表して、NTTPCコミュニケーションズの高田美紀氏（ネットワーク事業部）が報告。共有ホスティングサービス（1つのサーバーで複数のユーザーに対してサービスを提供）において、ある1ユーザーがRBLに登録されたために、そのサーバーに同居する全ユーザーに影響してしまった事例が紹介された。高田氏はその対応の経験を踏まえ、まずRBL運用側に対しては和田氏と同様、「データベースのメンテナンスを行なって欲しい」「ブロック単位での登録はやめて欲しい」などの要望を提示した。 また、RBLを利用する側に対しては、「RBLだけを参照して接続拒否せずに、あくまでRBLをスコアリングの材料として使い、ホワイトリストを併用して欲しい」「利用するRBLがどのようなポリシーで運用されているのかを理解し、導入することのリスクを理解した上でRBLを利用して欲しい」との希望を述べた。さらに、RBLを組み込んだ製品のベンダーに対しては、RBLを利用していること、どのRBLを利用しているのかを明記し、RBL利用のオン・オフを可能にすること（デフォルトはオフ） 、RBLだけを参照して接続拒否せずにスコアリングの材料にしてホワイトリストを併用できるようにして欲しいといった提案をした。 残念ながら時間が足りず、和田氏と高田氏からのRBLへの「お願い」に対するSpamhaus側からのコメントは聞けなかったが、ユーザー数の多いSpamhausのメンバーに対して直接、問題点を指摘し、改善要求ができたことは重要だろう。また、和田氏も高田氏も一方的にRBL運用側に要求を出すのではなく、「一緒に協力して迷惑メールを減らすように努力していこう」という姿勢が見られた。それぞれがやるべきこと、やれるところ、やれないところをお互いに充分に理解した上で協力し合うことの重要性を感じさせるパネルディスカッションだった。 ● 迷惑メールに抜本的対策はないが、OP25Bなど「やれることはやるべき」
まず、チェアを務めたシマンテックの安元英行氏（システムエンジニアリング本部エンタープライズSE部エンタープライズSE第二グループグループリーダー）が、迷惑メール対策製品ベンダーの立場から発言。最近の迷惑メールがボットによるものであること、手法として画像イメージによる迷惑メールが復活してきていること、セキュリティに関する虚偽または誇張したメッセージで誘導するといった手法が広まってきていることなどが紹介された。 次にISPの立場から、ニフティの木村氏が最近の迷惑メールの特徴について報告した。木村氏によると、最近の迷惑メールのうち日本語のものは日本以外から、英語のものは世界各地から分散されて送信されて来ているという（恐らくボットによるものと思われる）。一方、携帯電話向けの迷惑メールは（一部を除き）ほとんどが国内からのようだ。 さらに、ISPが一般的に行なっている迷惑メール対策をすり抜けるために、迷惑メール送信者側が送信のレートを抑えたり、本文中に無意味な文字列を追加したりするなど、さまざまな対策を施してきている実態が紹介された。また、最近では受信側ISPのメールサーバーに大量のSMTPセッションを張って開放しない“セッションハイジャック”なども見られているとのことだ。 続けて迷惑メール対策製品を導入しているユーザーの立場から、日商エレクトロニクスの石田弘也氏（セキュリティ事業部部長）が、同社が実際に受けた被害について報告した。日商エレクトロニクスでは、迷惑メール対策製品を導入していたが、想定外の大量の迷惑メール（500万通／月）を送り付けられたために、その製品自体が倒れてしまったらしい。石田氏は、メール配送経路にあるあらゆる機器のパフォーマンスについてはあらかじめ把握しておく必要があるとした。 パネルディスカッションの最後には、迷惑メール対策に抜本的な対策はあるのかという会場からの質問に対して、3氏ともに「抜本的な対策はない、どうしようもない」としながらも、木村氏は「OP25B（Outbound Port 25 Blocking）や送信ドメイン認証など、やれることはやるべき」と述べた。石田氏は「企業としては機器を入れるしかない。ユーザーもISPもベンダーもできることをやっていくしかない。SPF（Sender Policy Framework）の導入や法律を厳しくするなどもあるだろう」、安元氏は「顧客を守るための法整備が必要では」と述べた。 関連情報 ■URL Email Security Conference 2006 http://www.cmptech.jp/esc/ Spamhaus（英文） http://www.spamhaus.org/ ■関連記事 ・ 出したメールが相手に届かない!? メールの不達問題とスパム対策の関係（2006/11/09）
（ 山賀正人 ）
- ページの先頭へ-
|
