[news] SQL Slammer 関連

SQL Slammer は、MS SQL Server、MS SQL Server 2000 Desktop Engine (MSDE 2000) のセキュリティ・ホールを利用したワームです。

03.01.25 辺りに急激に増殖しましたが、一週間経った現在ではほぼ沈静化したようです。

今回の SQL Slammer は以下の特徴を持っています。

• 破壊力、感染力は控えめ？
  感染方法は SQL Server のセキュリティ・ホールを狙ったモノであり、それ以外の方法を用いて感染は試みていないようです。感染活動のみで、データの破壊なども行われていないようです。歴代のワームと比べればおとなしい方？被害があるとすれば自らが攻撃者になり、ネットワークの帯域を消費すること位でしょうか。
  今後、強力な亜種が流行る可能性も否定できないので対応しておく必要はあるでしょう。
• 既知のセキュリティ・ホールが狙われた
  '02/07 時点で公開されていた情報のようです。patch もこの時点で公開されています。
• patch が適用しにくい
  ケースによっては patch が適用できなかったり、複雑であったり、patch を当てたものの実際には patch が適用されていなかったりする場合があるそうです。
  [ZDNet エンタープライズ：Slammerが残した真の問題点と教訓(ZDNet JAPAN)]
• そもそも patch なんて適用しない（ぉぃ
  Nimda の時と同様に、Microsoft 社自身が感染されていたそうです。patch の重要性を訴えなければならない会社自身、適用していないということでしょうか。今後は、patch の適用方法についても議論が広がるのではないでしょうか。
  [マイクロソフト自身にも及んだ『SQLスラマー』ワームの被害(Wired News)]
• MSDE 2000 の危険性
  MSDE 2000 は他社ベンダーのソフトウェアと共に同梱され、インストールされている可能性があります。このような場合、ユーザーはその事を知らないケースが多いとされています。他社ベンダー配布の MSDE 2000 の場合、patch は他社ベンダーから配布されなければならないらしいです。MS(MSKK) としても OEM 供給分は把握していない、という態度を取っているようです。
  [http://www.sqlpassj.org/info/slammer.aspx]

この page は、<[news] Virus 総合> の特設 page です。

お勧め

• [SQL Server および MSDE を標的とした SQL Slammer ワームに関する情報(MSKK)]
  MSKK の情報。まずはここから。更新され続けているようですので随時確認を。
• [MS-SQL worm information(IPAセキュリティセンター)]
  IPA の情報。
• [セキュリティホール memo の Slammer 情報(セキュリティホール memo)]
  セキュリティホール mome の情報。
• [http://www.sqlpassj.org/info/slammer.aspx]
  SQL Serverユーザーグループの page 「【重要】　ワーム : UDP 1434, SQL/Slammer, SQLExp, SQLSapphire 情報」。日本の各ベンダーの対応など参考になります。

• [ウイルス「Slammer」リンク集(INTERNET Watch)]
  SQL Slammer を扱っているサイトのリンク集。

関連情報

05.09.15

• [ウイルス「Zotob」と中国からのSQL Slammer攻撃が急増〜警察庁(INTERNET Watch)] (05.09.15)
  [国内ではSQL Slammer攻撃が依然として続く〜シマンテック調査報告(INTERNET Watch)]

05.07.08

• [警察庁が6月のネット治安情勢を報告、Slammerの攻撃が減少傾向に(INTERNET Watch)] (05.07.08)

05.05.13

• [警察庁のインターネット定点観測結果、4月も中国からのSlammer攻撃が減少(INTERNET Watch)] (05.05.13)

05.04.15

• [警察庁の定点観測結果、3月は中国からのSlammer攻撃が減少(INTERNET Watch)] (05.04.15)

05.02.09

• [中国からのSlammer攻撃が依然として高い水準〜警察庁の定点観測結果(INTERNET Watch)] (05.02.09)

05.01.13

• [中国からのSlammer攻撃が12月前半に増加〜警察庁の定点観測結果(INTERNET Watch)] (05.01.13)

03.06.07

• [ZDNN：WIRED誌がSlammerワームのコード掲載へ(ZDNet JAPAN)] (03.06.07)
  [Wired To Publish Slammer Source Code(Slashdot.org)]
  ロイターの記事。日本でもアレな本で worm の source が載っていたりするけど、さすが WIRED となると反響が違うね。

03.05.28

• [エンタープライズ：MS、Slammerの反省踏まえ「SQL Server 2000 Service Pack 3a」公開(ZDNet JAPAN)]

03.04.17

• [DELODERやSlammerが利用するポートへのアクセス報告が増加(INTERNET Watch)]

03.03.31

• [【レポート】Slammerが残したもの - 動き始めた日本のセキュリティ対策 (1)、(2)(MYCOM PC WEB)]

03.03.06

• [ZDNN：MS幹部が語る「Slammerの教訓とパッチ問題」(ZDNet JAPAN)]
  Microsoft のセキュリティ部門副社長さんのインタビュー記事。patch の重要性（依存性？）と MS 内部の感染原因（というかフォローになるのかな）がメイン。開発部門なら仕方の無い気もしますが、外には繋げないようにしないとね。
  SD3(Secure by Design, Secure by Default, Secure by Deployment) の原則とかは興味深いです。

03.03.04

• [Slammer報道でセキュリティ認識が高まり、被害数が減少〜IPA調査(INTERNET Watch)]

03.02.25

• [Slammerの検知件数が24日から急増 警察庁が注意を呼びかけ(INTERNET Watch)]
  [日本国内でSlammerが再び増加(Slashdot.jp)]
  警察庁の情報をそのまま鵜呑みに出来るほどの情報は公開していないね、というのが感想。警察庁だから信用できる、とは限らない、だろ？

03.02.21

• [【Release NEWS】マイクロソフト、“Slammer”ワームの感染を回避するためのツール群を公開(窓の杜)]
• [ZDNet エンタープライズ：OSCAR Column：あなたのLinuxは安全か？−サーバ管理問題を露呈した Slammer−(ZDNet JAPAN)]

03.02.20

• [SlammerはTrustworthy Computing提唱後の最大の事件(PC Watch)]
  [SQLスラマーが大流行、その時MS社内は？(@IT)]
  MSKK のセキュリティレスポンスチームのダメ出し。

03.02.12

• [総務省、Slammerウイルスにより情報セキュリティ対策強化へ(INTERNET Watch)]

03.02.10

• [ZDNN：Slammerワームを分析する(ZDNet JAPAN)]
  特に Server 関連は常に最新にすることなんて、どう考えても無理。現実的ではないのは確かだと思う。MS に頼るのならばこれしか対処法が今の所、無いのが現実なのもアレだが。
• [Slammer対策のメ[トフィルタリングでDNSに悪影響も〜JPRSが注意呼びかけ(INTERNET Watch)]
• [SQLワーム対策の副作用で、DNSに問題が生じる可能性(@IT)]
• [リビング＋：SQL Slammer対応策がDNSキャッシュサーバの不具合を引き起こす可能性(ZDNet JAPAN)]

03.02.08

• [ZDNN：Slammerワームの教訓「万全の防御策なし」(ZDNet JAPAN)]

03.02.07

• [ZDNN：MS、Slammer対策ツール3種リリース(ZDNet JAPAN)]
• [ZDNN：Slammerワームめぐり韓国でMS提訴の動き(ZDNet JAPAN)]
• [ZDNet エンタープライズ：Slammer対策に意外な落とし穴(ZDNet JAPAN)]
• [http://itpro.nikkeibp.co.jp/free/ITPro/NEWS/20030207/1/]
  IT Pro の記事「「SQL Slammer対策としてポートをフィルタリングしている組織は注意」――JPRS」。記事によると「SQL Slammer対策としてUDP 1434番ポートをフィルタリングしていると，DNSなどの他のサービスに影響を与える恐れがある」んだそうな。

03.02.06

• [「Slammerは全世界で40万台に感染」〜NACの1月度ウイルス調査にて(INTERNET Watch)]
• [IPA、ウイルス「Slammer」の観測データなどを公開(INTERNET Watch)]
• [強気のMSを動揺させるか？ セキュリティーホール訴訟(Wired News)]
• [http://itpro.nikkeibp.co.jp/free/ITPro/NEWS/20030206/3/]
  IT Pro の記事「「1月はSQL Slammerが話題だったが，ワースト1は相変わらずKlez」――IPA」。
• [http://itpro.nikkeibp.co.jp/free/NBY/NEWS/20030206/1/]
  IT Pro の記事「【NET&COM2003】「SQLslammer被害報道はやや大げさだ」──英SOPHOSのアジア地域技術部長語る」。

03.02.05

• [ZDNN：Slammerに“鈍感”だった米政府(ZDNet JAPAN)]

03.02.04

• [Slammerによる経済損失は約80億ドル〜英mi2gの調査で判明(INTERNET Watch)]
• [「Lirva」や「Slammer」が出現しているものの、感染報告数は微増に留まる(INTERNET Watch)]
• [ZDNN：Slammerワーム、損害額は低くても悪質度は上？(ZDNet JAPAN)]

03.02.03

• [Slammerは10分間で世界中の脆弱なホストの90％に感染〜完全自動の防御策が急務(INTERNET Watch)]
• [不正アクセスランキングでSQLSlammerが群を抜いて1位〜シマンテック調査(INTERNET Watch)]
• [Slammerに自分のコードを悪用されたセキュリティ研究者が苦悩する胸の内を明らかに(INTERNET Watch)]
  サンプルコードの提供の是非について。「隠せば安全」というものアレな気もしますが。
• [ZDNN：MSのセキュリティ強化戦略に“落第”の評価(ZDNet JAPAN)]
  ロイターの記事。パッチに依存していることがまず問題と指摘しています。パッチを当てれば問題解決、というかそれ以外解決策が無いと言うのは「偽善的」とも。

03.01.31

• [ZDNet エンタープライズ：Slammerが残した真の問題点と教訓(ZDNet JAPAN)]
• [ZDNN：ワーム侵入ルートはいくつあったのか(ZDNet JAPAN)]
• [韓国に残るSlammerの余韻(Slashdot.jp)]

03.01.30

• [「Slammer被害が韓国で大きいのは大手ISPが感染したのが要因」John Hermano氏(INTERNET Watch)]

03.01.29

• [http://itpro.nikkeibp.co.jp/free/NT/NEWS/20030129/1/] (03.01.29)
  [マイクロソフトも穴だらけだった(Slashdot.jp)]
  IT Pro の記事「Microsoft自身もパッチの適用を怠り，SQL Slammerの被害を受ける」。また MSN が引っかかったらしい。Nimda の教訓が生かされなかったのでしょう。

• [ZDNN：Slammerワーム、作者特定は困難か(ZDNet JAPAN)]
• [ZDNN：Slammer事件で露呈した“パッチ方式”の穴(ZDNet JAPAN)]
  patch を当てることの懸念点について。「皆が常に最新のパッチをあてているものと考えるのは無理がある」というのも、もっともな意見だと思う。patch を当てる事で挙動がおかしくなることもざらですし。悲しいけど「私としては、たいていの場合は自社のサーバが侵入されるまで、ハッカーとロシアン・ルーレットをやる方がいい」という意見を否定出来ないな。

03.01.28

• [http://itpro.nikkeibp.co.jp/members/ITPro/SEC_CHECK/20030128/1/]
  IT Pro の記事「【徹底解説：SQL Slammer対策の死角】クライアントも狙われる，パッチ適用でトラブルも 」。
• [Insider's Eye -- 管理者のジレンマを突いて爆発的に繁殖したSQL Slammer(@IT)]
• [SQLワーム被害に「人災だ」の声、日本での影響は軽微(@IT)]
• [「15分で全世界を制圧するウイルス」論文が現実に(INTERNET Watch)]

03.01.27

• [Microsoft SQL Server 2000の脆弱性を利用したウイルスが発生(INTERNET Watch)]
• [ZDNN：Slammer“サイバーテロ説”は安易だった？(ZDNet JAPAN)]
• [http://itpro.nikkeibp.co.jp/free/ITPro/OPINION/20030127/1/]
  IT Pro の記事「世界規模のネット障害，再発防止のために――SQL Serverのセキュリティ・ホールを解説する」。

03.01.26

• [ZDNet エンタープライズ：続報：犯人は「Slammer」――各社が新種のワームを警告(ZDNet JAPAN)]
• [「Slammerウイルスの発信元は米国ISP」？〜ロシアKasperskyが感染経過を分析(INTERNET Watch)]
• [ZDNN：Slammerワーム、発生源はアジア？(ZDNet JAPAN)] (03.01.28)

03.01.25

• [ZDNet エンタープライズ：速報：UDP/1434ポート宛のパケットが急増、新種のワームの可能性も(ZDNet JAPAN)]
• [新型ワーム ネットワーク全体で遅延発生中(Slashdot.jp)]
• [MS SQL Server Worm Wreaking Havoc(Slashdot.org)]