仮想マシンを3つの簡単なステップで盗む方法

先週 Spiceworks のスレッド では、この会社を再び悩ませるように戻ってきた“ならず者”の sys admin について話題がありました。私はいくつものスレッドを読みましたが、特に一つが強く印象に残りました。「あなたたちの言い方はまるで警官のようだね。誰も信用しないの？ 誰かを信じるには、自分自身も信じられる存在でなければならない。」

私はほぼ、「そんなに無邪気になれたらいいのに」と返信してしまいそうでした。私は悲観主義者ではありません。ですが、その世界で生きられたらいいのにと思います。私は、経験を持った楽観主義者です。そして経験が教えてくれているのは、その答えとして考えられるのは結局「みんなを信じる……でも、ある範囲までは」ということです。

では、IT セキュリティの世界で信頼が大きな問題になる理由について話しましょう。まず、ハッカーに侵入され、クレジットカード番号などの情報が盗まれた、という話をよく耳にします。正直に言えば、これは深刻な話で、人々を怖がらせます。恐怖は新聞を売ります！でも、私たちが聞かないのは、どこにも侵入しなかったために起きる無数の小さなハッキングです。侵入する必要すらありませんでした。彼らはすでに中にいたのです。

昔、ある会社で働いていました。その会社はソフトウェアを作っていて、とても上手でした。私は主に、彼らの VMware environment を立ち上げて動かすために加わりました。彼らは自社製品を持っていき、さまざまな電力系ユーティリティ企業向けに調整していました。過去に彼らがやっていたのは、開発者がそのユーティリティに行ってソフトウェアの微調整などを手伝うとき、ノートパソコンを持っていき、場合によっては最大で十数枚ものハードドライブを持っていく、という方法でした。ハードドライブには OS が入っていて、その環境のためのツール一式とソフトウェアも入っていました。ユーティリティ企業に着くと、ノートパソコンからハードドライブを取り出して、その会社用のラベルが付いたものを差し替え、あとは作業を続けるだけです。理論上は良いアイデアでしたが、実行は最悪でした。ドライブは紛失したり、壊れたり、場合によっては盗まれたりしていました。実際、すべてのドライブを回収したとき、いくつかはソフトウェアとはまったく関係なく、音楽や映画などでいっぱいでした。

そこで VMware を使うことになりました。狙いは、開発用の環境をこちらで作って、彼らをユーティリティの現場に送り、あとは VPN 経由で調整やテストを行うために、作業に必要なアクセスができればよい、というものです。これも良い考えでしたが、ときどきは結局、ハードドライブを持って行ってもらう必要がありました。このケースでは、単純に彼らのノートパソコンに VMplayer を入れて、私は VM Convertor を使って VM をコピーしました。こうすれば彼らは作業できますし、VPN 接続の心配をする必要がなくなります。私はハードドライブを管理していて、受領記録（レシート／サインが必要な管理）対象にしました。そして開発者が現場を離れるとき、必要な VM と一緒にそのハードドライブも渡します。彼らが戻ってきたときは、私はそこで待っていました。

登場、Donnie（もちろん本名ではありません）！彼は優秀な開発者で、とても魅力的な人物。そして、警告ラベル付きで生まれてくるべきタイプの人間でした。彼の最大の才能は「感じのいい人」になれることで、チャームを全開にして振りまけます。どんなに突飛で荒唐なアイデアでも、それをもっともらしく、筋の通った話に聞こえさせることができたんです。

彼は、私が VM を渡して管理しているのを見て、あるアイデアを持って私のところに近づいてきました。「ねえ Rich。君が本当にとても忙しい人だってことは分かってる」と言って、しばらく（かなりの時間）私を褒めたあと、続けてこう言ったんです。「じゃあさ、ドライブを配って、VM をクローンしたりする権限を、僕にくれない？」

それとなく言っておくけど、彼がまだおむつの頃から私は警察で、政治の職にもついていて、そしてとても精密に調整された「ナンセンス・メーター」まで作り上げていたんだ！針は振り切れていて、小さな声が「彼を、投げられるくらいの距離以上は信用するな」って警告してくる。

「ありがとう、でもやっぱりダメだよ。」と私は言った。

「でも……」

「“NO（ノー）”のどの部分が分からないの？」と私は尋ねた。

彼は少しむくれて立ち去った。

彼は戻ってこなかったので、要点は分かったんだと思いました。

仮想化環境を運用しているなら、ひとつやるべきことは、ハヤブサのように注意深く見守ることです。どのように動作するのか、そして常にその中で何が起きて、どのように動作しているのかを把握する必要があります。だから私は、いつも自分の環境を仮想的に“歩いて回って”状況を確認しています。ある日、見回っているとスナップショットが残っているマシンがいくつかあることに気づきました。「それほど大したことじゃない」と思いますか？ でも、スナップショットをそのまま放置しておくのは少し問題で、場合によってはそれが期待されることもあります。

仕組みはこうです。VMware の世界では、VM のいわゆるハードディスクは、実際には VMDK というファイルにすぎません（そして、VMDK ファイルを大量に持つことも可能です）。多くのバックアップソフトは、スナップショットを取得することで動作します。これにより VMDK は、quiescence（クワイセンス）と呼ばれる状態に置かれます。つまり、いったん静かになり、（ファイルをアップロードするなど）行われた変更が VMDK ファイルには反映されないということです。バックアップの最後に、ソフトウェアがスナップショットを VMDK ファイルにマージし、そのスナップショットはもう存在しなくなります。

でも私は、あるべきでないスナップショットを見つけてしまいました。

なるほど、と思いました。考えられる可能性はいくつかあります。1つ目は、バックアップソフトがうまくいかず、自分が終わったあとに後片付けをしなかったこと。ちなみに、バックアップソフトがランダムに失敗するようなことがあるなら、スナップショットをちゃんと元にマージしているか確認したほうがいいかもしれません。2つ目の可能性は、私がスナップショットを作ったのにすっかり忘れていたこと。スナップショットを作った記憶がなかったんですが、私は50歳を超えていて、ほら、頭から先に…… . . .

第三の可能性もあったけれど、パスワードなどはかなりしっかり管理していた。気晴らしにスナップショットのログを確認して、どこで作られたのか見つけて、ふと考えたんだ。「もしかして、俺が何か間抜けなことをしたのかもな」

それでスナップショットを片づけて、次に進んだ。

一週間後、また別のスナップショットができていて、思わず「何だよそれ！」となった。もっと深く調べてみると、今度は予想外のことが起きていたと気づいた。上司のところに行って、スナップショットを作ったのは彼かと聞いた。もちろん違う。ルートのパスワードを誰かに渡したのか？それももちろん違う。

行ってパスワードを変えて、次の手を考えた。はっきり言って、ハッカーがいる。どういうわけかパスワードが侵害されていたから、この次はルートアカウント用に新しいパスワードを作って、ものすごく長く、ものすごく複雑にした。けれど、刑事をやっていた何年かの経験からも分かっていたんだ。強盗は、過去に獲物が取れた家の扉をまた叩いて揺さぶりに戻ってくる。

それに、これをやっている相手を追跡する必要もあった。そこで、SNORT をダウンロードして自分で SNORT 用の箱（環境）を組み上げた。SNORT を一度も触ったことがない人のために言うと、これは世の中にある侵入検知システムの中でもトップクラスの一つだ。しかも無料だっていう事実が、さらに良いところを増やしてくれる。

さて、私は見て待っていた。ちなみに、本気でしっかり固めるためにできたことはいくつかあったけれど、私は犯人を捕まえたかった。私は少し怪しいと思っていて、考えていたのは、パスワードが古風なやり方で侵害されていたということだった。誰かがそれをハッカーに渡したんだ。もし私の推測が当たっていれば、彼らはまたやるはずだった。

1週間後、私はスナップショットを1つではなく2つ手に入れた。そこで今度は捜索に乗り出した。Snortはその時点の接続情報を出してきて、私は成功した試行と失敗した試行の両方を1つのIPアドレスまで追跡した。その情報を突き止めて、どのワークステーションがそのIPアドレスをリースしていたのかを特定し、オペレーターのところへ訪ねていった。どう思う？それは俺の仲間、Donnieだった。

「よし」私は昔の刑事の自分に戻りながら言った。「ねえ、Donnie。どうしてお前はそんなことをしてるんだ？」

私は証拠を見せてやり、彼は話し始めた。「前に言ったとおりにしたかったんだ。お前の負担を軽くしたくて……」

「そりゃそうだ。だから俺は今もディスクドライブを配ってるのに、お前は配れてないんだろ。」私はすでに彼のマシンをリモートで確認していて、「VMはどこだ？」と聞いた。

「外付けのハードディスクの中だよ」彼は少し間をおいて答えた。「家にある。」

「なんで家なの？」私が聞いた。

「サーバーに置いたんだ」彼は言った。「それに、友達に遊ばせてるんだよ！」

顔から血の気が引いていくのを感じた。ソフトもデータも、全部が専有のものだった。そして今、それがネット上にある！「見せて！」

彼は Firefox を開いてアドレスを打ち込み、次に私が見たのは、vSphere クライアント付きの XP Box が表示されていて、さらに何台ものマシンが一覧になっている Web ページだった。彼はきちんとロックしておくことすらしておらず、誰でも誰でもアクセスできてしまっていた。

私はうなずいた。最悪の悪夢が、目と耳の前で広がっていくのがわかった。“仮想マシン（VM）って、どうやって手に入れたの？”と私は聞いた。

彼は一瞬気まずそうな表情をして、それから説明した。“vSphere クライアントからログインしてスナップショットを作ったんだ。そのあと、VMX と VMDK のファイルを外付けハードディスクにそのままコピーできた。持って帰って、VMPlayer で開いたんだ！”

「だから、こんな話をしているのは、あなたが後片付けを忘れたからだ。」答えがもう分かっている質問をする時だった。「パスワードはどこで手に入れたの？」と私は聞いた。「あなたがノーだって言ったから、教えないように頼んだんだよ。」彼はあたりを見回してため息をついた。「私がやりたいことを伝えたら、筋が通っていると思ってくれて、それを渡してくれた。」

「その“彼ら”って誰？」

「会社の社長と、あなたの上司！」

その時にはもう、頭をぱしんと叩いて首を振り、「こっちに来い！」といきり立って叫んだ。

私たちは社長のオフィスに入り、私が見つけたことと、彼の独自ソフトがいまや世界中の誰でも盗める状態でインターネット上に出てしまっていることを伝えた。

あとで私は全ての話を聞いた。彼は口先のごまかしで、えーっ、これって筋が通ってるじゃない、みたいな踊りを見せて、それを彼らは飲み込んでしまったのだ。「私たちは彼を信じていたんだ」と会社の社長は嘆いた。

もちろん、彼がそこにいられる時間は長くなかった。警察を同行させて、私たちは彼のWebサーバーと外付けハードドライブを押収（確保）した。そして彼が刑務所に入らなかったのは、このセキュリティ事故が多くの人にとってあまりにも後ろめたいことになってしまったからだ。

その後は少し落ち着いた。ドニーに関しては、もうITにいるという証拠は何も見ていない。まあ、私の知る限りでは、どこかで中古車を売っていて、「そのまま幸せに暮らしました」といった感じで生きているんだろう。