Loading article…
ジャンプサーバー、ジャンプ ホスト、またはジャンプ ボックスは、別のセキュリティ ゾーンにあるデバイスにアクセスして管理するために使用されるネットワーク上のシステムです。ジャンプ サーバーは、2 つの異なるセキュリティ ゾーンにまたがり、それらの間の制御されたアクセス手段を提供する、強化され監視されたデバイスです。最も一般的な例は、信頼できるネットワークまたはコンピューターからDMZ内のホストを管理することです。
背景
1990 年代にコロケーション施設が一般的になったとき、異なるセキュリティ ゾーン間のアクセスを提供する必要がありました。このニーズを満たすために、ジャンプ サーバーの概念が登場しました。ジャンプ サーバーは 2 つのネットワークにまたがり、通常はSOCKSなどのプロキシ サービスと組み合わせて使用され、管理デスクトップから管理対象デバイスへのアクセスを提供します。SSHベースのトンネリングが一般的になるにつれて、ジャンプ サーバーは事実上のアクセス方法になりました。
実装
ジャンプ サーバーは、管理セッションが確立されると DMZ 上のデバイスを透過的に管理できるように、多くの場合、セキュア ゾーンと DMZ の間に配置されます。ジャンプ サーバーは、トラフィックの単一の監査ポイントとして機能し、ユーザー アカウントを管理できる単一の場所としても機能します。管理者候補は、DMZ 資産にアクセスするためにジャンプ サーバーにログインする必要があり、すべてのアクセスは後で監査できるようにログに記録されます。
ユニックス
一般的な構成は、 SSHとローカルファイアウォールが構成された強化された Unix (またはUnix ライクな) マシンです。管理者は、管理者の個人用コンピュータからジャンプ サーバーに SSH 接続を行い、次に SSH 転送を使用してターゲット マシンにアクセスすることで、DMZ 内のターゲット マシンに接続します。
SSH ポート転送またはターゲット ホストへの SSH ベースのトンネルを使用すると、特別なファイアウォール ルールを作成したり、内部ネットワーク上のトラフィックを公開したりすることなく、安全でないプロトコルを使用してサーバーを管理できます。
ウィンドウズ
典型的な構成は、管理者が接続するリモートデスクトップサービスを実行するWindowsサーバーです。これにより、安全なインフラストラクチャが管理者のワークステーションの構成から分離されます。 [1] Windows 10（ビルド1809以降）およびWindows Serverエディション2019および2022でOpenSSHサーバーを有効にすることもできます。[2]
セキュリティリスク
ジャンプサーバーはネットワーク設計上の潜在的なリスクです。[3]ジャンプサーバーのセキュリティを向上させる方法はいくつかあります。
- ネットワークを適切にサブネット化/セグメント化し、[4]ファイアウォール[5]またはルーターを使用してVLANを保護します。
- 多要素認証などのよりセキュリティの高い認証を使用する。[5]
- ジャンプサーバー上のオペレーティングシステムとソフトウェアを最新の状態に保つ。[6]
- ACLを使用してアクセスを制限する。[7]
- ジャンプサーバーからインターネットの残りの部分への発信アクセスを許可しない。[8]
- ジャンプサーバー上で実行できるプログラムを制限する。[9]
- 強力なログ記録を有効にして、疑わしいアクティビティを監視し、警告します。[6]
ジャンプサーバーは高いリスクを伴う可能性があるため、VPNはより安全で適切な代替手段となる可能性がある。[10]
2015年、侵入されたジャンプサーバーにより、攻撃者は2150万件以上の記録にアクセスすることができ、これは米国史上最大の政府データ侵害の一つとなった。[11]
参照
参考文献
- ^ 「安全な管理ホストの実装」。docs.microsoft.com。2021年 7 月 29 日。
- ^ robinharwood. 「Windows 用 OpenSSH を使い始める」. learn.microsoft.com . 2022 年 12 月 2 日閲覧。
- ^ Grimes, Roger A. (2017 年 7 月 26 日)。「ジャンプ ボックスと SAW は、正しく設置すればセキュリティが向上します」。CSO Online。
- ^ Pompon, Raymond; Vinberg, Sander (2021-09-21). 「分離とジャンプ ボックスによる重要なシステムの保護 - F5 Labs」。F5 Labs 。2022-01-28に閲覧。
- ^ ab Hess, Ken. 「Jump Box Security » Linux Magazine」。Linux Magazine 。2022年1月28日閲覧。
- ^ ab 「4つのOT/ITネットワークセグメンテーション手法 - サイバーレジリエントな構成の選択 - Applied Risk」。Applied Risk。2021年11月24日。 2022年1月28日閲覧。
- ^ 「ジャンプサーバー」。インテリジェントなシステム監視 – システム監視を簡単に。2018年5月3日。 2022年1月28日閲覧。
- ^ 「安全なインタラクティブリモートアクセスのガイダンス」（PDF）。North American Electric Reliability Corporation。2011年8月24日。38ページ。 2022年1月28日閲覧。
- ^ Grimes, Roger A. (2017-07-26). 「ジャンプボックスとSAWは、正しく設置すればセキュリティを向上させます」。CSO Online 。 2022年1月28日閲覧。
- ^ Bhargava, Rajat (2014 年 1 月 10 日)。「ジャンプ ボックスは時代遅れか?」O'Reilly Radar。
- ^ Koerner, Brendan (2016年10月23日). 「米国政府を震撼させたサイバー攻撃の内幕」Wired .
外部リンク
- Wimmer, Peter Kai。「セキュア ネットワーク ゾーン」(PDF)。ATSEC情報セキュリティ。2016 年 3 月 8 日のオリジナル(PDF)からアーカイブ。
- Mathis, Roland (2004-09-20)。「安全なユーザー Chrooted SSH ジャンプホストのインストール」( PDF)。GIAC。2019年 6 月 12 日閲覧。