実践ネットワークセキュリティ監査
監訳者まえがき
現在のソフトウェアおよびシステムは、非常に複雑な内部構造を持っている。例えば、単純な5行のC言語プログラムを実行するにしても、そのプログラムから生成される実行コードは、10,000バイトにもおよぶ。そして、その実行コードも、OSという大規模かつ複雑なシステムがなければ実行できない。また、ネットワーキングには、通信プロトコルという厳密な論理性が要求される手順が必要である。そして、ソフトウェアおよびシステムは、いくつかの開発方法論があるにせよ、結局、人間の感性と経験により開発されている。そのため、「ソフトウェアもしくはシステムには、必ず、バグ（弱点）が存在する」という認識が必要である。
一方、インターネットをはじめとするネットワーキング環境は、ビジネスおよび生活の基本インフラとして、社会生活に大きな影響を与えている。そのため、たとえバグが存在するシステムであろうと、それらを安全に日々運用していかなくてはならない。つまり、「セキュリティ対策の本質とは、バグを潜在的に抱えるシステムを運用する技術であり、セキュリティ監査とは、そのようなバグを発見することである」といえる。そして、この初期的な実践方法は、最新セキュリティ勧告などの定期収集および侵入テストなどにより、公知のバグを確実につぶしていくことである。
しかし、これだけでは不十分である。つまり、ワームなどにより、勧告が出される前に被害が広がることも多い。そのため、「攻撃により、いくつかのシステムは攻撃者の手中に落ちる（もしくは、新規バグの発生および発見は必ず発生する）という認識を持ち、何重もの防御策およびセキュリティ対策をあらかじめ用意する」ことが必要である。また、このセキュリティ対策自体も複雑な手順の組み合わせである。そのため、「物理的なシステムのみならず、セキュリティ対策というヒューマンシステムにもバグが存在する」という認識も必要である。つまり、ネットワーク的な何重もの防御策だけではなく、セキュリティ対策における何重もの対応策が必要である。
本書は、このようなセキュリティ対策の方法論における、バグの発見に焦点を合わせている。つまり、セキュリティ監査の方法論に関しては、すでに多くの研究および体系化された手法が存在する。しかし、バグの発見に関しては、脆弱性の羅列程度のものが存在するだけである。そのため、本書では、バグの発見を、バグおよびその攻略法の実例を交えながら、体系立てて解説することに主眼を置いている。残念ながら、この体系化は、完全に達成されているとはいえない。しかし、体系化された本質部分を軸としてセキュリティ監査を見渡そうとするスタンスから学びえるところは多い。また、優秀なセキュリティ管理者となるには、コンピュータおよびネットワークに対する、深く広い知識が必要である。ただし、このような知識の習得には、膨大な時間と努力が必要である。そのため、本書のような体系化された書籍では、これら広範囲の技術から本質部分のみを短期間に学ぶことを目標にしている。そして、本書は、十分この目標に到達していると思う。
ただし、本書の原書には、広範囲の技術を追うあまり、多数の技術的間違いが存在した（特に4章および13章）。また、昨今の出版事情（書き捨て的に、短時間で大量の出版を行う）のためか、技術文章としてふさわしくない表現がとられている部分も多い。そのため、日本語版では、原文の意図を残しながら、かなりの書き換えを行った。この結果、表現および技術的内容において、原書とはまったく異なる日本語になっているところが多いことをご了承いただきたい。また、今回の日本語翻訳版作成にあたり、日々生み出され、発見し続けられるバグ情報を本書に取り込むことは諦めた。その代わり、原書において割愛されていた基本事項（SQLインジェクションによる認証機能の迂回、ヒープの二重解放など）を追加した。また、これらの日本語版における追加項目は、付録もしくは監訳者注という形をとらず、本文中に含ませてあることに注意されたい。つまり、これらの作業により、日本語版を、原書のセカンドエディション的なものに仕上げたつもりである。これらの作業により、より多くの読者がネットワークセキュリティの本質部分を理解できるようになれればと願っている。ただし、書き換えた部分が多いため、日本語版では、新たな間違いを生み出してしまった可能性がある。本書における不明点等は、まず、監訳者もしくはオライリー・ジャパンまで、お問い合わせいただきたい。
本書では、攻略ツールおよび関連ドキュメントに対する多数のURLが掲載されている。しかし、URLを手入力するのは煩雑である。私のホームページに、これらURLを格納したページ（http://www.kosho.org/books/networksa/）を用意したので、本書を読み進めるにあたり、ご活用いただきたい。
この翻訳作業において、株式会社ネットワークバリューコンポネンツの高橋智美、先浜健一、神宮寺健、塚本正実、李容旻の方々にお手伝いをいただいた。そして、予定からかなり遅れた翻訳作業を温かく見守ってくださったオライリー・ジャパンの宮川直樹氏およびNVCの渡辺進社長に感謝いたします。細かな質問に答えてくださった本書の原著者であるChris McNab氏に感謝したします。（私の愛読書である森巣博氏の著作から言葉を借りて）最後に、ただし些細なことでなく、妻 敬子が、ただそこに居てくれたことに感謝します。
2005年2月
鍋島 公章