6.セキュリティ

6.1. 情報セキュリティ

6.1.1. セキュリティマネジメントの3要素

情報セキュリティでは3つの要素を管理してうまくバランスさせることが必要とされる。

機密性 ... 情報が漏洩しないようにする
完全性 ... 情報が書き換えられず完全な状態を保つようにする
可用性 ... 利用者が必要なときに必要な情報を使用できるようにする

6.1.2. 情報セキュリティマネジメントシステム

情報セキュリティマネジメントシステムはJIS Q 27000として用語を定義したもの。

真正性 ... 利用者やシステムの振る舞いが明確であり、なりすましや偽情報でないことを証明すること
信頼性 ... システムが意図したとおりに確実に動くこと
責任追跡性 ... 情報資産に行われた操作について、ユーザと動作を一意に特定でき過去に遡って追跡できること
否認防止 ... ある活動または出来事が発生したとき、操作が行われた事実や発生した事象を証明できること

6.1.3. セキュリティポリシ

組織としてセキュリティに関してどう取り組むかを周知するものはセキュリティポリシとなる。

基本方針 ... 情報セキュリティに対して組織での基本方針を定める
対策基準 ... 基本方針を実現するために行う対策や基準を定める
実行手順 ... 日々の業務でどのように実施するか具体的な手順を定める

6.2. 情報資産における脅威

情報資産を取り巻く脅威には技術的脅威、人的脅威、物理的脅威の３種類がある。

6.2.1. 技術的脅威

種類	説明
パスワードリスト攻撃	どこかから入手したIDとパスワードのリストを用いて他のサイトへのログインを試みる手法
ブルートフォース攻撃	特定のIDに対し、パスワードとして使える文字の組み合わせを片っ端から試す手法で、総当たり攻撃と言われます
リバースブルートフォースト攻撃	ブルートフォース攻撃の逆でパスワードが固定でIDを片っ端から試す手法です
レインボー攻撃	ハッシュ値から元のパスワード文字列を解析する手法
SQLインジェクション	ユーザの入力をデータベースに問い合わせ処理を行うWebサイトで悪意あのある問い合わせや操作を行うSQL文を埋め込みデータベースのデータの改ざんや不正取得を行う手法
DNSキャッシュポイズニング	DNSのキャッシュ機能を悪用し偽のドメインを覚えさせることで、偽装サイトへ誘導する手法

人的脅威

種類	説明
ソーシャルエンジニアリング	人間の心理の隙をついて情報を盗む行為のこと
なりすまし	盗んだIDやパスワードを使用して、ネットワーク上でその人のふりをすること
サラミ法	不正行為が表面化しない程度に多数の資産から少しづつ詐取する方法

物理的脅威

物理的脅威は天候や地震などの災害、またはコンピュータの故障など、コンピュータが物理的に損害を受けて情報を失う脅威のこと。

6.3. リスクアセスメント

6.3.1. リスクとリスクアセスメント

リスク ... 様々な脅威が発生する可能性のこと
リスクアセスメント ... どんなリスクがあるのか洗い出し、発生する可能性のある損害を明らかにしたうえで対応策を考えること

6.3.2. リスク対策

リスクの対策には以下の方法がある。

種類	説明
リスク回避	リスクの原因を排除すること
リスク移転(リスク共有)	リスクを他人に肩代わりしてもらうこと
リスク軽減	リスクによる損失を許容範囲内に軽減させること
リスク保有	対策をしないでリスクをそのままにしておくこと

6.3.3. セキュリティパイデザイン

セキュリティパイデザインはシステムの規格/設計の段階からセキュリティを確保するためのセキュリティ対策を検討すること。

6.3.4. 情報セキュリティマネジメントシステム(ISMS)

情報セキュリティマネジメントシステム(ISMS)は情報セキュリティ維持のため、組織が情報を適切に管理し機密を守るための仕組みを確立し、継続的な運用/改善をしていくこと。 ISMSの確立手順は以下の流れで行う。

リスクの分割
リスクの評価
リスク対応のための管理目的/管理策の選択
適用宣言書の作成

6.4. コンピュータウィルス

6.4.1. コンピュータウィルスの定義

コンピュータウィルスは以下の3つの基準のうち1つを満たすとコンピュータウィルスと定義づけられる。(経産省基準)

自己伝染機能
潜伏機能
発病機能

6.4.2. コンピュータウィルスの種類

種類	説明
狭義のウィルス	他のプログラムに寄生し、その機能を利用する際に発病するもの
マクロウィルス	アプリケーションのもつマクロ機能を悪用したものでデータファイルに寄生し感染を広げる
ワーム	事故単身で複製を生成し、ネットワークを介し感染を広めるものであり作成が容易である
トロイの木馬	有用なプログラムであるように見せかけて、実行をユーザに促しその裏で不正な処理を行うもの

マルウェア

種類	説明
スパイウェア	情報収集を目的としたプログラムで、個人情報を収集し外部に送信する
ボット	感染したコンピュータをボット制作者の指示通りに動かすものである

C&Cサーバ

C&Cサーバはボットネットは以下にあるコンピュータに指令を送るサーバのこと。ボットネットはウィルスに感染したコンピュータ群で構成されたネットワークのこと。

6.4.3. コンピュータウィルスへの対策

ウィルス対策ソフト

ウィルス対策ソフトはコンピュータに入ったデータをスキャンし、データに問題がないかをチエックする。

ウィルス対策ソフトがウィルスを検出するためには既知のウィルス情報を記したウィルス定義ファイルが必要であり、これを常に最新状態に保つことが重要である。

パターンマッチング方式

既知のウィルス情報(シグネチャーコード)を使用してウィルスの検知や駆除を行う方法はパターンマッチング方式と呼ばれる。

ビヘイビア法(動的ヒューリスティック法)

ビヘイビア法は実行中のプログラムの挙動を監視して、不審な処理が行われていないか検査する方法であり、未知のウィルスを検出できる。

方法としては監視下で直接実行させて不審な動きがあるプログラムは即座に停止させ、仮想環境でも実行させて危険な行動か監視する。

6.5. 暗号化と認証

6.5.1. データの暗号化

暗号化はデータを第三者に解読できない暗号文に変換する方法のこと。復号は暗号化したデータをもとに戻すことをいう。

6.5.2. 共通鍵暗号方式と公開鍵暗号方式

共通鍵暗号方式

共通鍵暗号方式は送り手と受け手が同じ鍵を用いる暗号化方式。

公開暗号化方式

公開鍵暗号方式は公開鍵という公用の鍵を持ち、公用鍵は公開して暗号化し、複合には秘密鍵を用いる方式。

共通鍵暗号方式よりも暗号化や復号に大変時間がかかる特徴がある。

6.5.3. ディジタル署名

暗号化にはデータ全体を暗号化するのではなく、ハッシュ化という手法で短い要約データ(メッセージダイジェスト)を作成しそれを暗号化することでディジタル署名とする。

元データが同じ場合、ハッシュ関数は必ず同じメッセージダイジェストを生成するため、復号結果と受信したデータから新たに取得したメッセージダイジェストを比較して一緒であれば改ざんしていないと言える。

6.5.4. CA(認証局)

認証局(CA)は公開鍵がその本人のものであるか証明する機関のこと。

認証局に公開鍵を登録し、登録した鍵によりその身分を保証するという仕組みとなる。この認証機関と公開鍵暗号技術を用いて通信の安全性を保証する仕組みは公開鍵基盤(PKI) と呼ばれる。

6.5.5. SSL

SSLはサーバとクライアント間の通信を暗号化するプロトコルのこと。

6.6.6. IPSec

IPsecはインターネットで暗号通信を行うためのネットワーク層で動作するプロトコルの総称。AHとESPの２種類がある。

種類	説明
AH	パケットが改ざんされていないか認証を行う
ESP	ペイロードと呼ばれる通信内容部分を暗号化し認証や暗号化情報を付与する

6.6.7. S/MIME

S/MIMEは電子メールの公開鍵暗号方式による暗号化とディジタル署名について定めた規格。この仕組みにより確かな送信者からのメールであることと改ざんされていないことを保証できる。

6.6. ネットワークセキュリティ

6.6.1. ユーザ認証

コンピュータシステムの利用にあたりユーザ認証を行うことでセキュリティを保つ。

ユーザ認証をパスしてシステムを利用可能な状態にすることはログイン、システムの利用を終了しログイン状態を打ち切ることはログアウトと呼ばれる。

ユーザ認識の手法

認証手法	説明
ユーザIDとパスワードによる認証	ユーザIDとパスワードの組み合わせを用いて個人を識別する認識方法である。
CAPTCHA認証	一部をゆがめた画像から文字を認識して入力させる技術
バイオメトリクス認証	指紋や声帯や虹彩などの身体的特徴を使って個人を認証する方法であり、生体認証とも呼ばれる。
ワンタイムパスワード	一度限り有効な使い捨てのパスワードを用いる認証方法。
コールバック	サーバに接続する場合、いったんアクセスした後に回線を切り、逆にサーバからコールバックさせることでアクセス権を確認する認証方法。

6.6.2. ネットワークのセキュリティ対策

ファイヤーウォール

LANの中と外を仕切る役割をするのがファイヤーウォールであり、機能のことを指すため定まった設置方法はない。ファイヤウォールを設置するとDMZと呼ばれる内部ネットワークと外部ネットワークの間にどちらからも隔離されたネットワークができる。

実現方法にはパケットフィルタリングやアプリケーションゲートウェイがある。

パケットフィルタリング

パケットフィルタリングではパケットのヘッダ情報を見て、通過の可否を判定する。通常アプリケーションが提供するサービスはプロコトルとポート番号で区別されるため、通過させるサービスを選択することとなる。

アプリケーションゲートウェイ

アプリケーションゲートウェイはプロキシサーバとも呼ばれ外部とのやり取りを代行して行う機能である。

通信する側から見るとプロキシサーバしか見えないため、LAN内のコンピュータにが不正アクセスの標的になることを防ぐことができます。

アプリケーションゲートウェイ型のファイヤーウォールにはWAF(Web Application Firewall) があり、Webアプリケーションに対する外部アクセスを監視するもので、パケットフィルタリングと異なり、通信データの中身までチェックすることで悪意を持った攻撃を検知する。

ペネトレーションテスト

ペネトレーションテストは既存手法を用いて実際に攻撃を行い、これによりシステムのセキュリティホールや設定ミスと言った脆弱性の有無を確認するテストのこと。

侵入検知システム

侵入検知システムはIDSとも呼ばれ、コンピュータやネットワークに対する不正行為を検出し通知するシステム。

rootkit

rootkit(ルートキット) は攻撃者が不正アクセスに成功したコンピュータを制御できるようにするソフトウェアの集合のこと。

rootkitには侵入の痕跡を隠蔽するログ改ざんツールや、リモートからの侵入を簡単にするバックドアツール、改ざんされたシステムツール群などが含まれる。

SIEM

SIEM(Security Information and Event Management)はファイヤウォールやIDS、プロキシなどからログを集めて総合的に分析すること。

SIEMツールは異常を自動検知し、管理者が迅速に対応できるようにする支援する仕組みのこと。