情報セキュリティ対策と実装技術

ファイアウォールは、通信元や通信先、ポート番号などの条件に基づいて通信を許可・拒否します。外部公開用サーバを内部ネットワークから分離するDMZと組み合わせる構成もあります。

IDSは不審な通信を検知する仕組み、IPSは検知に加えて通信の遮断などを行う仕組みです。検知するIDSと、防止まで行うIPSを取り違えないようにします。

IDSは検知、IPSは検知して防止まで行う。

EDRはPCなどの端末の挙動を継続的に監視し、不審な活動の検知や調査、対応を支援します。DLPは機密情報がメールや外部媒体などを通じて持ち出されることを防ぐための仕組みです。

複数の機器やソフトウェアが出力するログを集約して分析する仕組みとしてSIEMがあります。EDRは端末、DLPは情報持出し、SIEMはログの集約・分析という役割で区別します。

EDRは端末、DLPは漏えい、SIEMはログ分析。

ランサムウェア対策では、感染そのものを防ぐ対策だけでなく、被害後に復旧できるようバックアップを準備します。バックアップ先を常時接続したままにすると、攻撃時に同時に暗号化されるおそれがあります。

複数の媒体や場所にデータを分散して保存する考え方も有効です。予防だけでなく、復旧できる状態を用意することもセキュリティ対策です。

防ぐだけでなく、復旧できる備えも行う。

共通鍵暗号方式は、暗号化と復号に同じ鍵を使います。処理が比較的速い一方で、通信相手へ安全に鍵を渡す方法が課題になります。

公開鍵暗号方式では、公開してよい鍵と本人だけが持つ秘密鍵を組み合わせます。機密性を目的に送信する場合は、受信者の公開鍵で暗号化し、受信者の秘密鍵で復号するのが基本です。

秘密を送るなら受信者の公開鍵で暗号化。

実際の通信では、共通鍵暗号方式と公開鍵暗号方式を組み合わせたハイブリッド暗号方式が利用されます。データ本体は高速な共通鍵方式で暗号化し、その共通鍵を公開鍵方式で安全に受け渡します。

これにより、共通鍵方式の速さと公開鍵方式の鍵配送のしやすさを両立できます。すべてのデータを公開鍵方式だけで暗号化するとは限らない点が狙われます。

本体は共通鍵、鍵の受渡しに公開鍵方式。

ハッシュ関数は、入力データから一定の長さの値を計算する仕組みです。元のデータが少し変わるだけでも結果が大きく変わるため、改ざんの検出などに利用されます。

ハッシュ値から元のデータを復元することを目的とした仕組みではありません。暗号化は復号を前提にするが、ハッシュは元に戻す処理を前提としないと区別します。

ハッシュは改ざん検出に使い、復号はしない。

デジタル署名では、送信者側が自分の秘密鍵を使って署名を作成し、受信者側が送信者の公開鍵を使って検証します。これにより、送信者の確認やデータが改ざんされていないことの確認に役立ちます。

デジタル署名の主な目的は真正性や完全性の確認であり、内容を秘密にすることではないと押さえます。機密性を高めるには、別途暗号化が必要です。

署名は送信者確認と改ざん検出、暗号化とは別。

タイムスタンプは、あるデータが特定の時点に存在し、その後変更されていないことの確認に利用されます。電子文書の存在時刻や改ざん有無を確認する場面で使われます。

リスクベース認証は、接続元の場所や端末、利用時間などを基に危険度を判断し、必要に応じて追加認証を求める考え方です。普段と異なる利用状況を手掛かりに認証を強めるのが特徴です。

リスクが高い状況なら追加認証を求める。

利用者認証の要素は、知識、所持、生体の三つに整理できます。パスワードや暗証番号は知識、ICカードやスマートフォンは所持、指紋や顔は生体に分類されます。

多要素認証は、異なる種類の認証要素を二つ以上組み合わせる方法です。パスワードと秘密の質問はどちらも知識要素なので、それだけでは多要素認証にならないことがあります。

異なる種類の認証要素を組み合わせるのが多要素認証。

ワンタイムパスワードは、一度だけ、または短時間だけ有効なパスワードを使う方式です。同じ値を繰り返し使わないので、固定パスワードの漏えいリスクを減らせます。

シングルサインオンは、一度の認証で複数のシステムやサービスを利用できるようにする仕組みです。認証を省略する仕組みではなく、最初の認証結果を複数サービスで利用すると考えます。

SSOは一度の認証で複数サービスを利用する仕組み。

生体認証は、指紋、顔、虹彩、静脈、声など、本人の身体的・行動的特徴を利用する認証方式です。カードのように持ち忘れにくく、パスワードのように暗記する必要がないという特徴があります。

一方、生体情報は漏えいしたときに簡単に変更できない点に注意が必要です。利便性だけでなく、認証精度と情報管理の両方を考える必要があります。

生体情報は便利だが、漏えいしても変更しにくい。

本人拒否率（FRR）は、本当の本人を誤って拒否する割合です。他人受入率（FAR）は、本人ではない人を誤って受け入れる割合です。

判定を厳しくすると他人を受け入れにくくなる一方で、本人まで拒否する可能性が高まります。FARとFRRは、どちらを下げてももう一方がそのまま下がるとは限らない点を押さえます。

FRRは本人を拒否、FARは他人を受け入れる誤り。

PKIは、公開鍵とその所有者との対応を信頼できる仕組みで確認するための基盤です。中心となるCAは、本人や組織を確認した上でデジタル証明書を発行します。

Webサイトでは、サーバ証明書を使って接続先サーバの正当性を確認します。証明書は公開鍵と所有者を結び付ける役割をもつと理解します。

CAが証明書を発行し、公開鍵と所有者を結び付ける。

証明書の信頼性は、上位の認証局をたどり、最終的に信頼済みのルート証明書へつながるかで確認します。この信頼の起点をトラストアンカーと呼ぶことがあります。

有効期間中でも秘密鍵の漏えいなどで証明書を無効にする場合があります。CRLは、そのように失効した証明書を確認するための情報です。

CRLは、有効期限前に失効した証明書の確認に使う。

セキュリティバイデザインは、システムを作り終えてから対策を追加するのではなく、企画や設計の段階からセキュリティを考慮する考え方です。後から大幅な修正をするより、初期段階で必要な対策を組み込むことを重視します。

個人情報の扱いでは、設計時からプライバシー保護を考えるプライバシーバイデザインという考え方もあります。安全やプライバシーを後付けではなく設計時から組み込むのが共通点です。

安全性やプライバシーは設計段階から組み込む。

SQL文を組み立てる入力欄などに悪意ある文字列を入れ、データベースを不正操作する攻撃をSQLインジェクションといいます。入力値を適切に処理し、SQL文とデータを分離して扱うことが対策になります。

Webページに悪意あるスクリプトを混入させ、閲覧者のブラウザ上で実行させる攻撃がクロスサイトスクリプティングです。WAFは、Webアプリケーションへの不正な通信を検知・遮断する対策に利用されます。

SQL注入はDB、XSSはブラウザ上のスクリプト実行を狙う。

IoT機器では、通信の暗号化、認証、ソフトウェア更新、初期パスワードの変更などを組み合わせて対策します。機器が物理的に触られる可能性もあるため、内部の秘密情報を取り出しにくくする耐タンパ性も重要です。

起動時にOSやファームウェアが正規のものか確認し、不正に改ざんされたソフトウェアの起動を防ぐ仕組みとしてセキュアブートがあります。IoTではネットワーク対策だけでなく機器そのものの保護も考える必要があります。

IoTは通信、ソフト、機器本体の三方向から守る。