情報セキュリティ対策

要点と定義

情報セキュリティ対策は、情報やシステムに対する脅威の予防、検知、被害の抑制、発生後の調査などを組み合わせて行います。技術的な対策では、認証情報やセッションの管理、端末やネットワークの保護、マルウェア対策、証拠の調査などが扱われます。

セッションIDは、ログイン状態を識別する情報です。盗まれたIDを攻撃者が使うと、利用者になりすまして操作されるおそれがあります。重要情報を送る直前にパスワードで再認証すれば、IDだけを持つ攻撃者による閲覧を抑えられます。通信の暗号化やCookieへの保存だけでは、乗っ取られた有効なセッションの利用を止められません。

ログアウト時には、サーバ側で該当するセッションIDを無効にします。ブラウザのキャッシュを消すことや、IDを保存することは、サーバ側のセッション失効の代わりになりません。

ブルートフォース攻撃は、パスワード候補を総当たりで試す攻撃です。認証情報を狙う脅威を説明するときは、候補を繰り返し試す攻撃と、認証後のセッション情報を盗む攻撃などを区別します。

VDIでは、Webブラウザや取得データの処理をサーバ側で行い、利用者のPCには画面情報を送ります。Webから取得したデータをPCへ直接渡さない構成により、未知のマルウェアがPCへダウンロードされる危険を抑えます。

マルウェア対策には、既知のパターンとの照合など複数の検出方法があります。ビヘイビア法は、ファイルの読み書きや通信といった動作を監視して検出する方法です。

ディジタルフォレンジックスは、デジタル機器に残る情報を証拠として収集・検査・分析し、結果を報告する調査です。運用中の監視や検知と、発生後の証拠調査は目的とタイミングが異なります。

アクセス制御では、利用者の担当業務に応じて、必要な情報や機能だけを使えるようにします。例えば、経理担当者には経費処理機能を許可し、閲覧だけでよい担当者には承認操作を許可しない、といった設定が考えられます。

適用条件と例

再認証は、重要情報の送信や表示など、影響の大きい処理の直前に本人確認を追加する対策です。セッションID自体の管理と組み合わせて考えます。たとえば、社内ポータルで登録情報を変更するとき、ログイン中であってもパスワードの再入力を求めれば、セッションを盗んだだけの第三者が変更を完了しにくくなります。ログアウト時には別途、サーバ側でセッションを無効にします。

検出と調査は役割が違います。例えば、動作中の端末で不審な通信を見つけるのは検知の考え方です。侵害後に記録媒体を調べ、削除されたログを復元して痕跡を確かめるのは、証拠の検査・分析に当たります。

過去の出題で扱った補足として、IoT機器やサービスの安全性を出荷・リリース後も保つ対策例には、更新方法を検討し、機器に更新機能を搭載して更新を実施することが挙げられています。これは更新の計画から実施までを含むライフサイクル上の対策です。

過去の出題で扱った補足として、JPCERT/CCについては、コンピュータセキュリティインシデントの報告受付、対応支援、状況把握、手口の分析、再発防止の検討や助言を行う組織として問われました。インシデント対応では、組織内の技術対策だけでなく、報告や対応を支援する外部組織の役割も把握します。

誤りやすい点

通信を暗号化していても、利用者の端末やセッションIDがすでに侵害されている状況への対策にはなりません。セッションIDをURLに含めると、履歴やログなどから漏れる可能性もあります。対策を選ぶときは、脅威が通信経路、認証、セッションのどこにあるかを確認します。