技術的セキュリティ対策

要点と定義

技術的セキュリティ対策は、ソフトウェア、データ、PC、サーバ、ネットワークなどに技術的な対策を施し、システム開発や運用業務への被害を防ぐ取り組みです。対策を選ぶときは、守る対象と攻撃の経路、対策が働く条件を確かめます。

マルウェアの検出方法は、何を手掛かりにするかで異なります。過去の出題で扱った補足として、実行中の読込み・書込み・通信などの振る舞いを監視するのがビヘイビア法です。登録済みパターンとの照合や、原本とのハッシュ値比較による改変確認とは、見ている情報が異なります。

対策の効果は、その仕組みがどの通信や対象に作用するかで判断します。過去の出題で扱った補足として、IPマスカレードは内部端末のアドレスをルータの外向きアドレスに変換し、外部から内部端末への直接接続を成立しにくくします。これだけであらゆる侵入を防ぐわけではありません。

適用条件と例

メール送信の遮断は、送信元アドレスやメールサーバへの経路を見て判断します。過去の出題で扱った補足として、OP25Bの対象となるのは、動的IPアドレスからISP外のメールサーバへ直接行うSMTP送信です。ISPのメールサーバを経由する場合は、この直接送信の条件に当たりません。

端末に危険なデータを持ち込ませない構成もあります。過去の出題で扱った補足として、VDIではサーバ側でブラウザを動かし、端末には画面情報を送って操作入力を受け取ります。Webデータそのものを端末に直接転送しないため、未知のマルウェアを含むファイルが端末にダウンロードされるリスクを抑えられます。

攻撃の分類では、攻撃者が何をしているかに注目します。過去の出題で扱った補足として、他人のPCの処理能力を無断で暗号資産のマイニングに使う攻撃は、クリプトジャッキングです。暗号資産を要求する攻撃と、PCのリソースを使ってマイニングする攻撃は区別します。

インシデント発生後の証拠調査は、運用中の検知と区別します。過去の出題で扱った補足として、削除されたログファイルを復元して痕跡を探す作業は、デジタルフォレンジックスの検査・分析に当たります。証拠の収集、検査、分析、報告という流れで捉えます。

認証の追加方法は、どの条件で追加認証を求めるかを確認します。過去の出題で扱った補足として、3Dセキュア2.0では、取引履歴やデバイス情報などを使ってリスクを評価し、高リスクと判断した取引で追加認証を行う説明が扱われました。すべての取引で同じ追加認証を求める方式とは異なります。

誤りやすい点

「マルウェア対策」と一括りにすると、検出と調査の役割を取り違えます。パターン照合は登録済みの特徴、ビヘイビア法は実行時の振る舞いを見ます。ハッシュ値の比較は改変の確認に使われます。また、ログの相関分析による運用中の検知と、インシデント後に証拠を調べるフォレンジックスも別の活動です。

仕組みの効果を、機能の範囲を超えて断定しないようにします。IPマスカレードは外部から始まる直接接続を成立しにくくするもので、通信の暗号化やWebサイトの安全判定を行うものではありません。VDIの画面転送はWebデータを端末へ直接渡さない構成ですが、それだけですべての情報持ち出し経路がなくなるわけではありません。