セキュリティ実装技術

要点と定義

セキュリティ実装技術は、システムやアプリケーションへの脅威に対する対策の仕組みと効果を理解し、適用する領域である。監査では、対策が何を対象にし、どのように働くかを確かめる。

WAFはWebアプリケーションへの通信を検査する。REST APIもWebアプリケーションなので、APIの脆弱性を狙う攻撃が防御対象になり得る。DNSやメールサービスへの攻撃とは対象が異なる。これは過去の出題で扱った補足である。

リバースプロキシは利用者の要求を受け、背後のWebサーバへ転送する。クライアント証明書を用いる構成では、利用者のPCが証明書を提示し、リバースプロキシが認証する。認証後、利用者IDなどをWebサーバへ伝える構成にすれば、複数のサーバでシングルサインオンを実現できる。証明書の提示方向と認証結果の転送方向は別々に捉える。これは過去の出題で扱った補足である。

ファジングは、ソフトウェアに多様なデータを入力し、その挙動を観察して脆弱性を見つける検査技術である。ネットワーク上の通信を監視する検査や、ログを調べる方法とは、対象と手段が異なる。これは過去の出題で扱った補足である。

CPSは、認証局が証明書の発行・管理などの認証業務をどのように運用するかを定める文書である。証明書所有者や第三者機関の運用文書とは役割が異なる。これは過去の出題で扱った補足である。

レインボーテーブル攻撃は、パスワード候補のハッシュ計算結果と還元処理を組み合わせた連鎖を事前計算し、入手したハッシュ値から対応する候補を探索する手法である。事前計算した連鎖を使う点が、ログイン時に候補を順に試す方法との違いである。これは過去の出題で扱った補足である。

DKIMは、送信側が電子メールに付けた署名を、受信側が公開鍵で検証する仕組みである。送信者の利用者認証や、送信元IPアドレスの評価とは確認対象が異なる。署名の検証だけで、表示上の差出人本人まで単独で証明できるとは限らない。これは過去の出題で扱った補足である。

認証VLANは、利用者や端末の認証結果に応じてVLANを割り当てる技術である。接続場所ではなく認証結果を割当ての基準にするため、席が変わる環境でもネットワーク区分を適用できる。これは過去の出題で扱った補足である。

オープンリダイレクトは、Webサイトの遷移機能がURLのパラメータで指定された転送先へ利用者を移動させる仕組みを悪用する攻撃である。正規サイトの転送機能を経由して、偽サイトへ誘導する場合がある。これは過去の出題で扱った補足である。

適用条件と例

社内の複数のWebサーバをリバースプロキシ経由で利用する構成では、証明書を受け取って認証する機器と、認証済みの利用者情報をサーバへ伝える機器の役割を確認する。WAFを選ぶときは、守る対象がWebアプリケーションへの通信かを見極める。

認証VLANを使う構成では、認証結果に応じてどのネットワーク区分が割り当てられるか、またサーバ側の許可条件がその区分と合っているかを確認する。固定された接続場所を基準にする方式では、席が変わる環境で利用者に応じた割当てができるとは限らない。