セキュリティ実装技術

要点と定義

セキュリティ実装技術では、通信、OS、ネットワーク、データベース、アプリケーションの各層で、脅威に応じた対策を選び、その仕組みと効果を理解します。対策は、何を守るか、どこで動くか、どの脅威を抑えるかを対応させて考えます。

セキュアプロトコルの一つであるIPsecは、IP層で通信を保護します。ネットワーク層で通信を暗号化する場合に方式を選ぶ判断に必要です。過去の出題で扱った補足として、暗号化を担うESPと、暗号化を行わないAHは区別します。

認証・認可技術は、利用者や通信相手の確認と、利用できる機能・情報の判断に関わります。SAMLは認証情報や属性、認可に関する情報を異なるドメイン間で交換するための仕様です。過去の出題で扱った補足として、情報をドメイン間で伝える役割を把握しておくと、ほかのWebサービス仕様と区別できます。

公開鍵暗号方式では、利用者ごとに公開鍵と秘密鍵の一組を持ちます。したがって、利用者が n 人なら、一組を二つの鍵として数える条件では合計は 2n 個です。鍵を通信相手の組ごとに増やすのではなく、各利用者の鍵ペアを数えることが判断の要点です。過去の出題で扱った補足です。

ネットワークセキュリティでは、ネットワーク上の脅威に対して、通信の監視・制御や中継などの仕組みを使います。リバースプロキシは公開サーバの前段で、外部からそのサーバに向かう要求を中継します。通信の向きと中継点の位置を見分けることが役割を判断する手掛かりです。

適用条件と例

DNSキャッシュポイズニングは、偽の応答をDNSサーバに受け入れさせ、誤った情報をキャッシュさせようとする脅威です。問い合わせに使うヘッダー内のIDを予測困難にすると、偽応答を対応付けられにくくできます。送信元ポート番号を固定することは予測を容易にし得るため、対策の判断では固定とランダム化を混同しません。過去の出題で扱った補足です。

シラバスの認証・認可技術にはDNSSECが含まれます。DNSの情報を検証する対策を考えるときは、問い合わせ値のランダム化のような偽応答を当てにくくする工夫と、DNSSECによる検証を同じ仕組みだと扱わず、それぞれの目的を確認します。

ネットワークセキュリティのCASBは、クラウドサービスの利用状況を可視化し、制御やポリシー適用を支援する仕組みとして扱われます。組織の許可を得ていないサービス利用者の把握には、利用状況の可視化が役立ちます。過去の出題で扱った補足であり、脆弱性診断、DDoS対策、施設の入退室管理とは役割が異なります。

アプリケーションセキュリティでは、脆弱性検査やセキュアプログラミングなどを、アプリケーションへの攻撃を抑えるために適用します。エクスプロイトコードは脆弱性を悪用するコードであり、脆弱性の検証にも使われることがあります。マルウェア検知用のシグネチャや、メッセージ認証コードとは目的が異なる用語です。過去の出題で扱った補足です。

例えば、検索画面からデータベースに問い合わせる処理では、入力値をSQL文の構造と分離するプレースホルダを使うと、入力値が命令として解釈される危険を抑えられます。これはシラバスにあるSQLインジェクション対策の例です。利用する実装方式や動作の細部は、SQL方言や環境に応じて確認します。