セキュリティ実装技術

要点と定義

セキュリティ実装技術では、脅威が現れる場所と対策の働きを対応させます。通信を検査するのか、プログラムを隔離して動かすのか、処理をサーバ側に置くのかを見分けると、対策の適用範囲を判断できます。

DNS水責め攻撃では、標的ドメイン配下の存在しない名前をランダムに大量問い合わせし、権威DNSサーバに問い合わせを集中させます。名前が毎回異なるためキャッシュを利用しにくく、サーバの処理負荷を高めます。過去の出題で扱った補足です。

公開鍵暗号方式では、利用者ごとに公開鍵と秘密鍵の組を持ちます。一組を二つの鍵と数えるので、利用者がn人なら鍵の総数は2n個です。例えば5人なら、5組×2個で10個です。利用者間の組合せ数ではなく、各人の鍵を数えます。過去の出題で扱った補足です。

S/MIMEは電子メールの暗号化や電子署名に使う仕組みです。本文を共通鍵で暗号化し、その共通鍵を受信者の公開鍵暗号で渡す構成では、本文の暗号化と鍵の受渡しで方式の役割を分けます。過去の出題で扱った補足です。

クロスサイトスクリプティング（XSS）は、入力値などに含まれた悪意あるスクリプトがWebページに混入し、そのページを見た人のブラウザで実行される攻撃です。入力内容をページへ出力するときに適切な処理をすることが対策の要点です。過去の出題で扱った補足です。

Webアプリケーションファイアウォール（WAF）は、Webアプリケーション宛ての通信を検査し、攻撃と判断した通信を検知・遮断します。サンドボックスは、疑わしいプログラムを隔離領域で動かし、領域外への影響を抑えます。前者は通信、後者はプログラムの実行環境に着目します。過去の出題で扱った補足です。

VDIでは、WebブラウザとWebサイトのデータ処理をサーバ側で行います。利用者のPCは操作入力を送り、画面情報を受け取ります。Webから得たデータをPCへ直接渡さない構成により、未知のマルウェアがPCへ届くリスクを抑えます。過去の出題で扱った補足です。

DTCP-IPは、IPネットワーク上で機器の認証やコンテンツ保護を行う方式です。ネットワーク上の機器間でコンテンツを扱う用途であり、HDMIの伝送経路を保護する方式とは対象が異なります。過去の出題で扱った補足です。

適用条件と例

対策は、守りたい対象と処理の位置に合わせます。Webアプリケーション宛ての通信を検査するならWAF、疑わしいプログラムを隔離して動かすならサンドボックス、Web閲覧処理を利用者PCから分けるならVDIが候補です。いずれも効果は対象や構成に依存します。

例えば、Webアプリケーションの入口でリクエストを検査する構成と、検証用の隔離領域でプログラムを実行する構成では、介入する対象が違います。前者は通信を、後者はプログラムの実行を扱います。