セキュリティ実装技術

要点と定義

セキュリティ実装技術は、守る対象と仕組みが働く場所、判定に使う情報を対応させて選びます。通信制御、通信保護、認証、メール判定などは、それぞれの目的と仕組みを区別して考えます。

パケットフィルタリング型ファイアウォールは、送信元・宛先のIPアドレスやポート番号などを規則と照合し、パケットを通すか判断します。通信内容のURLやアプリケーションの入力値を調べる仕組みとは、基本的な判定材料が異なります。

ベイジアンフィルタは、利用者が迷惑メールと正規メールに分類した例から特徴を学び、新しいメールを統計的に判定します。過去の出題で扱った補足として、送信元の許可リスト照合やサーバ認証とは、判定の根拠が異なります。

IPsecは、IP通信をネットワーク層で保護するプロトコル群で、IPv6通信にも利用できます。過去の出題で扱った補足として、IPsecには認証ヘッダのAHと暗号ペイロードのESPが含まれます。

ログアウト時にサーバ側でセッションIDを無効にすれば、そのIDによるセッションの継続を防げます。ブラウザのキャッシュを消去するだけでは、サーバ側のセッションは無効になりません。

オンライン決済の3Dセキュアは、カード発行会社による追加認証を行う仕組みです。カード情報の確認だけと、カード名義人を追加で認証することは役割が異なります。

過去の出題で扱った補足として、AESの鍵長は128、192、256ビットから選びます。ブロック長を基準に鍵長を増減して決める条件ではありません。

過去の出題で扱った補足として、与えられたハッシュ値を出力する入力を見つけにくい性質は原像計算困難性です。同じ値になる異なる入力を探す困難さとは、探索の設定が異なります。

適用条件と例

メールを分類済みの例から学習する運用では、正規メールを迷惑メールと誤分類した際に、そのメールを正規メールとして分類し直した例を学習に使えます。これは分類例から特徴を学ぶ仕組みの適用例です。

管理用サーバへの接続を必要な相手と宛先ポートに限る場合、パケットフィルタリングの規則で送信元・宛先アドレスやポートを指定します。URLや入力内容による制御が必要なら、それらを判定できる別の仕組みを検討します。

IP通信をネットワーク層で保護する必要がある場合、IPsecが選択肢になります。過去の出題で扱った補足として、暗号方式AESの鍵長は128、192、256ビットのいずれかです。通信を保護する層と、暗号方式の鍵長は別の観点です。