セキュリティ実装技術

要点と定義

セキュリティ実装技術では、脅威や守りたい対象に応じて対策を選び、その仕組みと効果を理解して適用します。認証・認可、ネットワークや通信の保護、アプリケーションへの攻撃対策などが含まれます。

認証VLANは、利用者や端末の認証結果に応じて接続先のVLANを割り当てる方式です。ポートにVLANを固定する方式と違い、席が変わっても認証結果に応じたネットワーク分離ができます。認証結果に対応するセグメントからのアクセスだけを許可する設計と組み合わせられます。

ベイジアンフィルターは、迷惑メールと正規メールに分類された例から特徴を学び、新しいメールを統計的に判定します。送信元の許可リストや送信元サーバの検証、第三者中継サーバの情報を使う方式とは、判定に使う情報が異なります。

過去の出題で扱った補足として、ブロックチェーンではハッシュ値を用いてデータの改ざんを検出できます。これはセキュリティ対策の仕組みと効果を理解する例です。

過去の出題で扱った補足として、DNSキャッシュポイズニングへの対策では、問い合わせに対応する偽応答を攻撃者が当てにくくすることが重要です。DNSヘッダーのIDを問い合わせごとに予測困難な値にランダム化すると、偽応答に正しいIDを付けにくくなります。

過去の出題で扱った補足として、エクスプロイトコードはソフトウェアの脆弱性を悪用するコードです。脆弱性の再現や検証に使われる場合もあります。

過去の出題で扱った補足として、リスクに応じた本人認証では、取引情報や利用環境などからリスクを評価し、高リスクと判断した場合に追加認証を求める考え方があります。

過去の出題で扱った補足として、公開鍵暗号方式では各利用者が公開鍵と秘密鍵の組を持ちます。n人が一組ずつ持つとき、鍵の総数は2n個です。受信者だけに復号させるには、受信者の公開鍵で暗号化し、対応する秘密鍵で復号します。

IPsecはIP層で通信を保護し、IPv6通信にも利用できます。暗号化を行う機能と、暗号化を行わず認証などを担う機能があるため、採用する機能を確認します。

適用条件と例

利用者が席を移動する職場で、役割に応じて接続先を分ける場合、ポート固定の割当てでは移動先に合わせた設定が必要になることがあります。認証結果に応じてVLANを割り当て、サーバ側のアクセス許可と結び付ければ、接続場所に依存しない分離を設計できます。

迷惑メール対策を選ぶときは、何を判定材料にするかを見ます。分類済みメールの特徴を学ぶ方式はベイジアンフィルターです。送信元の登録状況やサーバ情報を参照する方式とは区別します。

DNS問い合わせのIDを予測困難にする対策は、偽応答を正しい問い合わせへの応答として受け入れさせる攻撃を難しくするためのものです。問い合わせごとに値をランダム化する点が手掛かりです。過去の出題で扱った補足です。