ネットワークとアクセス制御

ネットワークとアクセス制御は、許可された通信だけを通し、利用者や端末を確認したうえで、資源へ到達できる範囲を限定する考え方である。攻撃者が一つの場所に侵入しても被害が広がらないように、通信の経路と権限を分けて設計することが目的である。本単元では、通信の変換、端末の認証に基づく割り当て、攻撃を受けにくくする対策、実行環境の隔離という四つの観点で整理する。

通信の変換と到達の制限

ファイアウォールは、送信元や宛先のアドレス、ポート番号などの条件に従って通信の通過を決める機器である。内部ネットワークから外部へ出る通信と、外部から内部へ入る通信を区別して扱うことが基本となる。

NAPT機能は、内部の端末の送信元IPアドレスとポート番号を、外部向けのアドレスとポート番号へ対応付けて変換する仕組みである。対応付けがない外部からの新規通信は内部の端末へ届きにくいため、家庭内の端末を外部から直接見えにくくする効果が得られる。

ただし、この効果を不正アクセスの完全な防止と読み替えてはならない。ポート転送などで対応付けを設定すれば外部から接続できる場合があり、侵入の検知や遮断、Webサーバの脆弱性の修正は別の機能や対策が必要である。

端末と利用者の認証に基づく割り当て

席が日によって変わる組織では、LANポートの位置によって端末の所属を固定することはできない。認証VLANは、接続してきた端末や利用者を認証し、その結果に応じて所属するVLANを動的に割り当てる技術である。 幹部用のIPセグメントを認証に基づいて割り当て、そのセグメントからの接続だけをサーバで許可すれば、席が変わっても幹部の端末だけにアクセスを限定できる。

これに対して、スタティックVLANはスイッチのポートにVLANを固定して割り当てる方式である。ポートの位置と所属が結び付くため、利用者ごとに所属を変える要件には適さない。また、IDSは通信や端末を監視して不正な活動を検知する技術であり、端末にIPセグメントを割り当てる機能ではない点も区別が必要である。

攻撃を受けにくくする対策の判断基準

DNSキャッシュポイズニングは、偽の応答をDNSサーバのキャッシュに登録させる攻撃である。この攻撃では、攻撃者が問い合わせに対応する偽応答を当てにくくすることが対策の要点となる。 問い合わせごとにトランザクションIDを予測困難な値へランダム化する方法や、送信元ポート番号を固定せずに変える方法が、この考え方に沿う対策である。