情報セキュリティ対策

要点と定義

情報セキュリティ対策は、人的・技術的・物理的な面からリスクを下げます。この節では、主に技術的対策のうち、攻撃の見分け方、監視、クラウド利用時の認証とアクセス制御を扱います。対策は一つで全ての危険をなくすものではなく、守る対象と通信経路に合わせて組み合わせます。

認証情報を使う攻撃と人を狙う攻撃。 パスワードリスト攻撃は、他の場所から不正に入手した利用者IDとパスワードの組を、別のサービスでも試す攻撃です。同じ認証情報を複数のサービスで使い回す利用者がいると成立しやすくなります。利用者IDを一つ決めてパスワード候補を次々試す総当たり攻撃や、辞書にある単語を試す辞書攻撃とは、試す認証情報の用意の仕方が異なります。多要素認証を加えることは、パスワードだけが漏れた場合の不正ログインを防ぎやすくする対策です。

検索結果を不正に操作し、悪意あるサイトを上位に表示させる攻撃はSEOポイズニングです。利用者が検索結果を信頼してそのサイトを訪れる可能性を利用します。リンク先の安全性を確認する意識づけや、危険なサイトへのアクセスを制限する仕組みなど、人的対策と技術的対策を組み合わせます。

侵入者の観察とログの分析。 ハニーポットは、攻撃者やマルウェアの活動を観察するために、意図的に脆弱な状態を作って設置するシステムやネットワークです。通常の業務システムとして使うものではなく、観察対象を隔離し、そこで得た情報を分析する用途です。

SIEMは、複数の機器やシステムからログなどを集め、横断的に分析して、管理者の状況把握や対応を支援する仕組みです。個々の機器の記録だけでは見つけにくい、複数の出来事のつながりを調べるのに役立ちます。SIEM自体が必ず攻撃を止めるわけではなく、検知後の調査や対応と組み合わせます。

クラウド認証とアクセス制御。 IDプロバイダ（IdP）とサービス提供側を連携させると、組織の認証サーバで利用者を認証し、その結果をクラウドサービスへ伝えられます。たとえば、ブラウザがIdPへアクセスし、利用者が組織の認証サーバで認証された後、署名付きの認証済み情報がブラウザ経由でクラウドサービスへ渡ります。クラウドサービスは署名を使って、受け取った情報が改ざんされていないことを検証できます。パスワードなどの認証情報そのものをサービスへ渡す設計とは異なります。

社内LANからの利用だけに制限する構成では、認証の流れの途中でブラウザが社内LAN上のIdPへ到達できることが条件になります。社外から社内LANへの通信が遮断されているなら、社外のブラウザはIdPへの要求を送れず、認証を完了できません。この仕組みが成り立つかは、ブラウザ、IdP、認証サーバ、クラウドサービスの間でどの通信が行われるかを追って判断します。

クラウドサービスへ社外から直接接続できるようにすると、社内ネットワークを通らない通信が生じます。社内ネットワーク上の監視や通信速度制限は、その経路の接続には適用されません。社外接続の認証を多要素認証にするなど、変更後の経路に届く対策を選びます。

クラウド上のサーバ類に対するアクセス制御では、許可する通信を「送信元」「宛先」「プロトコルやポート」の組で考えます。たとえば、フロントサーバがデータベースやキューへ接続するなら、その通信に必要な送信元グループとポートだけを許可します。通信方向を逆に読んだり、同じHTTPを受け付けるサーバを全て同じ許可ルールだと見なしたりすると、不要な通信まで許可するおそれがあります。

適用条件と例

負荷分散装置やフロントサーバを含むクラウド構成の例。 アクセス制御表を作るときは、各サーバが「どこから接続を受けるか」を先に列挙します。あるサービスがHTTPで通信するというだけでは、同じ許可ルールとは限りません。受信元のグループやポートも一致して初めて同一の許可内容です。必要最低限の許可にする考え方は、クラウド上のグループごとのアクセス制御に適用できます。