セキュリティ対策と実装

要点と定義

情報セキュリティ対策は、人的・技術的・物理的な側面から考える。人の心理や行動を利用して情報を得る手口には、従業員へのなりすましや廃棄物からの情報収集などがある。人を介した取得か、システムの脆弱性を突く攻撃かを見分けるのが判断の要点である。

技術的対策は、守る対象と防ぎたい脅威に合わせて選ぶ。侵入検知システムは不正アクセスや予兆を検知して管理者に通知する。侵入後に再侵入しやすくするためプログラムや設定に残す裏口はバックドアであり、検知の仕組みとは役割が異なる。

ウェブ閲覧をきっかけにブラウザなどの脆弱性を突き、利用者が気付かないうちにマルウェアを送り込む手口は、ドライブバイダウンロードである。ウェブ閲覧がきっかけでも、認証情報をだまし取る手口とは区別する。

耐タンパ性とは、機器やソフトウェアを解析・改ざんされにくくする性質である。組込みソフトウェアの難読化は解析を困難にする対策となる。通信の暗号化は通信内容の機密性を守るもので、目的が異なる。

セキュアブートは、起動時にOSやファームウェアなどのデジタル署名を検証し、正当と確認したソフトウェアだけを実行する仕組みである。起動時の改ざん対策に用いられ、記憶装置内のデータ消去とは別の目的を持つ。

認証要素は、本人が持つもの、本人の身体的・行動的特徴、本人が知っていることの三種類に分けられる。署名時の筆跡や筆圧は行動的特徴を使う生体認証の例である。パスワードや秘密の質問は知識情報に当たる。

暗号化方式を選ぶときは、鍵の関係、配布のしやすさ、処理速度を区別する。公開鍵暗号方式は暗号化鍵と復号鍵が異なり、鍵を配布しやすい一方、相対的に処理が遅い。共通鍵暗号方式は同じ鍵を使い、安全な配布が難しい一方、処理が速い。

無線LANのPSKは、アクセスポイントへの接続認証に使う事前共有のパスフレーズである。WPA2では、この符号を基に端末ごとの通信暗号化に使う鍵が生成される。アクセスポイントの識別名やIPアドレス割当てとは役割が異なる。