セキュリティ対策と実装

要点と定義

情報セキュリティ対策は、人的・技術的・物理的な側面から考えます。従業員への教育や規程の遵守は人的対策、システムによる通信の監視やアクセス制御は技術的対策、建物や部屋への入退室管理は物理的対策です。対策を分類するときは、何を守る仕組みかに注目します。

攻撃は、その動作や目的から見分けます。修正プログラムが出る前の脆弱性を突くのがゼロデイ攻撃、複数の発信元から大量の通信を送りサービスを妨害するのがDDoS攻撃、パスワード候補を順番に試すのがブルートフォース攻撃です。

IDSはネットワークやホストを監視し、不正アクセスや不審な通信を検知して知らせる仕組みです。通信を遮断する機能と混同せず、「検知・報告」が中心かを判断します。

認証要素は、本人が知っている情報、本人が持っている物、本人の身体的・行動的特徴に分けられます。SMSでコードを受け取る認証は、携帯電話などの所有物を利用する例です。虹彩や筆跡の特徴はバイオメトリクス、秘密の質問への答えは知識に当たります。

リスクベース認証は、ログイン時の端末や状況などからリスクを見て、必要に応じて追加認証を求める方法です。普段と異なる端末からのログインを理由に追加確認を求めるなら、この考え方に合います。

暗号では、暗号化に使う鍵と復号に使う鍵の対応を確認します。共通鍵暗号では、送受信者が共有する鍵で暗号化・復号します。公開鍵暗号による機密保持では、受信者の公開鍵で暗号化し、対応する受信者の秘密鍵で復号します。設問のように秘密鍵で暗号化したものを対応する公開鍵で復号できるという鍵の組合せも、誰が読めるかの判断に使えます。ただし公開鍵で読めるため、その操作だけで機密性が保たれるわけではありません。

WPA2は無線LANの通信データを暗号化するためのセキュリティ方式です。アンテナによる高速化、ネットワーク名の隠蔽、MACアドレスによる接続制限とは役割が異なります。

PKIで使うCRLは、失効した証明書を知らせるリストです。有効期間が残っていても、期間内に失効した証明書は掲載対象になります。有効期間の満了とは区別します。