ネットワーク・データベース保護

要点と定義

侵入検知システム（IDS）は、サーバやネットワークの通信・動作を監視し、不正な挙動を検知して管理者に知らせます。ネットワーク型のNIDSは、ネットワーク上の通信を監視して侵入の兆候を検知します。検知して通知する仕組みであり、攻撃を必ず遮断するものではありません。

ポートスキャナは、接続可能なポートを調べ、サーバで稼働しているサービスを把握するために使います。確認結果をもとに、不要なサービスが動いていないか点検できます。

無線LANでは、アクセスポイントにつながった端末同士の通信を遮断する設定を使うと、同じネットワークにいる別の利用者から端末へアクセスされる危険を減らせます。

データベースでは、作業の役割に合わせて必要最小限の権限を割り当てます。例えば、テーブルを設計するアカウントには構造の作成・削除を認め、レコードの更新は認めないようにします。入力・更新を担当するアカウントにはレコード更新を認め、テーブルの作成・削除は認めないように分けます。

データベースの監査ログは、操作の履歴を記録し、問題が起きた後に実行者や操作内容を調べるために使います。アクセス制御のように操作を拒否する仕組みや、バックアップのようにデータを復旧する仕組みとは役割が異なります。

通信の観測で取得したデータには、業務上の機密情報が含まれる場合があります。例えば、社内の映像配信の品質調査で通信記録を保管するときは、閲覧できる担当者を限定し、記録を適切に管理します。

適用条件と例

監視で検知した後に自動遮断まで必要なら、検知・通知を担う仕組みだけでなく、遮断する仕組みも検討します。ポートスキャナの確認は特定時点の状態を調べるもので、常時監視の代わりにはなりません。

複数の利用者が同じ無線アクセスポイントを使う環境では、端末間通信の遮断が有効です。ただし、これは端末同士の通信を抑える対策であり、無線通信全体の暗号化など別の対策を不要にするものではありません。

権限は担当する作業に応じて設定し、担当変更や一時的な作業の終了後には見直します。監査ログは記録対象や保管方法を定めておくと、事後調査に活用できます。ログの記録だけで、不正操作そのものを防げるとは限りません。