技術的セキュリティ対策とセキュリティ製品｜情報セキュリティマネジメント試験

守る場所ごとに道具が分かれる、技術的対策の地図

この単元は、脅威に対して実際に置く技術的な仕組みと製品を扱います。名前は多いのですが、どこを守る道具かで並べると位置関係が見えます。出入口、通信の中身、ログ、端末と情報、そして復旧です。

出入口を受け持つファイアウォールは、宛先や送信元、ポート番号で通すか通さないかを決めます。行きと帰りの通信の対応を覚えて判断するのがステートフルインスペクションです。外部に公開するサーバはインターネットと内部の間のDMZに置き、乗っ取られても内部へ届かない構えにします。複数の機能を1台にまとめた製品がUTMです。

IDSは監視して不審な挙動を検知し管理者へ知らせるところまで、IPSは経路上に置かれて遮断まで行います。要求の内容を読んでWebアプリケーションへの攻撃を止めるのがWAFで、通してよい形を並べるホワイトリストと、止めたい形を並べるブラックリストがあります。正当な通信を攻撃と見なす誤りがフォールスポジティブ、攻撃を見逃す誤りがフォールスネガティブです。

機器ごとのログは、一台分だけを追っても異常に見えないことがあります。SIEMは散らばったログを一か所に集めて突き合わせ、脅威にあたる事象を見つけて管理者へ知らせます。わざと侵入しやすくしたおとりで手口を観察するのがハニーポットで、防ぐためではなく調べるための仕組みです。

情報と端末を見る道具もあります。DLPは何が秘密情報かを判別し、漏えいにつながる操作に警告を出したり無効にしたりします。貸与端末の設定やアプリケーションをまとめて配信するのがMDM、危ない閲覧を別に置いた仮想デスクトップに任せるのがVDI、起動時に署名を検証して不正なものを実行させないのがセキュアブートです。

防ぎきれなかったときに戻す備えも要ります。バックアップには、全部を取るフル、直近のフルからの差を取る差分、前回からの変化分だけを取る増分があり、取る時間と戻す手間が入れ替わります。世代を複数残しておけば、被害に気づくのが遅れても、その前の状態まで戻せます。