Recomendados
Más contenido relacionado
La actualidad más candente
La actualidad más candente (20)
Similar a セキュリティ入門 ( 情報保護編 )
Similar a セキュリティ入門 ( 情報保護編 ) (20)
セキュリティ入門 ( 情報保護編 )
- 1. セキュリティ 入門 (情報保護 編) 2016/03/16 @mesosune
- 2. はじめに • ITエンジニア向けにセキュリティの入門として 情報保護の分野についてのところを軽めに説明します。 – 一般的なエンジニアの思うところの セキュリティってこういうもの に近いと思います。 • 今回はセキュリティ専門分野の用語を大量に使いますが、 可能な限り セキュリティ 独自の用語を説明なしでは使用しません。 • 個人の立場で記載しており、 どこかの企業を宣伝する意図はありません。
- 4. 守るべき情報とは - 情報資産とは • 「資産価値のある情報」または「情報を保有する機材 (機器)」 – 資産価値のある情報とは失った場合に業務継続ができなくなったり、 他者が得たり使用した場合に何かしらの損失を被る(リスクを持つ)「情報」 • 情報のかかれた紙など、媒体( フロッピーディスク、CD とか ) • 情報システム • データ • サーバー、ネットワーク • ノウハウ、社会的信用 < 情報資産 > 企業によって 守りたい情報資産は異なる 何か セキュリティ エンジニア 守ります
- 5. セキュリティの三原則 • これらを満たすように考え、業務が満たすように遂行されていることを 確認 ( 立証 ) します。(セキュリティ入門編 参照) • 三原則を損ねる要因が「脅威」と「脆弱性」、 三原則を損ねて起きうる損失またはその可能性が「リスク」となります。 完全性 ( Integrity ) 機密性 ( Confidential ) 可用性 ( Availability ) • 問題なく 使用できること ( 業務が 遂行できること ) • 対象の人物にのみ 公開され、 その他の人物には 知りえない状態で あること • 意図せず改変されて いないこと 脅威例 ・情報の覗き見(盗聴) ・情報が意図しない 人が知れる状態 (漏えい) ・意図せず 消去してしまう(紛失) ・勝手に変更される (改ざん) ・データの欠損 ・機器故障 ・機器紛失 ・業務が 遂行できない事象 脅威例 脅威例
- 6. 情報資産からみて 外部からの要因 ( 脅威 ) セキュリティの脅威と脆弱性はリスク - 脅威と脆弱性の関係性 • 脅威・・・システム又は組織に危害を与える事故の潜在的原因 • 脆弱性・・・脅威によって影響を受ける内在する弱さ • リスク・・・ある脅威が脆弱性を利用して損害を与える可能性 人が意識して起こす 人が偶発的に起こす 環境的に起きる < 情報資産 > 情報システム、データ、 サーバー、ネットワーク、 ノウハウ、社会的信用 情報資産からみて 内包する要因 ( 脆弱性 ) ソフトウェアの欠陥 モラルの欠如
- 8. セキュリティの脅威と脆弱性はリスク - 対応の基本（リスク管理） < 情報資産 > 脆弱性 予 防 脅威 脅威 脅威 防ぐ 検知 対策 知る 対応する
- 9. 情報資産からみて 外部からの要因 ( 脅威 ) セキュリティの脅威と脆弱性 今回は「人が意識して起こす脅威」について 話をすすめます 人が意識して起こす 人が偶発的に起こす 環境的に起きる < 情報資産 > 情報システム、データ、 サーバー、ネットワーク、 ノウハウ、社会的信用 情報資産からみて 内包する要因 ( 脆弱性 ) ソフトウェアの欠陥 モラルの欠如
- 11. 攻撃する人とは - 一般的な攻撃者の目的 攻撃者 対象企業への恨み - 怨恨 - 愉快犯 対象企業(国家)の持つ情報を狙う - 個人情報、開発中の情報 など 攻撃者自身の腕試し - 知ったことを試したい 困らせたい データを奪いたい すごいことが したい 技術熟練度 ↓ 高 低 金儲け目的＝プロ セミプロ 少 多 頻度↓ 攻撃者 攻撃者 ※お互いに関連性はない
- 16. 攻撃者の行動(直接侵入する場合) - 攻撃者は攻撃前に確認する 直接侵入する場合、以下の順に試みます 1. あいてるポートはないかな？：ポートスキャン 2. 他の侵入口はないかな：脆弱性チェック ↓ 3. もっと何かできないかな？：見つけた脆弱性から侵入を試みる ↓ 4. 今度侵入するときにきづかれないように出入り口を作ろう : バックドア作成 (次の侵入または大規模攻撃を行うための脆弱性をつくる) ↓ 5. 侵入経路がバレないようにする：ログ消去 確認 攻撃者 攻撃対象 ログどこかに 脆弱性はないかな？ バックドア
- 17. 攻撃者の行動(直接侵入しない場合) - 攻撃者は攻撃前に確認する 直接侵入しない場合、以下の順に試みます 1. 気づかれず侵入するための出入り口(バックドア)付きのメールを 対象企業の人に送る、または、 バックドア付きのソフトウェアをダウンロードさせる ↓ 2. 開いた人のPCから侵入する：出来た脆弱性から侵入を試みる ↓ 3. 以下直接侵入した時と同じ 攻撃対象 管理者 バックドア 送付 侵入 攻撃者
- 19. 攻撃者の侵入に対応するには 対応例 ・侵入口を防ぐ - 不要なポートを閉じる(サービスを停止する) - ソフトウェア開発時に脆弱性を埋め込んでいないか確認する - 使用PCも更新やウイルス対策を行っているか確認する ・侵入されていないか確認する - ポートスキャンされたことを知る - 不要なソフトウェアやコードがないか確認する - ログがおかしくなっていないか確認する ・侵入経路を調べて二度と侵入できないようにする - 事前に発見した時の手順を定めておく(ルール作り) 攻撃者 攻撃対象 ログ あれ！？ おかしい！ 管理者 バックドア
- 20. あいまいにどう対応すべきか は 書籍とか WEB でもたくさんあるが 具体的な方法はないのはなぜ？ 基本に戻りましょう
- 28. 情報漏えい保護対策 のポイント - 多重防御 とは それぞれの利点/不利点を組み合わせること • 対策例 通過できない 仕組み (ルール作り) 外部に出させない仕組み (ルール作り) 情報欲しい ネットワーク 暗号化 ネットワーク 分離 監視ソフト 導入 ファイヤー ウオール導入 ウイルス 対策ソフト導入 不要なポートを 閉じる ID管理の 徹底 アクセス権 制御 管理対象 分離 OS 暗号化 情報 暗号化
- 32. リスク管理(リスクマネジメント) の欠点 - セキュリティの側面から すべてを予測することができない ⇒ 予防するための立案が追い付かない 攻撃者、攻撃手法の多種多様化 攻撃頻度の上昇 従来のリスク管理では、 色々な人が予防策を抜けることや、 大量の人が脆弱性をついた時の想定がぬけおちてしまいます。 ( それが起きないようにすることを検討します ) すべて事前に予防することを目指す (至る前を重視し、起きた後を想定しない)
- 33. リスク管理(リスクマネジメント) の欠点 - 業務の側面から 業務継続性 ( 可用性 ) に問題が出る 攻撃内容 の変異 ( データ破壊 を伴う ) 従来のリスク管理では、 防ぐことに注視しているため、 実際の業務が被害を被る場合を検討しきれない。 すべて事前に予防することを目指す (至る前を重視し、起きた後を想定しない)
- 35. 危機が発生した場合に、その負の影響を最小限にするとともに、 いち早く危機状態からの脱出・回復を図ること。 危機が発生したときに 何をすればその被害や影響を最小化できるか（減災）、 危機からの早期回復のためには何をすればよいかを検討の中心据える セキュリティのリスクを災害と同じように扱う - リスク管理から危機管理へ 想定されるリスクが“起こらないように”、 そのリスクの原因となる事象の防止策を検討し、実行に移すこと。 想定されるリスクを予め抑え込むことを検討の中心に据える リスク管理 ( Risk Management ) 危機管理 ( Crime Management )
- 36. 危機管理 ( Crime Management ) とは - 対応の基本 < 情報資産 > 脆弱性 予 防 脅威 脅威 脅威 防ぐ ( 減らす) 検知 対策 回復 知る 二度と起きない ようにする 業務ができる ようにする
- 38. リスク管理 と 危機管理の違い - リスク管理 は 危機管理の一部 起きる前 起きた後発生 検知 対策 回復予防 リスク管理 危機管理
- 40. 考え方が変わるとすべてがかわる • 予防 + 回復することを前提として基本方針を変更すると、 その基本方針にそった 対策基準、業務手順の変更などが発生する 業務へのインパクトを計測しないと！ 業務担当者 システムの構築そのものを 変更する必要が出る可能性が 経営者 方針を変更しないと！
- 41. 変化する 今を知る 何をしたら良いの？ - 脅威から今を知る • 脅威はさまざまな視点をもたらします – 脅威を介してから今を知り変えていけるような組織づくり から始めましょう 実際の業務について経営方針 脅 威
- 43. 補足 : 侵入方法や 攻撃方法は ひとつではない 「彼を知り己を知れば百戦殆うからず 」 古典的手法 • 基本情報処理の教科書に 載っているような方法 • 他国で流行した方法 • 過去に流行した方法 最新の手法 • 誰もまだ見たことがない方法 使用頻度 攻撃者は、古典的手法を使う場合が圧倒的に多く、 最新の手法でも古典的手法への対策で十分に対応できることがあります。 ※日本初の攻撃手法というのは今のところありません ・基礎的な技術 ・他国で流行していること ・過去に発生した攻撃（＋情報に関する訴訟） 等 に注目しつづけることが大切です。
Notas del editor
- 立証することが PDCA サイクルだったり検証過程だったり。 ⇒ 入門編参照
- ・盗聴とは情報を盗み見ることを指す ・盗難とはデータの盗難以外に機器の盗難なども含む ・人が行うプログラムミスやケアレスミスは脆弱性を「作る」リスクとなる 実際にその脅威が起きうる状態を ・機密性を欠いている ・完全性がない ・可用性が損なわれる などと言いまわし、 「（三原則を満たしていないため）是正する(正しい(=三原則に沿う)状態にする)必要がある」と提案します。
- ◆リスク管理(Risk Management)は 予防⇒検知⇒対策 想定されるリスクが“起こらないように”、そのリスクの原因となる事象の防止策を検討し、実行に移すこと。 リスク管理では、想定されるあらゆるリスクを徹底的に洗い出し、そのリスクが発生したらどのような影響があるかを分析する。 次に、それぞれのリスクについて発生を抑止するための方策を検討し、影響度の大きさに従ってプライオリティをつけ、リスク防止策を実行する。 つまり、究極のリスク管理は、想定されるリスクを予め抑え込んでしまうこと。 ◆危機対策(Crisis Management)は 予防(減災)⇒検知⇒対策⇒復興 危機が発生した場合に、その負の影響を最小限にするとともに、いち早く危機状態からの脱出・回復を図ること。 危機管理においても、リスク管理と同様に、起こりうる危機やそれに伴うリスクをリストアップすることが必須だが、 危機管理の大きな特徴は、 危機が発生したときに何をすればその災害や影響を最小化できるか（減災）、 危機からの早期回復のためには何をすればよいか を検討の中心据えることが異なる。 (自助努力で防ぎえないものの場合はこちらをとる必要がある) ※予測できないことが増えてきているため、 段々セキュリティ業界側も危機対策側にシフトしてきている過渡期である。 という説明をこれからします。
- 脆弱性をつき脅威を起こす人を攻撃者と呼びますが、 社内、社外、悪意があるかないかという意図は含みません。
- 悪意がある前提でかいています
- インターネット上で繰り広げられる犯罪の支援活動を“商売”にしている大規模な違法市場 （ブラックマーケット ）が拡大し続けることの詳細は、 米カーネギーメロン大学の 「An Inquiry into the Nature and Causes of the Wealth of Internet Miscreants」 （インターネット犯罪者の富の性質および諸原因に関する一研究：インターネット犯罪の国富論） をご参照ください。
- Webサーバーの場合、 ソフトウェア組み込み時の脆弱性は以外に、 HTTPヘッダーに掲載されているサーバーから OS情報、Apacheなどのソフトウェア情報をみてOSやソフトウェアの脆弱性のあたりをつけます。
- バックドア付きのソフトウェアをダウンロードさせる方法としては、 ・Webにアクセスした時に無意識にダウンロードさせる ・フリーソフトや試用版にバックドアを仕掛けてダウンロードさせる など
- 侵入者が嫌がりそうなことをすればいいのです。
- セキュリティにおいては、以下ができることが重要です。 01.侵入されないようにすること 02.侵入された時に検知できること(知ることができること) 03.侵入された時侵入経路を追跡し二度と侵入できないようにすること ログを改変されると攻撃者を追跡できなくなるため、 Web サーバなど外部に公開している場所や重要なデータと同じ場所にログファイルは保存しないように設定する対応が必要になります。
- 設定値とかはWEBで情報は落ちていますが、 それ以前のところを決めないといけないのです。 実はこのハードやソフトを導入するとすぐ対策出来ますよ！というものもありますが、 宣伝になってしまうので今回は割愛します（＾＾； ブログとかで折をみて紹介します。
- 一般的な監視ソフトウェアやウイルス対策ソフトでの対象検知には ホワイトリスト(通す対象のリスト) ブラックリスト（通さない対象のリスト） を基準に処理しています。
- 攻撃が多くて更新が間に合わない = ブラックリストの意味をなさない ⇒ ソフトウェアを更新するだけでは意味をなさなくなる ※ ホワイトリストに記載された対象のみしか通さないという設定も多くの製品で可能ですが、 業務の内容に対して適切でなかったり、 侵入者がホワイトリストに記載された対象であると偽装することもあるため、 やはり万能な対策にはなりえません。
- 業務に支障が出てしまう = 資産を使用できない ことを セキュリティ用語では 「可用性を損ねる」 と言います。 機密性、完全性、可用性の3つを備えることがセキュリティにおける原則であり、 業務に支障が出てしまう ことはその原則に違反していることになりますので セキュリティの視点からみても「正しい状態」ではないことになります。 無作為に対策をするのではなく、 業務の遂行方法に合った、ソフトウェアやOSの選定など、 可用性を担保しつつきちんと対策をたてましょう、ということですね。 選定時の検証も必要だったり、独自に対策を行うには資産がどうしても多額にかかります。 ソフトウェア導入検討先の企業に条件を伝えたうえで検証を依頼したり、セキュリティの専門業者に依頼する等、 費用とのバランスをみて施策してください。
- ログを探して消すより壊してしまうほうが簡単。 HDDを暗号化して身代金を要求するウイルス等
- 事前に防ぐことを前提とした安直なリスク管理を勧めてしまう企業と 情報資産を持っている企業の危機感と符合しないことが多いようです。
- ◆リスク管理(Risk Management)は 予防⇒検知⇒対策 想定されるリスクが“起こらないように”、そのリスクの原因となる事象の防止策を検討し、実行に移すこと。 リスク管理では、想定されるあらゆるリスクを徹底的に洗い出し、そのリスクが発生したらどのような影響があるかを分析する。 次に、それぞれのリスクについて発生を抑止するための方策を検討し、影響度の大きさに従ってプライオリティをつけ、リスク防止策を実行する。 つまり、究極のリスク管理は、想定されるリスクを予め抑え込んでしまうこと。 ◆危機対策(Crisis Management)は 予防(減災)⇒検知⇒対策⇒復興 危機が発生した場合に、その負の影響を最小限にするとともに、いち早く危機状態からの脱出・回復を図ること。 危機管理においても、リスク管理と同様に、起こりうる危機やそれに伴うリスクをリストアップすることが必須だが、 危機管理の大きな特徴は、 危機が発生したときに何をすればその災害や影響を最小化できるか（減災）、 危機からの早期回復のためには何をすればよいか を検討の中心据えることが異なる。 (自助努力で防ぎえないものの場合はこちらをとる必要がある)
- ◆リスク管理(Risk Management)は 予防⇒検知⇒対策 想定されるリスクが“起こらないように”、そのリスクの原因となる事象の防止策を検討し、実行に移すこと。 リスク管理では、想定されるあらゆるリスクを徹底的に洗い出し、そのリスクが発生したらどのような影響があるかを分析する。 次に、それぞれのリスクについて発生を抑止するための方策を検討し、影響度の大きさに従ってプライオリティをつけ、リスク防止策を実行する。 つまり、究極のリスク管理は、想定されるリスクを予め抑え込んでしまうこと。 ◆危機対策(Crisis Management)は 予防(減災)⇒検知⇒対策⇒復興 危機が発生した場合に、その負の影響を最小限にするとともに、いち早く危機状態からの脱出・回復を図ること。 危機管理においても、リスク管理と同様に、起こりうる危機やそれに伴うリスクをリストアップすることが必須だが、 危機管理の大きな特徴は、 危機が発生したときに何をすればその災害や影響を最小化できるか（減災）、 危機からの早期回復のためには何をすればよいか を検討の中心据えることが異なる。 (自助努力で防ぎえないものの場合はこちらをとる必要がある) ※予測できないことが増えてきているため、 段々セキュリティ業界側も危機対策側にシフトしてきている過渡期である。
- セキュリティエンジニアにとっては「考え方が違う」ということがなによりも大きいことですが、 リスクを計測して考えられるリスクのリストを作成することや きちんと運用できているかPDCAサイクルで立証することは変わらないため、 業務担当者の立場からは「あまり変わらない」ことになります。
- 情報漏えいに限らず脅威に対応できる組織づくりをしましょうねというのは、 環境に対応できる生物が生き残るというガラパゴス理論ですね
- ・基礎的な攻撃や過去の攻撃などはパワーポイントでのまとめを別に作成する方向で検討中しています(いつになるかわかりませんが) ・現在流行している攻撃方法や他国で流行していることは、ネットNEWSや2chの特定のスレッド、ブログなどを購読するなどで情報を常に収集することをお勧めします。