情報セキュリティ

SQLインジェクション

SQLインジェクションとは、Webアプリケーションの入力データにSQLを含んだ不正なデータを入力することで、リレーショナルデータベースを不正操作をすることである。

SQLインジェクションの対策として、Webアプリケーションのソースコードに外部コマンドやSQLの埋め込みをしないことが有効である。また、オブジェクト指向設計により、フレームワークを導入してデータ操作をカプセル化するなど、SQLの直接操作を避ける方法もある。

MITB (Man-in-the-Browser) 攻撃

MITB (Man-in-the-Browser) 攻撃とは主に銀行のオンラインバンキングサービスを対象にしたサイバー攻撃手法で、パソコンに感染したマルウェアがWebブラウザとWebサーバとの通信を乗っ取り、不正な操作を行う。

MITB攻撃に有効な対策として、インターネットバンキングの送金時に利用者が入力した情報と、金融機関が受信した情報に差異がないことを検証できるよう、トランザクション書名を利用する。

OSコマンドインジェクション

OSコマンドインジェクションとは、ウェブサーバへのリクエストにOSへのコマンドを注入(インジェクション)することにより、ウェブサーバ側で想定していない不正な動作をさせるサイバー攻撃手法である。

ウェブサーバが攻撃されたときに、ウェブサーバのログに記録されるHTTPリクエストヘッダの例を次に示す。

GET /cgi-bin/submit.cgi?user=;cat%20/etc/passwd HTTP/1.1

サイドチャネル攻撃

サイドチャネル攻撃とは、正規の入出力経路以外から観測した情報を使ったサイバー攻撃手法である。

たとえば、暗号化装置における暗号化処理時の消費電力を測定するなどして、当該装置内部の秘密情報を推定する攻撃がサイドチャネル攻撃である。

テンペスト攻撃

テンペスト攻撃とは、処理中に機器から放射される電磁波を観測して解析するサイバー攻撃手法である。

Adversarial Examples攻撃

Adversarial Examples 攻撃とは、AIによる画像認識において、認識させる画像の中に人間には知覚できないノイズや微小な変化を含めることによってAIアルゴリズムを悪用し、判定結果を誤らせる攻撃である。

Pass the Hash攻撃

Pass the Hash 攻撃とは、パスワードのハッシュ値だけでログインできる仕組みを悪用してログインするサイバー攻撃手法である。

リフレクタ攻撃

リフレクタ攻撃とは、送信元IPアドレスを攻撃対象のサーバに偽装した問い合わせを利用して、大量の応答パケットを攻撃対象に集中させ、過負荷状態にすることでサービス停止に追い込むDDoS攻撃である。攻撃者が発したパケットが踏み台となるサーバで反射(リフレクタ)されて攻撃対象に送り付ける様子から、リフレクタ攻撃と呼ばれている。

DNS、Memcached、NTP等のサービスがリフレクタ攻撃に悪用されやすい。

Smurf攻撃

Smurf攻撃はDoS攻撃のひとつであり、ICMP の応答パケットを大量に発生させ、それが攻撃対象に送られるようにする。

共通鍵暗号方式

共通鍵暗号方式とは、暗号化と復号化に同じ鍵を使用する暗号方式である。対称鍵暗号方式や秘密鍵暗号方式とも呼ばれる。

文章の送信者は、鍵で文章を暗号化する。文章の受信者は、送信者が暗号化に使用したものと同一の鍵で復号化する。

共通鍵暗号方式では、第三者に暗号文を復号化されないために、鍵は秘密にしておかなければならない。しかし、秘密にしておかなければならない鍵をどうやって送信者と受信者とで共有するかという問題がある。暗号化に必要な鍵を安全に送信するためには、鍵の送信も暗号化しなければならない。鍵の暗号化に必要な鍵も安全に送信するためには暗号化しなければならないと、堂々巡りになってしまう。

アルゴリズム 鍵長 特徴
DES (Data Encryption Standard) 56ビット 米国標準のブロック暗号化アルゴリズム
3DES 168ビット DESで暗号化、復号を異なる鍵で行う。
MISTY 128ビット ヨーロッパ標準で採用
AES (Advanced Encryption Standard) 128/192/256ビット Rijndaelアルゴリズムによる米国の暗号化標準

公開鍵暗号方法

公開鍵暗号方法は、2つの鍵を使用して暗号化と復号化を行う方法である。2つの鍵は対(ペア)になっていて、どちらか一方で暗号化したら、もう片方の鍵でしか復号化できない(暗号化に使用した鍵では復号化できない)。2つの鍵のうち、片方は秘密にしておかなければならないものの、もう片方の鍵は公開して誰に知られてもよいため、公開鍵暗号方法と呼ばれている。また、2つの異なる鍵を使用するため、非対称鍵暗号方法とも呼ばれる。

文章の受信者は、暗号化に使用する鍵(暗号鍵)を公開しておく。このため、暗号鍵は公開鍵とも呼ばれる。一方、復号化に使用する鍵(復号鍵)は秘密にしておく。このため、復号鍵は秘密鍵とも呼ばれる。

文章の送信者は、公開鍵で文章を暗号化して、受信者へ送信する。暗号鍵は公開されているので、誰でも暗号化することができる。

受信者は、暗号文を秘密鍵を使って平文(暗号化されていない文)に復号化する。秘密鍵は受信者しか知らないため、暗号化された文章を第三者が入手しても復号化することができない。このため、文章の秘密が守られる。

SAML

SAML (Security Assertion Markup Language) とは、認証情報に加え、属性情報と認可情報を異なるドメインに伝達するためのWebサービスの仕様である。

IdP (Identify Provider) が SP (Service Provider) の認証要求によって利用者認証を行い、認証成功後に発行されるアサーションをSPが検証し、問題がなければクライアントがSPにアクセスする。

デジタル署名

公開鍵暗号方法(非対称鍵暗号方法)は、送信者を特定するための電子署名にも利用されている。

文章の送信者は、復号化に使用する鍵(復号鍵)を公開しておく。このため、復号鍵は公開鍵とも呼ばれる。一方、暗号化に使用する鍵(暗号鍵)は秘密にしておく。このため、暗号鍵は秘密鍵とも呼ばれる。

送信者は、秘密鍵で文章を暗号化して、受信者へ送信する。

文章の受信者は、暗号文を公開鍵を使って平文に復号化する。復号鍵は公開されているので、誰でも復号化することができる。

暗号鍵と復号鍵はペアであるので、復号鍵で平文に復号できた暗号文は、対となる暗号鍵(秘密鍵)で暗号化したものである。秘密鍵は送信者しか知らないため、送信者が特定できる。

CRL

認証局は、有効期限内のディジタル証明書のシリアル番号を CRL (Certificate Revocation List) に記載することがある。

PQC

PQC (Post-Quantum Cryptography) とは、量子コンピュータを用いた攻撃に対しても、安全性を保つことができる暗号方式である。

Webビーコン

Webビーコンとは、Webページなどに小さい画像を埋め込み、利用者のアクセス動向などの情報を収集する仕組みである。

情報セキュリティ管理

情報資産とリスクの概要

リスクとは、脅威が情報資産の脆弱性を利用して、情報資産への損失または損害を与える可能性のことである。脆弱性は、システムが内部に持っている弱みで、そこを攻撃されると、システム全体に深刻な影響が及ぼされる。

情報セキュリティには、機密性、完全性、可用性の3つの概念がある。

機密性 (Confidentiality)
アクセス権を持つ者だけが情報にアクセスできることを確実にすること。リスクの例として、システム内に保管されているデータの不正取得や、通信内容の盗聴などが挙げられる。
完全性 (Integrity)
情報および処理方法が正確であること、および完全であることを保護すること。リスクの例として、Webページの改ざんが挙げられる。
可用性 (Availability)
認可された利用者が必要なときに情報および関連する資産にアクセスできることを確実にすること。リスクの例として、システム停止を狙うDos攻撃が挙げられる。

リスク分析と評価

情報システムのリスク分析の順序

  1. 分析対象の理解と分析計画
  2. 脆弱性の発見と識別
  3. 自己態様の関連分析と損失額予想
  4. 損失の分類と影響度の評価
  5. 対策の検討・評価と優先順位の決定

情報セキュリティポリシ

情報セキュリティポリシは、「情報セキュリティ基本方針」、「情報セキュリティ対策基準」及び「情報セキュリティ実施手順」の3階層の文書構成をとるのが一般的である。

基本方針(ポリシ)

対策基準(スタンダード)

実施手順(プロシージャ)

対策基準で定めた規定を実施する際に、取るべき手順を定めている文書。

ISMS

ISMS (Information Security Management System、情報セキュリティマネジメントシステム)は、情報セキュリティ全般に渡った管理システムである。

ISMSでは、情報セキュリティは3つの事項を維持するものとして特徴づけている。

機密性
情報の機密を守ること
完全性
情報が改竄などされずに正しい形で守られること
可用性
情報が必要な時にいつでも使用できること

JIS Q 27001 (ISO/IEC 27001)

JIS Q 27001 (ISO/IEC 27001) とは、ISMSの確立、導入、運用、監視、レビュー、維持及び管理するためのモデルを提供するための国際規格である。

CRYPTEC

CRYPTECの主な活動内容は、暗号記述の技術的検討並びに国際競争力の向上及び運用面での安全性向上に関する検討を行っている。

セキュリティ評価

評価保証レベル (EAL)

評価保証レベル (Evaluation Assurance Level: EAL)とは、得られる保証のレベルと、そのレベルの保証を得るためのコストと可能性を比較考量する段階的な尺度である。

評価保証レベル(EAL)
EAL1 機能テスト
EAL2 構造テスト
EAL3 方式テスト、及びチェック
EAL4 方式設計、テスト、及びレビュー
EAL5 準形式的設計、及びテスト
EAL6 準形式的検証済み設計、及びテスト
EAL7 形式的検証済み設計、及びテスト

情報セキュリティ対策

ソーシャルエンジニアリング

ソーシャルエンジニアリングとは、技術的な要素の無い、人間の心理を突いた不正行為のことである。

ファイアウォール

ファイアウォール とは、外部のネットワークから内部のネットワークに侵入されるのを防ぐシステムである。

パケットフィルタリング

ルールに適合するパケットに対して、通信の許可や不許可を制御する。

ステートフルインスペクション

ステートフルインスペクションはパケットフィルタリングを拡張した方式であり、過去に通過したパケットから通信セッションを認識し、受け付けたパケットを通信セッションの状態に照らし合わせて通過させるか遮断するかを判断する。

アプリケーションゲートウェイ

アプリケーション層のプロトコルの内容まで含めて検査する。一般的にはプロキシサーバと呼ばれている。

WAF (Web Application Firewall)

Webアプリケーションのやりとりを管理することによって、不正侵入を防ぐことのできるファイアウォールのことである。

サイバーキルチェーン

サイバーキルチェーンとは、標準型攻撃における攻撃者の行動をモデル化したものである。攻撃者の視点から、攻撃の手口を次に示す7段階に分類している。

偵察
攻撃対象の調査を行う。たとえば、会社の役員が登録しているSNSサイトから、攻撃対象の人間関係や趣味等を攻撃者が推定する。
武器化
攻撃者が攻撃に用いるマルウェア等を作成する。
配送
マルウェアを送信する。たとえば、取引先に成りすまして、標的とする会社にマルウェアを添付した攻撃メールを送付する。
攻撃
攻撃対象者が(知らずに)マルウェアを実行する。
インストール
マルウェアへ感染する。
遠隔操作
マルウェアを介した遠隔操作を行う。たとえば、ボットに感染したPCを遠隔操作して、社内ネットワーク上のPCを次々にマルウェア感染させる。
目的実行
情報の摂取や改ざんなど、当初の目的を実行する。

TLS

TLS (Transport Layer Security) で使用する個人認証用のデジタル証明書は、ICカードにも格納することができ、利用するPCを特定のPCに限定する必要はない。

SECURITY ACTION

SECURITY ACTION とは、安全・安心なIT社会を実現するために創設された制度であり、IPA「中小企業の情報セキュリティ対策ガイドライン」に沿った情報セキュリティ対策に取り組むことを中小企業などが自己宣言するものである。

NOTICE

NOTICEとは、総務省及び国立研究開発法人(NICT)が2019年月から実施している取組みであり、国内のグローバルIPアドレスを有するIoT機器に対して、容易に推測されるパスワードを入力することによって、サイバー攻撃に悪用されるおそれのある機器を調査し、インターネットサービスプロバイダを通じて当該機器の利用者に注意喚起を行っている。

サイバーセキュリティ経営ガイドライン

経済産業省とIPAが策定した「サイバーセキュリティ経営ガイドライン」とは、経営者が認識すべきサイバーセキュリティに関する原則と、経営者がリーダシップを発揮して取り組むべき項目を取りまとめたものである。

PaaS

Paas (Platform as a Service) において、クラウドサービスカスタマは次に示す責務を負う。

Paas において、クラウドサービスプロバイダは次に示す責務を負う。

DNS CAA

DNSにおいてDNS CAA (Certification Authority Authorization) レコードを使うことにより、不正なサーバ証明書の発行を防ぐことができる。

DNSSEC

DNSSEC (Domain Name System Security Extensions) とは、DNSに対してデータ作成元の認証やデータの完全性を確認できるよう仕様を拡張するものである。

DNSSECにより、DNSキャッシュサーバが得た応答中のリソースレコードが、権威DNSサーバで管理されているものであり、改ざんされていないことの検証ができる。

HTTP Strict Transport Secutiry (HSTS)

WebブラウザがWebサイトにアクセスしたときに、Webサーバが返すHTTPレスポンスヘッダ内で Strict-Transport-Security が指定されていると、以降の指定された期間、Webブラウザは当該サイトには全てHTTPSによって接続する。

IEEE 802.1X

IEEE 802.1X を使った認証システムは、次に示すものから構成される。

サプリカント
認証クライアントソフトウェア
認証サーバ
認証を判断するサーバ。RADIUS認証サーバなど。

FIPS PUB 140-3

FIPS PUB 140-3 とは、暗号モジュールのセキュリティ要求事項である。

JIS Q 27017

cookie

cookie に Security 属性を設定すると、URL 内のスキームが https のときだけ、Webブラウザから cookie が送出される。

WPA3-Enterprise

WPA3-Enterprise は、IEEE 802.1X の規格に沿った利用者認証および動的に配布される暗号化鍵を用いた暗号化通信を実装するための規格である。

EAP-TLS

EAP-TLS は、ディジタル証明書による認証サーバとクライアントの相互認証を行う。

ハッシュ関数

ハッシュ関数の性質のひとつである衝突発見困難性とは、ハッシュ値が一致する2つのメッセージの発見に要する計算量が大きいことによる、発見の困難性のことである。

AES

NISTが策定したAESにおける鍵長の条件は、128ビット、192ビット、256ビットから選択する。

CVE

CVE (Common Vulnerabilities and Exposures) 識別子とは、製品に含まれる脆弱性を識別するための識別子である。

サイバー情報共有イニシアティブ

サイバー情報共有イニシアティブ (J-CSIP) とは、標準型サイバー攻撃などに関する情報を参加組織間で共有し、高度なサイバー攻撃対策につなげる取組みである。

CASB

CASB (Cloud Access Security Broker) を利用すると、クラウドサービス利用組織の管理者が、組織の利用者が利用している全てのクラウドサービスの利用状況の可視化を行うことによって、許可を得ずにクラウドサービスを利用しているものを特定できる。

ビヘイビア法

ビヘイビア法とはマルウェアの検出手法であり、マルウェアの感染や発病によって生じるデータの読み込みの動作、書き込みの動作、通信などを監視して、マルウェアを検出する。

OP25B

OP25B (Outbound Port 25 Blocking) とは、自ネットワークから外部ネットワークへの通信のうち、メールの送信に使われる25番ポートを使った通信を遮断することによって、スパムメールの送信を抑制する仕組みのことである。