 |
セキュリティ監査概論［前編］
セキュリティ監査の必要性と目的
矢崎 誠二インターネット セキュリティ システムズ株式会社
プロフェッショナルサービス部 マネージャー
（シニアセキュリティコンサルタント）
2005/3/9
 |
監査手法の選択 |
ファイアウォールやIPSを導入することで一定のセキュリティレベルを保つことは重要ではあるが、脅威のソースがインターネットのみにあると限定することは今日のセキュリティ事情においては危ういという考え方が、ようやく普及し始めている。
例えば、インターネットからの脅威に対して正しく保護されていても、社内のスタッフの誰かが無線LANのアクセスポイントを勝手に配置し、かつ匿名アクセスが可能であるような適切でないセキュリティ設定がされていると、第三者が複雑なスキルを用いずとも容易に社内へアクセスできてしまう。
仮に脅威をインターネットに限定したとしよう。既知のセキュリティホールをすべて排除し、適切なセグメント構成になっていたとしても、Webサーバで独自に作り込んだCGIやPHP、Servletなどのサーバサイドプログラムに脆弱性があれば、Webサーバから顧客情報が漏えいすることも大いに考えられる。
実際にこのような問題が世界各地で発生している。これらの理由からセキュリティ監査を行う場合は、上記に述べたことや以下に述べる手法も考慮して、監査手法を選択することを推奨する。
|
ペネトレーション |
セキュリティ監査ではペネトレーションという手法が広く使われている。ペネトレーションとは、端的にいえば別のサイトから被攻撃対象サイトに対する疑似的な侵入を試みることである。インターネットからの攻撃に対する対策手法を見つけるために最も広く使われているセキュリティ監査手法である。
当然のことながら、監査側は日々公開されるセキュリティホールの情報を蓄積している。それに伴う侵入手法や、攻撃コード、セキュリティデータベースとのアクセス連携を用いなければ、実現には至らない監査手法の1つである。
ペネトレーションでは実際の攻撃者を想定し、被攻撃対象サイトのIPアドレス情報のみをベースに実施することが多い。限られた情報ソースから考えられる侵入手段、取得できるセキュリティ情報、侵入経路を用いてペネトレーションを試みる。
ペネトレーションが成功（侵入に成功）した場合は、システムデータベースのアクセスや、重要ファイルの確認、アカウントチェック、パスワードチェックなどを行い、侵入されたシステムからさらにほかのシステムへの侵入が可能かどうかのチェックを繰り返す。これらをエビデンス（証拠）として残し、どのような情報が取得できたから侵入が成功したのか、どのような脅威が存在するのか、どのようなリスクが存在するのかを明確に報告する。
|
ソーシャルエンジニアリング |
ソーシャルエンジニアリングといっても広くいろいろな監査手法が存在するが、ここでは2つの監査手法を紹介しよう。
1つは電話による手法である。「XX部の部長の鈴木だが、パスワードを忘れたので、いま再発行してくれないか」、あるいは「パスワードを忘れたので、パスワードをsuzukiに変更してくれないか」といった偽の依頼を情報システム部門に対して行い、ログインできるかどうかをセキュリティ監査として実施する手法である。RASによるアカウント、Webの管理アカウントなどが主な監査対象となる診断に有効である。
もう1つの手法は古くから行われている物理的な侵入である。セキュリティ監査チームは全くの第三者の侵入を想定して実施する。つまり、ビルに物理的に侵入しオフィス内の状況把握や、PCの盗難の可能性、重要情報の取得ができるかどうかを確認するものである。技術的な手法を一切使用することなく簡単に侵入ができる場合、対策も困難となる。
これらは技術的手法とは全く要素が異なり、人的セキュリティ対策としてのセキュリティ監査となるため、リスクにつながる問題が発覚した場合には人的な対策が取られるケースが多く見られる。いずれにせよシステムによる重厚な遮断機能を設けることは、実働する社員やスタッフへの影響、サービス提供を受けるユーザーの使い勝手の悪化などが考えられる。セキュリティはユーザビリティとのトレードオフが常に行われるため、最終的な対策や判断は経営者判断に委ねられるところがある。
◆ ◇ ◆
今回はセキュリティ監査の概要ということで、セキュリティ監査とは何なのか、セキュリティ監査によりどのような効果が得られるのか、どのような目的で実施すればよいのか、どのような手段があるのかという点を主眼に解説した。後編では一歩踏み込んだ形でのケーススタディや、応用方法を紹介する予定である。
 |
3/3 |
| Index | |
| セキュリティ監査の必要性と目的 | |
| Page1 セキュリティ監査とは何か セキュリティ監査の必要性 セキュリティ監査の目的 |
|
| Page2 第三者機関の必要性 攻撃元のベクトルを確認 セキュリティ監査の5つのカテゴリ |
|
 |
Page3 監査手法の選択 ペネトレーション ソーシャルエンジニアリング |
| 関連リンク | |
| 事例にみるセキュリティ監査のポイント | |
| 個人情報保護法に備える4つの課題 | |
| 情報漏えいに備えるセキュリティ投資の目安 | |
| 個人情報保護法（セキュリティ用語事典） | |
| Profile |
| 矢崎 誠二（やざき せいじ） インターネット セキュリティ システムズ株式会社 プロフェッショナルサービス部 マネージャー （シニアセキュリティコンサルタント） 1999年6月インターネットセキュリティシステムズに入社。同社におけるコンサルティングサービス立ち上げ時から参与参画し、コンサルティングメニューの草案、メソドロジー構築に寄与し、コンサルティングサービスの基盤を確立した。 セキュリティ監査、IDS／IPSシステム構築、不正アクセスログ解析、インシデントアドバイザリなどにおけるプロジェクト責任者。コンサルティングフェーズから、設計、運用フェーズまでを幅広く手掛ける。顧客に某携帯通信キャリア、某官公庁、某通信キャリア、某IT企業などを受け持ち、日本における先端セキュリティシステムの構築と提供を続けている。 インターネット セキュリティ システムズ プロフェッショナルサービス： http://www.isskk.co.jp/service/ProfessionalService.html |
 |
Security&Trust記事一覧 |
- Windows起動前後にデバイスを守る工夫、ルートキットを防ぐ （2017/7/24）
Windows 10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。 - WannaCryがホンダやマクドにも。中学3年生が作ったランサムウェアの正体も話題に （2017/7/11）
2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。 - Recruit-CSIRTがマルウェアの「培養」用に内製した動的解析環境、その目的と工夫とは （2017/7/10）
代表的なマルウェア解析方法を紹介し、自社のみに影響があるマルウェアを「培養」するために構築した動的解析環境について解説する - 侵入されることを前提に考える――内部対策はログ管理から （2017/7/5）
人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。本連載では、中堅・中小企業が目指すべきセキュリティ対策の“現実解“を、特に標的型攻撃（APT：Advanced Persistent Threat）対策の観点から考える。
 |
|
|
|
|
