セキュリティの基礎知識 標的型攻撃について

概要

標的型攻撃の流れと対策を整理します

要点

• 標的型攻撃の流れ
1. 攻撃者が騙されやすい文面のメールを送る
2. 被害者が添付ファイルを開く
3. 添付ファイルについていたマルウェアが実行される
4. C＆Cサーバ(攻撃用サーバ)と通信が開始される
5. 感染したPCを経由して社内の機密ファイルを盗み出す
6. 盗み出したファイルを別のサーバに転送する
• 標的型攻撃の対策
1. ウイルスが社内に侵入
　→ファイアウォールやIPS、URLフィルタリングで入口対策をして、そもそも標的型メールが入ってこないようにする。
2. 社内で感染を拡大
3. 感染したPC及びサーバのアクセス権を入手して情報収集
　→アクセス制御やサーバの要塞化などで内部対策を施し、ウイルスなどが拡散しないようにする。
4. 収集した情報をネットワーク経由で攻撃者に通知
　→ファイアウォールやプロキシサーバでのフィルタリングを行い、外部と通信したり情報が抜き出されないように出口対策を施す。

SSLとTSLについて

概要

セキュリティを確保するプロトコルである、TLS(Transport Layer Security)とSSL(Secure Sockets Layer)についての情報をまとめます。

関連するプロトコル

名称	説明	ポート番号
HTTPS	暗号化したHTTP通信	443
POP3S	暗号化したPOP3通信	995

要点

• TLS(Transfer Layer Security)について
TLSはクライアントとサーバ間の通信を安全に行うための仕組みで、TLSハンドシェイクを呼ばれる手続きの事を言います。このやりとりを行うことで、「証明書による認証」「鍵交換」「暗号化通信」「改ざん検知」を実現することができます。
• SSL(Secure Socket Layer)について
SSLはデータを暗号化するプロトコルであり、盗聴、なりすまし、改ざんなどを防ぐことができます。SSHを使ったHTTPであるHTTPSのポート番号は443番、SSHを使ったPOP3であるPOP3Sのポート番号は995番です。
• SSL-VPNについて
出張先から社内のサーバにアクセスする場合、社内のSSL-VPN装置に暗号化通信を行い、ユーザ認証を行うことで、リバースプロキシとして使用することができます。PCやブラウザにソフトウェアが不要なので便利に使う事ができます。 IPsecとの違いはIPsecはESPヘッダがついたパケットをレイヤ3で通信するのに対して、SSL-VPNはTCPのポート443番を使用してレイヤ4の通信を行う点となります。

セキュリティの基礎技術 公開鍵とディジタル署名

概要

要点

• ディジタル署名

ディジタル署名は文書の元データのハッシュ値を作成して秘密鍵で暗号化したものです。

ディジタル署名の目的は、改ざん防止、なりすまし防止、否認防止の３つの目的があります。

ディジタル署名は実際のデータに付加して送付します。受信側が検証する際にはディジタル署名を検証鍵で複合して、複合したデータが元データのハッシュ値と一致するかを確認することで検証することができます。

---

• ディジタル証明書(電子証明書)

ディジタル証明書は公開鍵を証明するためのものであり、その内容でサーバが怪しくないことを証明するために使われます。(サーバ証明書が偽りの場合に警告を出します。）

ディジタル証明書は公式の認証局から発行してもらう必要があるので、証明書にディジタル署名をする場合には認証局の秘密鍵が必要になります

証明書には、認証局の公開鍵を証明するルート証明書と、サーバの公開鍵を証明するサーバ証明書と、クライアントの公開鍵を証明するクライアント証明書がある。証明書ではCRLと呼ばれる証明書んも失効リストを管理しており、失効した証明書かどうかを確認することができます。

IPsecについて

概要

VPNで導入されるIPsecについて情報をまとめます。

要点

• VPN
インターネット上に仮想的なネットワークを構築する技術をVPNといいます。VPNを使う事でファイル転送の際に意図しない相手との通信やデータ破壊の脅威を防ぐことができます。接続先との通信では個別に暗号化を行う必要がなくなるので、効率的に通信ができます。
• IPsec
IPsecで使用する暗号化プロトコルはESPとAHの2種類ありますが、EAPが主流です。 IPsecの通信モードには、端末間でIPsecを行うトランスポートモードと、VPN間で通信を行うトンネルモードがありますが、トンネルモードが主流です。
VPNルータを経由する場合、そこまで到達したパケットを暗号化して、ESPヘッダとIPヘッダを付与します。宛先のVPNルータに到達すると元のパケットを複合して、EAPヘッダの削除、改ざんの検知を行ってからIPヘッダを削除して宛先のサーバに元のパケットを信します。

• IKE
IKEは鍵交換のプロトコルで、鍵交換を安全に実施するための仕組みです。
IKEの実行モードには、IPsec接続先のIPアドレスを使用するメインモードと、IPアドレスを使用しないアグレッシブモードがあります。動的IPアドレスを使用する場合はアグレッシブモードを使う必要があります。
IKEを使った認証は制御用のセッションを作るフェーズ1と、通信用のセッションを作るフェーズ2を行って、そのあとにIPsecの暗号化通信を行います。
• NATトラバーサル
IPsecで通信する機器同士の間にNAPTがあると、ESPやAHがポート番号を持たないのでうまく動作しないことがあります。
その問題を解決する方法として、UDPヘッダを新たに付与してNATを経由させるNATトラバーサルという技術があります。
• VPNパススルー
もう一つ別の解決方法としてNATルータがIPsecの通信を識別して適切な機器にパケットを転送するVPNパススルーという方式もあります。

IDS,IPSについて

概要

外部からの攻撃を防ぐためにFWがありますが、パケットの中身まで見て攻撃を防ぐ方法にIDS(Intrusion Detection System)やIPS(Intrusipn Prevention System)があります。

要点

• IDSについて
侵入を検知するためのプロトコルで、ネットワークを監視して流れるパケットの内容から不正を検知します。IDSにはネットワークに接続されて、ネットワーク全体を監視するネットワーク型と、ホストにインストールして、そのホストを監視するホスト型があります。
• IPSについて
侵入を防御するためのプロトコルで、ネットワークを監視して流れるパケットの内容から不正を検知します。
• 不正侵入の検知方法
シグネチャ型は、既知の攻撃パターンに基づく攻撃とマッチングすることで攻撃を検知することができます。
アマノリ型は、RFCのプロトコル使用などと比較して異常なパケットやトラフィックを分析して統計的に異常なパケットを攻撃として検知します。
不正検知にはフォールトポジティブ(誤検知)とフォールトネガティブ(見逃し)というエラーが発生することもあります。

認証LANとRADIUSについて

概要

端末がネットワークに接続する際に不正アクセスを防ぐ仕組みである、認証LANと、代表的なRADIUS(Remote Authentication Dial In User Service)についての情報をまとめます。

要点

• 認証LANの認証方式
• MAC認証
端末のMACアドレスで認証する方式
• Web認証
Web画面でユーザ名/パスワードを入力することで認証する方式
• EEE802.1X認証(RADIUS)
EAPなどの認証プロトコルを使って認証する方式
• EEE802.1X認証で使われるEAP認証方式
EAPは、それまでPPPで使われていたPAPやCHAPと違い、証明書を使った高度な認証プロトコルです。
PAPはIDとパスワードを平文で流す認証方式で、CHAPはメッセージダイジェストにより暗号化して流す認証方式でしたが、ネットワークが普及してきて、EAPのような高度な認証が求められるようになりました。
• EAP-MD5
EAPの枠組みで動作するCHAP
• PEAP
サーバ証明書を使い、クライアント側ではIDとパスワードを使って認証する方式。ユーザ認証と呼ばれる。
• EAP-TLS
TLSによって行う認証でクライアント証明書を利用する方式。端末認証と呼ばれる。
• RADIUS認証の流れ
RADIUS認証は、サプリカント、オーセンティケータ、認証サーバで実現します。

1. サプリカントをネットワークに接続する
2. オーセンティケータから認証要求が来る
3. 利用者はユーザ名とパスワードの情報をEAPOLで受け渡す
オーセンティケータは認証サーバにユーザ名/パスワードを問い合わせる
4. 認証に成功するとサプリカントの通信が可能になる
• 認証LANの課題
リピータハブを接続するネットワークにおいては、配下に接続されているPCのうち、1つでも認証に成功すると、認証されたポートを経由して認証されていないPCの接続が可能になってしまう課題がある。

ファイアウォールについて

概要

企業などでも採用されているファイアウォールの仕組みについての情報をまとめます

要点

• FWについて
ファイアウォールはインターネットから不正アクセスを防ぐために実施する仕組みで、外部からの通信を制御したり、ネットワークを「インターネット」「DMZ」「内部セグメント」の3つに分ける機能を持ちます。
• DMZ(Demilitarized Zone)について
DMZはインターネットと内部セグメントの間に存在する領域のことであり、どちらのネットワークからも通信のやり取りができるので、メールサーバやWebサーバなどのように外部に公開するサーバを配置して活用することができます。
• FWの種類について
FWには、ヘッダ部分のIPやポート番号を元に制御するパケットフィルタリング型と、HTTP,SMTPなどのアプリケーションプログラムごとに制御するアプリケーションゲートウェイ型の2種類あります。
• 一般的なFWの設定例
• 基本的にはすべてのパケットを停止させ、必要なルールだけを許可する
• pingによる疎通確認のためにICMPは許可する設計もある。(pingも含め不要なパケットは停止する設計もある)
• 設定されたルールは上から順にチェックし、合致するものがあればそのルールが適用されそれ以降は見ない。
• インターネットからDMZへのパケットは、公開Webサーバなどの為に必要なルールのみを許可する。
• 公開サーバだからと言ってすべての通信を許可する設定は適切ではない。
• インターネットから内部セグメントに対するアクセスはすべて禁止にすべきである
• インターネットから許可する通信の宛先はすべてDMZにすべきである。
• 内部セグメントからの通信に関してもすべて許可するのは適せつではない
• PCからインターネットへの直接通信を禁止して、プロキシを経由した通信のみに限定する
• 許可ルールはIPアドレスで指定するのではなく、プロトコルで指定して、使用しないプロトコルは拒否するようにする。
• UTMについて
UTMはFWを含むセキュリティ関連の機能を集約した装置
• WAF(Web Application Firewall)について
WAFはWebアプリケーションの防御に特化したファイアフォールで、攻撃の可能性があるアクセスパターンをブラックリストに登録したり、逆に安全なアクセスパターンをホワイトリストに登録することができるファイアウォールです。
• FWの二重化
FWの冗長化はVRRP(仮想アドレスを使用する)方式と、サブの装置がメインのIPアドレスを使用して引き継ぐ方式があります。 IPを引き継ぐ方式ではメインの装置が故障したことを検出す裏目に定期的な通信をして、それに成功するかどうかで故障の有無を検知します。