VRRPについて

概要

複数のルータを論理的に1台に見せて冗長化するVRRP(Virtual Router Redundancy Protocol)についての情報をまとめます。

要点

• VRRPについて

例えば、2台のルータを冗長化する場合には1台の仮想ルータを作成します。その中で2台のルータをマスタルータとバックアップルータとすることで、マスタルータがダウンした時に、バックアップルータをマスタルータとして冗長化された仮想ルータを実現することができます。

マスタルータがダウンした事はマスタルータからは定期的に送られてくるVRRP広告のメッセージで知ることができます。このメッセージが届かなかった場合にマスタルータがダウンしたと判断して、バックアップルータがマスタルータに昇格することで冗長化を実現しています。

VRRP広告メッセージには「VRRPグループID」「Priority値」「仮想IPアドレス」の情報が載っています。

• VRRPトリガについて

VRRPに対応したルータではインタフェースの故障を反対側にも反映させるためにVRRPトリガがあります。VRRPトリガは監視対象のインタフェースが故障した時に反対側のVRRP広告のプライオリティを低く設定することで、この機能によりインタフェースの故障をネットワーク全体で検出することができます。

ロードバランサについて

概要

通信の負荷を分散するロードバランサについての情報をまとめます

要点

• ロードバランサの機能

ネットワークのシステムにおいて、システム全体の処理能力の向上や、可用性を向上させるために負荷分散(ロードバランサ)の仕組みがあります。ロード版佐野主な機能は以下です。

1. 処理の振り分け機能

ロードバランサの基本的な機能が、負荷が集中しないように処理を振り分けることです。処理の振り分け方は、ラウンドロビン、セッション数、ポート番号、サーバ負荷など様々あります。

2. セッション維持機能

処理の振り分けを行った場合でも利用者が同じサーバと通信し続けるようにするためにセッションを維持する機能があります。セッションを維持する方式にはリクエスト元のIPアドレスを元にセッションを維持するレイヤ３方式とCookieに埋め込まれたセッションIDに基づいてセッションを維持するレイヤ7方式があります。

3. ヘルスチェック機能

接続先のサーバの稼働状況を監視することで、そのサーバがダウンした時には処理を振り分けない判断をすることができます。

• ロードバランサの処理

ロードバランサは受け口となるIPアドレスを持ち、負荷を分散する複数の機器の接続先のIPアドレスの情報を持ちます。ロードバランサあての通信をうけるとソースNATでIPアドレスを付け替えて、振り分けルールに則って接続先の機器との通信を行います。

ソースNATでIPアドレスを変換すると、ロードバランサを通った送信元IPアドレスがすべてロードバランサのIPアドレスになってしまいます。それだと接続先がわからなくなってしまうので、HTTPヘッダフィールドにIPアドレスを変換する前のIPアドレスを記載して通信を行います。

• DSR

ロードバランサを経由する通信の通信効率を上げるために、サーバから応答する通信においてはロードバランサを経由せずに直接通信を行う方式をDSR(Direct Server Return)と呼びます。

セキュリティの基礎知識 標的型攻撃について

概要

標的型攻撃の流れと対策を整理します

要点

• 標的型攻撃の流れ
1. 攻撃者が騙されやすい文面のメールを送る
2. 被害者が添付ファイルを開く
3. 添付ファイルについていたマルウェアが実行される
4. C＆Cサーバ(攻撃用サーバ)と通信が開始される
5. 感染したPCを経由して社内の機密ファイルを盗み出す
6. 盗み出したファイルを別のサーバに転送する
• 標的型攻撃の対策
1. ウイルスが社内に侵入
　→ファイアウォールやIPS、URLフィルタリングで入口対策をして、そもそも標的型メールが入ってこないようにする。
2. 社内で感染を拡大
3. 感染したPC及びサーバのアクセス権を入手して情報収集
　→アクセス制御やサーバの要塞化などで内部対策を施し、ウイルスなどが拡散しないようにする。
4. 収集した情報をネットワーク経由で攻撃者に通知
　→ファイアウォールやプロキシサーバでのフィルタリングを行い、外部と通信したり情報が抜き出されないように出口対策を施す。

SSLとTSLについて

概要

セキュリティを確保するプロトコルである、TLS(Transport Layer Security)とSSL(Secure Sockets Layer)についての情報をまとめます。

関連するプロトコル

名称	説明	ポート番号
HTTPS	暗号化したHTTP通信	443
POP3S	暗号化したPOP3通信	995

要点

• TLS(Transfer Layer Security)について
TLSはクライアントとサーバ間の通信を安全に行うための仕組みで、TLSハンドシェイクを呼ばれる手続きの事を言います。このやりとりを行うことで、「証明書による認証」「鍵交換」「暗号化通信」「改ざん検知」を実現することができます。
• SSL(Secure Socket Layer)について
SSLはデータを暗号化するプロトコルであり、盗聴、なりすまし、改ざんなどを防ぐことができます。SSHを使ったHTTPであるHTTPSのポート番号は443番、SSHを使ったPOP3であるPOP3Sのポート番号は995番です。
• SSL-VPNについて
出張先から社内のサーバにアクセスする場合、社内のSSL-VPN装置に暗号化通信を行い、ユーザ認証を行うことで、リバースプロキシとして使用することができます。PCやブラウザにソフトウェアが不要なので便利に使う事ができます。 IPsecとの違いはIPsecはESPヘッダがついたパケットをレイヤ3で通信するのに対して、SSL-VPNはTCPのポート443番を使用してレイヤ4の通信を行う点となります。

セキュリティの基礎技術 公開鍵とディジタル署名

概要

要点

• ディジタル署名

ディジタル署名は文書の元データのハッシュ値を作成して秘密鍵で暗号化したものです。

ディジタル署名の目的は、改ざん防止、なりすまし防止、否認防止の３つの目的があります。

ディジタル署名は実際のデータに付加して送付します。受信側が検証する際にはディジタル署名を検証鍵で複合して、複合したデータが元データのハッシュ値と一致するかを確認することで検証することができます。

---

• ディジタル証明書(電子証明書)

ディジタル証明書は公開鍵を証明するためのものであり、その内容でサーバが怪しくないことを証明するために使われます。(サーバ証明書が偽りの場合に警告を出します。）

ディジタル証明書は公式の認証局から発行してもらう必要があるので、証明書にディジタル署名をする場合には認証局の秘密鍵が必要になります

証明書には、認証局の公開鍵を証明するルート証明書と、サーバの公開鍵を証明するサーバ証明書と、クライアントの公開鍵を証明するクライアント証明書がある。証明書ではCRLと呼ばれる証明書んも失効リストを管理しており、失効した証明書かどうかを確認することができます。

IPsecについて

概要

VPNで導入されるIPsecについて情報をまとめます。

要点

• VPN
インターネット上に仮想的なネットワークを構築する技術をVPNといいます。VPNを使う事でファイル転送の際に意図しない相手との通信やデータ破壊の脅威を防ぐことができます。接続先との通信では個別に暗号化を行う必要がなくなるので、効率的に通信ができます。
• IPsec
IPsecで使用する暗号化プロトコルはESPとAHの2種類ありますが、EAPが主流です。 IPsecの通信モードには、端末間でIPsecを行うトランスポートモードと、VPN間で通信を行うトンネルモードがありますが、トンネルモードが主流です。
VPNルータを経由する場合、そこまで到達したパケットを暗号化して、ESPヘッダとIPヘッダを付与します。宛先のVPNルータに到達すると元のパケットを複合して、EAPヘッダの削除、改ざんの検知を行ってからIPヘッダを削除して宛先のサーバに元のパケットを信します。

• IKE
IKEは鍵交換のプロトコルで、鍵交換を安全に実施するための仕組みです。
IKEの実行モードには、IPsec接続先のIPアドレスを使用するメインモードと、IPアドレスを使用しないアグレッシブモードがあります。動的IPアドレスを使用する場合はアグレッシブモードを使う必要があります。
IKEを使った認証は制御用のセッションを作るフェーズ1と、通信用のセッションを作るフェーズ2を行って、そのあとにIPsecの暗号化通信を行います。
• NATトラバーサル
IPsecで通信する機器同士の間にNAPTがあると、ESPやAHがポート番号を持たないのでうまく動作しないことがあります。
その問題を解決する方法として、UDPヘッダを新たに付与してNATを経由させるNATトラバーサルという技術があります。
• VPNパススルー
もう一つ別の解決方法としてNATルータがIPsecの通信を識別して適切な機器にパケットを転送するVPNパススルーという方式もあります。

IDS,IPSについて

概要

外部からの攻撃を防ぐためにFWがありますが、パケットの中身まで見て攻撃を防ぐ方法にIDS(Intrusion Detection System)やIPS(Intrusipn Prevention System)があります。

要点

• IDSについて
侵入を検知するためのプロトコルで、ネットワークを監視して流れるパケットの内容から不正を検知します。IDSにはネットワークに接続されて、ネットワーク全体を監視するネットワーク型と、ホストにインストールして、そのホストを監視するホスト型があります。
• IPSについて
侵入を防御するためのプロトコルで、ネットワークを監視して流れるパケットの内容から不正を検知します。
• 不正侵入の検知方法
シグネチャ型は、既知の攻撃パターンに基づく攻撃とマッチングすることで攻撃を検知することができます。
アマノリ型は、RFCのプロトコル使用などと比較して異常なパケットやトラフィックを分析して統計的に異常なパケットを攻撃として検知します。
不正検知にはフォールトポジティブ(誤検知)とフォールトネガティブ(見逃し)というエラーが発生することもあります。