情報セキュリティスペシャリスト(SC) 午後の鉄則
テクニカルエンジニア 情報セキュリティ［午後］オリジナル問題集 2008年度版 (Shuwa Super Book Series)
- 作者: 野崎高弘,平田豊
- 出版社/メーカー: 秀和システム
- 発売日: 2007/10
- メディア: 単行本
- クリック: 19回
- この商品を含むブログ (25件) を見る
で紹介されている鉄則をまとめておく。
- ログ管理ときたら、時刻同期とログサーバの設置によるログの改ざん検知
- ウィルス対策は、ウィルス対策ソフトの常駐、起動時のウィルス定義ファイルの自動更新、セキュリティパッチの適用
- セキュリティ上の脅威ときたら、外部からのアタック、DoS攻撃、不正侵入、ウィルス
- 暗号化は盗聴、ハッシュは改ざん、ディジタル署名はなりすましを防止
- タイムスタンプは、タイムスタンプ発行時の存在(存在証明)と、それ以降改ざんされていないこと(非改ざん証明）を保障する
- 証明書の有効性確認は、有効期限、CRL、署名値の照合、認証パス
- OSのアクセス制御方式は、任意アクセス制御(DAC)、強制アクセス制御(MAC)、ロールベースのアクセス制御(RBAC)
- サーバの要塞化は、不要サービスの停止、パッチ適用、バージョン最新化
- 暗号化すると、パケットの中身の読み取りを必要とする動作ができなくなる
- ファイアウォールで防げない脅威は、DoS、セキュリティホールを突いた攻撃(BOF)、ウィルス、暗号化など、ルールに則った通信
- 社内を踏み台にした外部へのアタックを考慮し、DMZや社内LANからの外部へのアクセスも必要最小限にする
- 対象となる機器はすべて網羅せよ。"すべての〜"という表現も一つの手
- 盗聴防止は暗号化
- NIDSは、プロミスキャスモード、ステルスモード、ミラーポートの設定が必要
- ファイアウォールでのアドレス変換は、犯行を行っている内部クライアントの特定を困難にすることに注意
- IDSの弱点は、誤検知、取りこぼし、暗号化通信、防御が間に合わない
- 無線LANの三つのセキュリティ対策は、ESS-ID、MACアドレス制御、WEP
- パスワードの運用は、推測困難、定期的変更、入力回数制限
- パソコンを識別する要素は、パソコンと利用者の関係が1対1でないため、利用者の識別にはならない
- 内部からのウィルス感染や盗聴に備え、内部でもウィルスチェックや暗号化を継続せよ
- メールの第三者中継防止対策は、POP before SMTPやSMTP-AUTHによるユーザ認証
- IPアドレスが同一になるケースは、NAT、IPマスカレード、プロキシ
- IPアドレスが動的になるケースは、DHCP接続、ダイヤルアップ接続、ADSL接続、携帯電話からのアクセス
- OP25BでISPから直接出ていく迷惑メールをブロックし、サブミッションポートで587番を提供したら、SMTP-AUTHでユーザ認証しておく
- 攻撃者にヒントを与えないよう、エラーメッセージは抑止せよ
- エコーバック対策の原則は、出力時の特殊文字のエスケープ(サニタイジング)処理
- GETはヘッダに書くから危険、POSTはボディに書くから安全
- セッションIDの運用は、十分な長さ、ランダム、短い有効期間、切替え
- パスワードや個人情報などを入力する前に、URLを確認せよ
- 改ざんのおそれがある重要な情報は、サーバ側でチェック・管理する
- セッション管理用のクッキーはSSLで保護し、secure属性を付けよ
- クッキー、Hidden、Refererは簡単に改ざんできるので注意
- 重要なデータは直ちに削除するか、暗号化しておく
- 入力チェックは、明示的に許可されていないものはすべて禁止
- 強制ブラウジング、パス乗り越え、コマンドインジェクションによる権限外アクセスへの共通予防対策は、アクセス権限の設定
- SQLインジェクション対策は、サニタイジングとバインド機構(コンパイル済みSQL文、プレースホルダ)
- Perlプログラムをセキュアにする方法が分からないときは、Taintモードで逃げろ
- フィッシング対策は、URL、錠前アイコン、電子証明書の確認
- ワンタイムパスワード、Diffie-Hellmanなどの認証は、相互認証とエンドポイントのセキュリティを考慮していないので、中間者攻撃に弱い
- 実表の一部の行や列からなるビューを定義し、そのビューに対してアクセス権限を付与させよ
- 監査ログには、成功時と失敗時のログ、時刻同期が必要
- 共用IDの問題点は、アクセス者を特定できないこと(責任追跡性)と過剰な権限の付与
- 暗号化や認証の鍵情報は、ノートPCと別々に管理する
- 認証デバイスの紛失で直ちに行うべきことは、デバイスの失効処理や中に格納されている鍵の無効化
