情報セキュリティスペシャリスト(SC) 午後の鉄則

鉄則 (重要度順)

重要度	鉄則内容
◎	証明書の有効性確認は、有効期限、CRL、署名値の照合、認証パス
◎	OSのアクセス制御方式は、任意アクセス制御(DAC)、強制アクセス制御(MAC)、ロールベースのアクセス制御(RBAC)
◎	対象となる機器はすべて網羅せよ。"すべての〜"という表現も一つの手
◎	OP25BでISPから直接出ていく迷惑メールをブロックし、サブミッションポートで587番を提供したら、SMTP-AUTHでユーザ認証しておく
◎	攻撃者にヒントを与えないよう、エラーメッセージは抑止せよ
◎	エコーバック対策の原則は、出力時の特殊文字のエスケープ(サニタイジング)処理
◎	セッション管理用のクッキーはSSLで保護し、secure属性を付けよ
◎	重要なデータは直ちに削除するか、暗号化しておく
◎	SQLインジェクション対策は、サニタイジングとバインド機構(コンパイル済みSQL文、プレースホルダ)
◎	フィッシング対策は、URL、錠前アイコン、電子証明書の確認
◎	ワンタイムパスワード、Diffie-Hellmanなどの認証は、相互認証とエンドポイントのセキュリティを考慮していないので、中間者攻撃に弱い
◎	認証デバイスの紛失で直ちに行うべきことは、デバイスの失効処理や中に格納されている鍵の無効化
○	ログ管理ときたら、時刻同期とログサーバの設置によるログの改ざん検知
○	セキュリティ上の脅威ときたら、外部からのアタック、DoS攻撃、不正侵入、ウィルス
○	タイムスタンプは、タイムスタンプ発行時の存在(存在証明)と、それ以降改ざんされていないこと(非改ざん証明）を保障する
○	サーバの要塞化は、不要サービスの停止、パッチ適用、バージョン最新化
○	暗号化すると、パケットの中身の読み取りを必要とする動作ができなくなる
○	ファイアウォールで防げない脅威は、DoS、セキュリティホールを突いた攻撃(BOF)、ウィルス、暗号化など、ルールに則った通信
○	社内を踏み台にした外部へのアタックを考慮し、DMZや社内LANからの外部へのアクセスも必要最小限にする
○	盗聴防止は暗号化
○	IDSの弱点は、誤検知、取りこぼし、暗号化通信、防御が間に合わない
○	パスワードの運用は、推測困難、定期的変更、入力回数制限
○	内部からのウィルス感染や盗聴に備え、内部でもウィルスチェックや暗号化を継続せよ
○	メールの第三者中継防止対策は、POP before SMTPやSMTP-AUTHによるユーザ認証
○	GETはヘッダに書くから危険、POSTはボディに書くから安全
○	セッションIDの運用は、十分な長さ、ランダム、短い有効期間、切替え
○	パスワードや個人情報などを入力する前に、URLを確認せよ
○	クッキー、Hidden、Refererは簡単に改ざんできるので注意
○	入力チェックは、明示的に許可されていないものはすべて禁止
○	実表の一部の行や列からなるビューを定義し、そのビューに対してアクセス権限を付与させよ
○	監査ログには、成功時と失敗時のログ、時刻同期が必要
○	共用IDの問題点は、アクセス者を特定できないこと(責任追跡性)と過剰な権限の付与
○	暗号化や認証の鍵情報は、ノートPCと別々に管理する
△	ウィルス対策は、ウィルス対策ソフトの常駐、起動時のウィルス定義ファイルの自動更新、セキュリティパッチの適用
△	暗号化は盗聴、ハッシュは改ざん、ディジタル署名はなりすましを防止
△	NIDSは、プロミスキャスモード、ステルスモード、ミラーポートの設定が必要
△	ファイアウォールでのアドレス変換は、犯行を行っている内部クライアントの特定を困難にすることに注意
△	無線LANの三つのセキュリティ対策は、ESS-ID、MACアドレス制御、WEP
△	パソコンを識別する要素は、パソコンと利用者の関係が1対1でないため、利用者の識別にはならない
△	IPアドレスが同一になるケースは、NAT、IPマスカレード、プロキシ
△	IPアドレスが動的になるケースは、DHCP接続、ダイヤルアップ接続、ADSL接続、携帯電話からのアクセス
△	改ざんのおそれがある重要な情報は、サーバ側でチェック・管理する
△	強制ブラウジング、パス乗り越え、コマンドインジェクションによる権限外アクセスへの共通予防対策は、アクセス権限の設定
△	Perlプログラムをセキュアにする方法が分からないときは、Taintモードで逃げろ