セキュリティの弱点を発見するペネトレーションテストとは？
ペネトレーションテストとは外部にネットワーク接続されたシステム等で定期的に行われている
侵入テストの事を言い、実際に既知の攻撃方法や侵入方法を実際に行い弱点を見つけるテスト方法です。
今回はペネトレーションテストの概要を記載します。
■ペネトレーションテストの必要性
・セキュリティホールが内在している可能性がある。
⇒FWやアクセスコントロールを実施しても完全ではない。
・アプリケーションの脆弱性対策
⇒導入時以降の脆弱性やバグの発見
・新たなセキュリティホールの発見
⇒日々新しいセキュリティホール発見によるリスクが報告されている
■ぺネトレーションテストを行う主な観点
・外部から侵入されないかどうか？
・DoS・DDos攻撃を受けた際に絶えられるかどうか？
・第三者のコンピュータを攻撃する踏み台になってないかどうか？
上記のような観点で行い。主にnmap等に代表される、
セキュリティスキャナツールを使用する検査と実際に人手を介して
外部からの侵入等を行う検査があります。
またアプリケーションの脆弱性に対しても行っている業者も多く、
以下の検査項目等があります。
- クロスサイトスクリプト
- バッファーオーバーフロー
- ディレクトリトラバーザル
- SQLインジェクション
- シェルコマンドインジェクション
- VBコマンドインジェクション
- クッキーハイジャック
- セッションハイジャック
- ディレクトリ・ファイル名予測
- ブルートフォース
- パラメータ検査
- 暗号解読
- 認証の弱点をつくテスト等
上記の項目に対して管理者が自ら検査を行う方法もありますが、
脆弱性やセキュリティホールに対する専門の知識が必要であり
専門のセキュリティベンダーにペネトレーションテストを委託するのが
一般的な方法です。
またセキュリティ監査の一部としても捉えられることが出来るため
第三者機関に行ってもらうという側面もあるようです。
日本では、長野県がやった住民基本台帳ネットワークへのテスト
がペネトレーションテストを行ったことで有名。
実際の試験構成も載っているため分かりやすいと思います。
http://www.soumu.go.jp/c-gyousei/daityo/pdf/031017_1_s1.pdf
ちなみに情報処理試験にも出る言葉なのでセキュリティ管理者のみならず
理解しておいたほうがよいでしょう。
◎その他参考サイト
ペネトレーションテスト業務を行う上で必要な技術的な情報
http://pen-test.jpn.org/pentest:pentest_home
セキュリティ管理者が抑えて置きたい5つのサイト
セキュリティ管理者が情報収集しておきたい5つの項目
管理者であれば、抑えておきたい情報ですね！
大企業では当たり前のようにセキュリティ部門が行っている情報収集！
企業のシステムを担当しているセキュリティ管理者・対応者は
システムを安全に保つために最低限の情報収集をする必要がるのではないでしょうか？
以下のサイトをRSSリーダーに登録又は、メール配信の登録をするだけで、
最新のセキュリティ事情の把握や対策が手に入ります。
■JPCERT/CC
http://www.jpcert.or.jp/
注意喚起＆緊急報告が必要
日本国内のセキュリティインシデントの被害届け窓口となっている機関で
セキュリティに関する注意喚起を行っている
■IPA セキュリティセンター
http://www.ipa.go.jp/security/virus/top-j.html
ウイルス情報、脆弱性情報のセキュリティ対策の為の技術情報の公開
■SecurityFocus
http://www.securityfocus.com/
海外セキュリティニュースもみれる
■警察庁セキュリティポータルサイト@police
http://www.cyberpolice.go.jp/
■ScanNetSecurity
https://www.netsecurity.ne.jp/
一度は読んでおきたい対策資料
◎IPA 小規模サイト管理者向けセキュリティ対策マニュアル
http://www.ipa.go.jp/security/fy12/contents/crack/soho/soho/
セキュリティ情報をメールで入手
◎シマンテック・セキュリティ・スクエア
https://j-square.symantec.com/
シマンテック・セキュリティ・スクエアから、ウイルスやセキュリティに関する情報を隔週で
あなたのパソコンに無料でお届け
◎マイクロソフト・セキュリティニュースレター
http://www.microsoft.com/japan/technet/security/secnews/default.mspx
実践に役立つセキュリティのヒントや、最新のセキュリティ ガイダンス、
実用的なリソースの情報をお届けします。
今週の気になるセキュリティニュース
何事も土台が重要：すべての企業におくる物理的ITセキュリティ対策10選
あなたの企業がまだ導入していなければ今す
ぐに導入するべき基本的な物理セキュリティ対策を10個取り上げている。
http://japan.zdnet.com/sp/feature/shinder/story/0,2000087897,20357002,00.htm
Pマーク取得企業は対策済みな内容。
スパムメール対策の必要性とちょっと気になる豆知識
スパムの語源って何？
スパムの言葉はもともとはInternetのニュースグループで使われおり、
そのニュースグループで無差別に投稿される広告記事をスパムと読んでいたといわれています。
その後無差別に送られてくるメールもスパムと呼ぶようになったと言われおり
気になる語源はイギリスのコメディアングループの「モンティパイソン」説が有力であるようです！
詳しい語源はNorthwestern University[[が出している資料に書かれていますが、
資料URLはこちらから ： ftp://ftp.isi.edu/in-notes/rfc2635.txt
モンティパイソンがBBC のコメディ番組でコントをやったのがきっかけとなったよう。
コメディではアメリカのHormel Foods社の「SPAM」という豚肉の缶詰をネタにしたもので、
- とある客がレストランでウェイトレスに注文
- メニューは豚肉の缶詰の「SPAM」入りのものばかり
- 「SPAM」入りでないものを注文したかったのだが、 感情的になり「SPAM」を連呼
- それに便乗し、レストランの他の客までもが「SPAM」「SPAM」と騒ぎ出し
- 「SPAM」で会話が成り立たなくなってしまった。
まるでこの「SPAM」で会話が成り立たなくなることが、現代のニュースグループの無差別投稿や
]]迷惑メールのようなことから呼ばれるようになったと言われています。
ちなみにこのコメディ番組で行ったコントは「スパムスケッチ」という！
実際のHormel Foods社の「SPAM」缶はこちら
スパムメール対策の必要性と理解
語源はここらへんにしておいて、企業ではウイルス対策や不正アクセス対策が進んでいる中
スパムメール対策を行っている企業は50％以下にとどまっています。
スパムメール自体が迷惑だけでなく、メールに書かれたリンク先や添付ファイルからのウイルス感染、
スパイウェアなどの悪意のあるプログラムへの感染、フィッシング詐欺やワンクリック詐欺など
2次的な金銭的被害を引き起こす可能性があります。
また企業によってはリソースの圧迫等など通常業務に支障をきたすことさえあり、
これからのセキュリティ対策として重要な項目の一つです。
スパムメールの対策方式
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
- -
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
■レピュテーション
スパムメール(迷惑メール)を送信しているサーバのリスト 送信元IPを遮断する方法
■コンテンツフィルタリング
ヘッダーや本文の中身を見ることでスパム独特の文字列等が含まれているかいないかで判断する方法
市販のウイルスソフトのSPAM機能はこの方式です。
■送信者認証
送信元が詐称されていないかどうかをチェックできる仕組み
米Microsoftなどによる「Sender ID」や米Yahoo!の「DomainKeys」など現在標準化が進んでいる
■Port 25 Block
メールの送信者側からスパムメールの送信を防止
主にISPがADSLユーザなどに対し提供する動的なIPアドレスの範囲から、
外部のメールサーバに直接接続することを禁止するもの
今後中小企業においては、まずはウイルス対策と同時にコンテンツフィルタリングの導入や
レピュレーションも同時にでき、コストが安く上がるゲートウェイアプライアンスの導入を
考える必要があります。
特に自社サービスを提供している企業であったり、なんらかのメール通達システムを持って
いる企業であればスパムメール受信はもとより、発信者にならない為の対策をする必要があります。
その他参考サイト
業界全体で連携して迷惑メールに対処することを目的とした、迷惑メール対策グループ「JEAG」
今週の気になるセキュリティニュース
MSがセキュリティ啓発の新施策、中小企業向け診断ツールなどを無償提供
http://itpro.nikkeibp.co.jp/article/NEWS/20070921/282768/?ST=security
システム運用管理担当者などが社内のITインフラのセキュリティ水準を自己診断するための
「セキュリティアセスメントツール」を、10月後半から無償で提供する
（注：10月後半から同社Webサイト上の「セキュリティ」コーナーで提供)。
主に従業員数が1000人未満の中堅・中小企業が対象。
このようなツールは是非社内で導入し診断することをオススメします。
3つの手法と5つの対策を知りソーシャルエンジニアリングを防ぐ
大部分の中小企業は外向けのセキュリティ対策は実施済み
大企業が情報漏洩を繰り返している中、セキュリティ対策が注目され
中小企業においてもネットワークセキュリティ対策を行っている企業が
増えてきました。
対策する企業が増えた理由としては、外部からの攻撃やウイルス感染により自社の重要書類や
顧客情報を流失してしまうことにより自社の基幹システムのダウンのみならず顧客からの信頼というダメージを
直接受けるということが昨今のマスコミによる報道、ニュース等により大きく取り上げられ
ようやく重要な対策事項だということが実感されてきたということが一つの理由でもあります。
下のリサーチ結果を見ての通り
「ウイルス対策ソフトの導入」90.6％
「不正アクセスの防止」68.9％
と中小企業は何らかの形で外部からの侵入を防ぐ対策を行っていることが言えます。
ノークリサーチ「2005年版中堅・中小企業のITソリューションの実態と展望」から
注意すべき内部セキュリティ
上記データから大部分の中小企業は外向けのセキュリティ対策は進んでいるが、
社内向け「社内でアクセス制限を設けている」が36.1％とまだまだ進んでいないのが現状です。
昨年の某社の例をみるように（http://itpro.nikkeibp.co.jp/free/NC/NEWS/20050214/156142/）
内部で情報を入手、操作等により社内セキュリティを掻い潜った情報漏洩を起こしてしまうパターンも
大企業でおきているのが現状で社員のモラルも問われる時代にあります。
2005年の4月に個人情報保護法が施行され情報に対した社内対策をしている中小企業が
増えてきていますが、データを見る限りまだまだこれからの対策実施項目といえます。
対策が重要なソーシャルエンジニアリングとは？
これから中小企業は外向けのセキュリティ対策の次に社内セキュリティ対策をする上で
守るべき情報の整理とアクセス管理、システム・ネットワーク的なアクセスコントロールの実施を
行っていくことになりますが、同時に考えなければいけない重要な対策項目として
ソーシャルエンジニアリングを考えていかなければいけません。
情報セキュリティ世界でのソーシャルエンジニアリングの意味は社会的手段を使い不正アクセスを
行う手段であり、コンピュータやネットワークを介さずに人間の心理面や行動に盲点を狙った
手法全般のことを言います。
ソーシャルエンジニアリングの3つの手法を理解する
- トラッシング ：ゴミとして破棄されたものの中から目的の情報を取得する手法
- ショルダーハック ：PCや電話の覗き見や盗聴によって機密情報を入手する手法
- なりすまし ：他人になりすまし、機密情報の入手や誘導を不正に行う手法
具体例として挙げると
ゴミとして破棄されたものの中から情報を取得する⇒1の手法や
PCに貼付している付箋紙や机の上のメモ紙を参照⇒2の手法
管理者に装いパスワードの聞きだしやセキュリティ区画入出の際の同伴者のふりをしての入室⇒3の手法
主に機密情報にアクセスする際のID/パスワード取得目的に行われる、一見古典的でありながら
どんなシステムやネットワークセキュリティを構築したとしても人間が介在する限りは通用する
情報収集手段であり、気づかぬうちに漏洩をしてしまう可能性が十分に考えられる
不正アクセスの一つです。
基本5項目のソーシャルエンジニアリング対策
- スクリーンセーバロック
- クリーンディスク
- 機密情報書類のシュレッダー破棄の徹底
- コールバックを利用したID払い出し確認
- 管理者との面識を作る
上記5項目を実施することによりソーシャルエンジニアリングの3つの手法の大部分を防止することが
可能です。（※上記は実際に大企業で実施されているもの）
今後中小企業は情報の取り扱いについて徹底的に従業員に対し理解させ、
トップダウンによる実施指示と定期的なチェックを行う必要があります。
また情報セキュリティポリシーを策定し「入退出管理」「情報・データ取り扱い方法」など
ヒューマンエラーを未然に防ぐ教育の実施を定期的に行っていく必要があります。
