アクセスコントロール

内部からの流出を防ぐという機能は、

• マルウェアに感染した端末が外部へ情報を送り出すのを止める
• 従業員が業務と無関係なサイトへ社内情報を送るのを止める

といった場面で効きます。

⑤ 正当なパケットは通す

ファイアウォールは、すべての通信を止めるわけではありません。

通すべきものは通し、止めるべきものを止める——この判断が、次に学ぶパケットフィルタリング機能です。

⑥ パケットフィルタリング機能

パケットの宛先（送信先のIPアドレスや送信元のIPアドレスなど）を調べて、通過させてよいパケットは通過させ、通過させてはいけないパケットは通過させない機能です。

外部とのやり取りを制限することで、内部の情報などを保護します。

⑦ 何を見て判断するのか

第5章で学んだポート番号の知識が、ここで生きてきます。

⑧ 設計の基本——拒否を既定にする

ファイアウォールの設定には、2つの考え方があります。

第2章で学んだ最小権限の原則と同じ考え方です。必要なものだけを許すという設計にしておけば、新しい攻撃手法が現れても、そもそも通り道がありません。

⑨ ファイアウォールの限界

ファイアウォールは万能ではありません。

1つ目への対策が、次のテーマで学ぶWAFです。4つ目への対策が、第6節で学ぶ無線LANのセキュリティです。

第1節で見た多層防御——1つの対策では守りきれないから重ねる——という考え方が、ここでも当てはまります。

5番目が「原則拒否」

上から順に判定し、どれにも当てはまらなければ5番で拒否されます。これが「原則拒否、例外を許可」の実装です。

この設定から読み取れること

想定される質問への答え

「業務でファイル転送が必要になった」

「穴を開ける」前に、代替手段を検討する——これが実務的な判断です。

設定変更の記録を残す

3つ目がとくに重要です。「一時的に開けます」と言って開けたポートが、何年も開いたままになっている——という状態は珍しくありません。

第12章で学ぶIT資産管理の一環として、定期的に設定を棚卸しすることが推奨されます。

確認してみましょう

> 次の記述の正誤を判定せよ。

> a　不正アクセスとは、コンピュータに対して与えられた権限以上の操作を行うことである。

> b　ファイアウォールは、外部からの不正アクセスを防ぐだけでなく、内部からの不用意な情報の流出を防止する機能もあわせもつ。

> c　パケットフィルタリング機能では、パケットの内容を解析して不正なSQL文を検知する。

解答　a：○　b：○　c：×

• c：×……パケットフィルタリング機能は、パケットの宛先（送信先や送信元のIPアドレスなど）を調べて通過の可否を判断します。不正なSQL文を検知するのは、次のテーマで学ぶWAFです。

Webサーバから見ると、クライアントはプロキシサーバになります。本当の利用者が誰なのかは見えません。

③ プロキシサーバを導入する3つの効果

プロキシサーバを導入することにより、次の3つの効果を得ることができます。

❶ 内部ネットワークのセキュリティ向上

企業内のクライアントPCがインターネットにアクセスする際、プロキシサーバが通信の代理を行うことで、内部ネットワークを隠蔽することが可能となり、外部からの不正アクセスに対するセキュリティを向上させることができます。

❷ アクセスの高速化

プロキシサーバには、一度アクセスしたWebページの情報などを保存しておくキャッシュ機能が備わっています。同一の資源にアクセスをする場合、インターネット上のサーバからではなく、プロキシサーバ上のキャッシュから情報を取得するため、アクセスが高速化されます。

❸ 統制力の強化

プロキシサーバには、URLリストとの照合によって不適切なWebサイトへのアクセスをブロックするURLフィルタリング機能が備わっています。

WebサイトのURLを事前に登録しておくことにより、業務中のPCの私的利用を防ぎ、組織としての統制力を強化することができます。

④ 3つの効果を整理する

1つの仕組みで3つの効果——これがプロキシサーバの価値です。

⑤ キャッシュという発想の再登場

第1章で学んだキャッシュメモリ、ディスクキャッシュ、第2章のスプーリング——「一度使ったものを手元に置いておく」という発想が、ここでも使われています。

同じものを何度も取りに行くのは無駄という共通の洞察から生まれた技術群です。

⑥ NAPTとの違い

第5章で学んだNAPTも「内部を隠す」働きをしました。プロキシサーバとの違いを整理しておきます。

上の層で動くほど、中身を理解して細かい判断ができる——第5章のOSI参照モデルで学んだ原則が、ここにも現れています。

⑦ WAF（Web Application Firewall）

SQLインジェクション（不正なSQL文を送って攻撃する手法）などのWebアプリケーションへの攻撃を検知し、防御するシステムです。

HTTPやHTTPSトラフィックを監視し、不正なリクエストや不正な応答を識別するルールに基づいて動作します。不正なトラフィックを検出すると、そのリクエストをブロックしたり、アラートを発動させます。

⑧ なぜWAFが必要なのか

前のテーマで見たとおり、ファイアウォールは許可したポートを通る攻撃を防げません。

Webサイトへの攻撃は、正規のWebアクセスと同じ443番を通ってきます。ポート番号だけを見るファイアウォールでは、区別がつきません。

そこで、HTTPの中身を見て判断する仕組みが必要になります。それがWAFです。

⑨ SQLインジェクション

不正なSQL文を送って攻撃する手法です。

第3章で学んだSQLの知識で考えてみましょう。ログイン画面のIDとパスワードを使って、次のようなSQLが組み立てられるとします。

```

SELECT * FROM 利用者 WHERE ID = '入力されたID' AND PW = '入力されたPW'

```

ここで、利用者がIDの欄にSQLの一部として解釈される文字列を入力すると、意図しない問い合わせが実行されてしまいます。

結果として、

という被害につながります。

⑩ 3つの防御を層で並べる

上に行くほど細かく見る——この階段を理解しておけば、それぞれの役割分担が明確になります。

③ DMZの効果

まず、ファイアウォールによって外部からの不正なアクセスを排除できます。

外部に公開するサーバ（Webサーバやメールサーバなど）をDMZに置いておけば、仮に公開するサーバが直接攻撃された場合であっても、内部ネットワークにまで被害がおよぶ可能性は少なくなります。

また、DMZは1つだけとは限らず、複数のDMZを設ける場合もあります。

④ 構成のイメージ

ファイアウォールが、外部・DMZ・内部の3方向を仕切っています。

⑤ 被害の波及を防ぐという発想

船の防水区画にたとえられます。船体に穴が開いても、区画で仕切られていれば浸水はその区画だけで止まり、船全体は沈みません。

「破られること」を前提に、被害の範囲を限定する——これは第1節で見た多層防御の考え方の一形態です。

⑥ なぜ「非武装地帯」というのか

DMZ（DeMilitarized Zone：非武装地帯）は、もともと軍事用語です。対立する2つの勢力の間に設けられる、どちらの軍も駐留しない緩衝地帯を指します。

情報システムでも、「信頼できる内部」と「信頼できない外部」の間に置かれる中立の区域という意味で使われています。

⑦ どのサーバをDMZに置くか

判断の基準は「外部からアクセスされる必要があるか」です。

⑧ データベースは内部に置く

とくに注意したいのが、Webサーバは公開してもデータベースは公開しないという設計です。

WebサーバからDMZ経由で内部のデータベースへは、限られた通信だけを許可します。

こうしておけば、Webサーバが侵入されても、データベースの中身をそのまま持ち出すことは困難になります。

⑨ 試験での問われ方

DMZは、DHCPの説明と入れ替える形で出題されました。

> 誤りの例：「DMZは、LANに接続するコンピュータやデバイスなどに対して、IPアドレス、ホスト名やDNSサーバの情報といった通信に必要な設定情報を自動的に割り当てるプロトコルである。」

これはDHCPの内容です。

DMZは「区域」であって「プロトコル」ではない——という点を押さえておけば、この種の誤りは見抜けます。選択肢に「プロトコルである」と書かれていれば、その時点で誤りです。

門を通ってきたものの中に、不審な動きをするものがある——それを見つけるのがIDSの役目です。

③ IDSの種類

IDSはその監視方法によって、ネットワーク型IDSとホスト型IDSに分類されます。セキュリティ対策を強固なものにするため、両者を併用して配置することが望ましいとされます。

④ 2つの違い

通り道を見張るか、建物の中を見張るか——という違いです。両者を併用することで、どちらの段階でも検知できるようになります。

⑤ IPS（Intrusion Prevention System）

ネットワークへの不正侵入を監視し、不正侵入を検知した場合にその通信を遮断する侵入防止システムです。

ネットワークセグメントを流れるデータやサーバへのアクセスをモニタリングおよびログを記録し、侵入攻撃を検知した場合にはそのアクセスをブロックする仕組みをもちます。

侵入攻撃を検知した後、システム管理者に通知するだけのIDS（侵入検知システム）と異なり、その対策を自動化している点が特徴です。IDSと同様、ネットワーク型とホスト型があります。

⑥ IDSとIPSの違い

名前の頭文字が、そのまま違いを表しています。

⑦ どちらがよいのか

一見するとIPSのほうが優れているように見えますが、そうとも限りません。

誤検知（正常な通信を攻撃と誤って判断すること）が起きたとき、

• IDSなら「通知が来るだけ」で済みます
• IPSなら「正常な業務通信が遮断される」ことになります

そのため実務では、導入当初はIDSとして運用し、誤検知が落ち着いてからIPSに切り替えるという段階的な進め方が取られることもあります。

⑧ SIEM（Security Information and Event Management）

機器やソフトウェアの動作状況のログを一元的に管理し、セキュリティ上の脅威となる事象をいち早く検知して分析できるようにするシステムです。

ファイアウォール、IDS、IPS、プロキシサーバ、データベースなどから生成されるデータやログを一元管理し、相関分析などによってネットワークの監視を強化し、サイバー攻撃やマルウェアの感染などのインシデントを自動的に発見するための仕組みです。

⑨ なぜ一元管理が要るのか

この章で学んだ技術は、それぞれログを出します。

ばらばらに見ていては、全体像が分かりません。

複数のログを突き合わせて初めて、攻撃の全体像が見えてくる——これが相関分析であり、SIEMの中核的な機能です。

⑩ SIEMの流れ

⑪ 3つを役割で並べる

IDSとIPSが個別の事象を見るのに対し、SIEMは全体を横断して見る——この違いを押さえておきましょう。