【情報セキュリティ】不正のメカニズム、攻撃者の種類・動機、サイバー攻撃、暗号技術、認証技術、利用者認証、生体認証技術、公開鍵基盤、政府認証基盤など

情報セキュリティとは?情報の機密性・完全性・可用性、脅威,マルウェア・不正プログラム、脆弱性、不正のメカニズム、攻撃者の種類・動機、サイバー攻撃、暗号技術、認証技術、利用者認証、生体認証技術、公開鍵基盤、政府認証基盤などについてまとめました。

【情報の機密性・完全性・可用性】

【脅威,マルウェア・不正プログラム】

種別 概要
ランサムウェア 電子ファイルを勝手に暗号化し、正常に利用できなくするマルウェアです。。
トロイの木馬 正常動作しているように見せかけ、バックグラウンドで悪意のある動作を行うように仕組まれたマルウェアです。
ワーム ネットワークやリムーバブルメディアなどを媒介して、他のコンピュータへ感染を広げるマルウェアです。
ルートキット(rootkit) 攻撃者がシステムへ不正侵入した後に侵入した痕跡を隠蔽したり、再び侵入するためのバックドアを設置するための機能をまとめたソフトウェア群です。
ポリモーフィック型ウイルス 感染するごとに鍵を変えてウイルスのコードを暗号化することによってウイルス自身を変化させて,同一のパターンで検知されないようにするウイルス。ヒューリスティック法、ビヘイビア法などの行動検知型の手法で検出できる。
マルチプラットホーム型ウイルス 複数のOSで利用できるプログラム言語で作成された、複数のOS上で動作するウイルス。
ステルス型ウイルス ルートキットを利用してウイルスに感染していないように見せかけて,ウイルスを隠蔽する。
エクスプロイトコード ソフトウェアの脆弱性を悪用した不正な動作を再現するために作成されたスクリプトやプログラム(Exploit Code)。脆弱性の検証のために使われたり、攻撃のために悪用されたりします。

【脆弱性】

【不正のメカニズム】

不正アクセスの基本的な流れは以下のとおりです。

手順 概要
事前調査 攻撃対象の情報(OS、プロセスの種類、パッチの適用情報、開放しているポート番号など)を収集
権限奪取 攻撃対象の管理者権限を奪う
不正行為 奪った管理者権限を使って、攻撃対象のデータを取得したり、ウイルスを設置したりする
痕跡消去 不正行為の痕跡(ログ)を改ざんしたり消去する

事前調査に使われる代表的な手法は以下のとおり。

事前調査の手法 概要
ping pingコマンドで、攻撃対象のホスト(IPアドレス)が応答するか確認。対策として、FWでICMPを遮断すればいいが、死活監視(障害検知)もできなくなる
ポートスキャン 攻撃対象のすべてのポートに接続を試みて、応答のあったポート(開放されているポート=攻撃できるポート)を調べる。対策としては、FWで不要なポートを開放にしない。
TCPスキャン 攻撃対象のすべてのポート(1~65535番)との間でTCPによるコネクション確立を試行して待ち受けているポートを探す。
ステルススキャン TCPスキャンでコネクション確立が完了(3ウェイハンドシェイクが完了)すると攻撃対象にログが残ってしまう。それを防ぐために3ステップ目でRST=1を送って確立を中断することでログを残さないようにする手法。
UDPスキャン 攻撃対象のすべてのポートにUDPパケットを送信して到達するか調べる(攻撃対象からCIMPポート到達不能メッセージが帰ってきたらポートは閉じていると判断できる)。
バナーチェック サーバーのプロセスに接続したときに表示されるバナー情報を取得し、プロセスの情報(種類、バージョン、バッチレベル)などを調べる。対策としては、バナーを表示させないようにする。
スタックフィンガプリンティング 攻撃対象に接続したときの応答パケットの内容の違いから、OSの情報(種類、バージョン)を調べる。
ウォードライビング 街中にある無線LANスポットから、攻撃対象や攻撃に利用できる脆弱性のあるスポットを調査する(歩き回る)。

【攻撃者の種類・動機】

【サイバー攻撃】SQL インジェクション、クロスサイトスクリプティング、DoS攻撃、フィッシング、パスワードリスト攻撃、標的型攻撃

攻撃種別 概要
DNSリフレクション DNSサーバにわざとアクセスを反射(リフレクション)させて攻撃する手法です。送信元のIPアドレスを攻撃対象にすることで、DDoS攻撃をしかけます。送信元IPアドレスを攻撃対象の物に偽装し、DNSサーバに対してアクセスします。このとき、DNSサーバは問い合わせる時よりも、大きなパケットを攻撃対象宛(偽装したIPアドレスの本来の所有者)に返します。このように、DNSの問い合わせにより、送信元のIPアドレスを攻撃対象にすることで、DDoS攻撃をしかける手法です。パケットが増幅されて返ってくることからDNSアンプ攻撃とも呼ばれます。
ブルートフォース攻撃 特定の文字数および文字種で設定される可能性のあるすべての組合せを試すことで解読を試みる攻撃手法。総当たり攻撃ともいわれる。
C&Cサーバ 攻撃者がマルウェアに対して指令となるコマンドを送信し、マルウェアが仕掛けられたコンピュータの動作を制御するために用いられる外部の指令サーバです(コマンド&コントロールサーバ)。
DNSキャッシュポイズニング攻撃 DNSサーバからの名前解決要求があった場合、正常な応答に加えて偽の名前解決情報を付加して送信することで、そのサーバのキャッシュに偽の情報を登録させる攻撃手法。PCが参照するDNSサーバに偽のドメイン情報を注入して、利用者を偽装されたサーバに誘導する際などに悪用される。DNSSEC導入などの対策がある。
DNSリフレクション攻撃 攻撃対象のサービスを妨害するために,攻撃者がDNSサーバを踏み台に利用して再帰的な問合せを大量に行う。
線形解読法 平文と暗号文と鍵の関係を表す代数式を手掛かりにして鍵を見つけ出す、暗号化関数の線形近似式を発見するパスワード解読攻撃手法。
関連鍵攻撃 平文の一部分の情報と,暗号文の一部分の情報との間の統計的相関を手掛かりにして鍵を見つけ出すRC4の解読攻撃手法。
差分解読法 入力値の差分が出力値の差分にどのような影響を与えるかを分析し、平文を一定量変化させたときの暗号文の変化から鍵を見つけ出すパスワード解読攻撃手法。
APT攻撃 Advanced Persistent Threatsの略。持続的標的型攻撃とも呼ばれ、ソフトウェアの脆弱性を悪用し、複数の既存攻撃を組合せ、ソーシャルエンジニアリングにより特定企業や個人をねらって行われる執拗なサイバー攻撃の総称。攻撃者はまずメールや外部メディア等で組織内部の端末へ不正侵入し、そこから組織の内部へ更に入り込んでいきます。最終的には組織の重要情報(知財情報や個人情報)を盗み出したりするのが目的です。普通の標的型攻撃と異なり、準備や攻撃が長期間に渡って行われる。
サイドチャネル攻撃 攻撃対象のサイドチャネル情報(漏洩電磁波・電力消費等)から暗号鍵推定等を行う非破壊型解析攻撃の総称。故障利用攻撃、タイミング攻撃や電力解析攻撃、電磁波解析攻撃などがある。
タイミング攻撃 攻撃対象が暗号や復号に要する時間の差異から統計的に暗号鍵を推定する手法。暗号処理のタイミングが暗号鍵の論理値に依存して変化することを悪用したもの。すべての演算がデータによらず一定時間で終わるようにするなどの対策がある。
スキャベンジング 企業などの機密情報を詐取するソーシャルエンジニアリングの手法の一つ。不用意に捨てられた機密情報の印刷物をオフィスの紙ゴミから探し出す。
MITM攻撃 Man in the middle attack(中間者攻撃)の略。通信を行う2者間に割り込んで,両者が交換する情報を自分のものとすり替えることによって,気付かれることなく盗聴する。ピクチャパスワードとは、任意の画像上とその画像上で行われるタッチジェスチャーやマウスのポインティング操作などの組合せで認証を行う方式です。
パスワードリスト攻撃 Webサイトから流出した利用者IDとパスワードのリストを使って、他のWebサイトに対してログインを試行する攻撃です。複数のサイトで同じID・パスワードの組合せを使い回さないのが対策です。
辞書攻撃 一般的な単語や人名からパスワードのリストを作成し、不正ログインを試行する攻撃です。
レインボーテーブル攻撃 想定され得るパスワードとそのハッシュ値との対のリストを用いて、入手したハッシュ値からパスワードを効率的に解析する攻撃手法です。
ARPスプーフィング攻撃 IPアドレスからMACアドレスを得るプロトコルARPの仕組みを悪用して機器のなりすましなどを行う行為。ARPでは、ブロードキャストでARP要求を行い、該当するノードがARP応答をユニキャストで行うことでアドレス解決をしますが、この攻撃方法では正規のノードよりも先に偽のARP応答を返すことでARPアドレス対応表の不正に書き換えを行います。不正なアドレス対応表を使用すると本来とは別の通信機器にパケットを流すことが可能になるので、攻撃者はこれを利用して盗聴やセッションハイジャックなどの行為を行います。
URLエンコーディング攻撃 本来の長さより短いデータや、正しいエンコーディングでは有り得ないデータを送信させ、そのデータを受け取ったプログラムを誤作動させる攻撃です。
バッファオーバフロー攻撃 プログラムが確保したメモリ領域よりも大きなデータを読み込ませ、メモリ領域からあふれ出すデータ部分に不正に仕込まれたプログラムを制御するコードを実行させる攻撃です。
セッションハイジャック WebブラウザとWebサーバの間の通信で,認証が成功してセッションが開始されているときに,Cookieなどのセッション情報を盗む手法です。
キーロガー コンピュータへのキ一入力を全て記録して外部に送信します。
リプレイアタック 盗聴者が正当な利用者のログインシーケンスをそのまま記録してサーバに送信します。
HTTPレスポンス分割攻撃 Webアプリケーションの脆弱性を悪用し,Webサーバに不正なリクエストを送ってWebサーバからのレスポンスを二つに分割させることによって,利用者のブラウザのキャッシュを偽造する攻撃手法。
クリックジャッキング WebサイトAのコンテンツ上に透明化した標的サイトBのコンテンツを配置し,WebサイトA上の操作に見せかけて標的サイトB上で操作させる攻撃手法。
タブナビング Webブラウザのタブ表示機能を利用し,Webブラウザの非活性なタブの中身を,利用者が気づかないうちに偽ログインページに書き換えて,それを操作させる攻撃手法。
サラミ法 不正行為が表面化しない程度に,多数の資産から少しずつ詐取する方法。
テンペスト攻撃 機器から放射される微弱な電磁波を傍受し解析することで元の情報の再現を試みる攻撃手法。
マルチベクトル型DDoS攻撃 複数のDDoS攻撃手法(サーバのリソース枯渇、ネットワーク帯域の飽和、アプリケーションの脆弱性を狙うなど)を組み合わせによる、標的のサービス停止を目的とした攻撃です。
DNS水責め攻撃 開キャッシュサーバ(オープンリゾルバ)、ホームルータに対して、存在しない幾つものサブドメインに対するDNSクエリを発行し、権威DNSサーバへの問合せを意図的に大量発生させて過負荷状態にしてサービス停止に陥いらせる攻撃です(ランダムサブドメイン攻撃)。
バージョンロールバック攻撃 攻撃者が意図的に通信に利用するプロトコルのバージョンを低下させ、古いバージョンの脆弱性を利用する攻撃手法。
IPスプーフィング攻撃 攻撃者が送信元IPアドレス(IPヘッダの一部)を偽装して応答パケットを攻撃対象に送信する攻撃手法。身元を秘匿しながら「ポートスキャン」や「DoS攻撃」を行うときに使われる。対策としては、不自然なIPパケットをファイアウォールで遮断(例:送信元がプライベートIPアドレスの場合など)するなどがある。
ICMP Flood攻撃 攻撃対象に「ICMP echo request(ping)」を大量に送信し続けて、攻撃対象に負荷をかけてサービス停止を狙う攻撃。ICMPは上位プロトコルにUDPを使用するため、攻撃者が送信元IPアドレスの偽装を簡単に行えるため、パケット情報から攻撃者を特定することが難しい(別名:ping Flood攻撃)、。
Smurf攻撃 DoS攻撃の1つ。標的のIPアドレスを送信元アドレスとしてなりすました大量のICMPパケットをブロードキャストで送信し、大量の応答パケットが標的に送られる。

認証システムへの攻撃

攻撃種別 概要
通信の盗聴 平文のまま通信していると盗聴されること。通信の暗号化、ハッシュ値やワンタイムパスワード等の利用が対策となる。
キーロガー 端末上で入力されたキー操作が記録され、そこからIDやパスワードが盗まれること。キー配置をランダムにするソフトウェアキーボード等の利用が対策となる。
オートコンプリート情報の窃取 Webブラウザに搭載されている、サイトのIDとパスワードを自動入力するオートコンプリート機能の保存データが盗まれること。利便性は悪くなるが、対策としてはこの機能を使わないこと。
パスワードクラッキング 総当たり攻撃や辞書攻撃でパスワードを盗まれる。
フィッシング 本物そっくりの偽物サイトに誘導され、そこでIDやパスワード等の重要情報を入力させて盗まれること。フィッシング対策ソフトの導入やホワイトリストの導入などが対策となる。

【暗号技術】共通鍵、公開鍵、秘密鍵、RSA、AES、ハイブリッド暗号、ハッシュ関数

種別 概要
基本用語 暗号化・復号化・平文・暗号鍵・復号鍵の意味についてまとめました。
シーザー暗号
XOR暗号
AES AES(Advanced Encryption Standard)は、アメリカ合衆国の次世代暗号方式として規格化された共通鍵暗号方式です。暗号化に用いるブロック長は128ビット,使用する鍵の長さは128/192/256ビットから選択が可能となっています。段数(ラウンド数)は鍵長によって10段、12段、14段と3種類に変化します。
AES-256 共通鍵暗号方式であるAESのうち、鍵長256ビットの暗号鍵を用いて暗号化/復号を行う方式。正しい平文に戻すためには最大で2^256回の試行が必要。(平均試行回数は2^128回)
ハッシュ関数 入力されたデータをもとに固定長の文字列(ハッシュ値)に変換する関数です。SHA-256(Secure Hash Algorithm 256)が出力するハッシュ値は256ビットなので、入力データの長さにかかわらず得られるハッシュ値は常に256ビットになります。
公開鍵暗号方式 暗号化して送信することは誰でもでき、暗号化された内容を復号できるのは正規の受信者だけという特徴をもつ暗号方式です。送信者は「受信者の公開鍵」で送信データを暗号化し、受信者は「受信者の秘密鍵」で復号します。
共通鍵暗号方式 秘密鍵暗号方式とも呼ばれ、「暗号鍵」「復号鍵」が同じものとなります。VPNなど送信者と受信者が固定される場面で利用され、送信者と受信者に同じ鍵を設定すれば秘密鍵が外部に漏れる心配はなく、公開鍵暗号方式よりも計算コスト(主に復号時間)も低いというメリットがあります。ただし、不特定の相手とやり取りする場面では、秘密鍵を安全には渡せないため利用できません。そこで、近年では鍵交換時だけ公開鍵暗号方式を使って秘密鍵を渡す「ハイブリッド暗号方式」がよく利用されています。
ハイブリッド暗号方式 「共通鍵暗号方式は鍵の共有が安全ではない」「公開鍵暗号方式は暗号化復号化の処理時間コストが高い」という双方の欠点を補う暗号方式です。共通鍵を交換するときのみ「公開鍵暗号方式」を使用することで、不特定の相手が安全に共通の鍵を使用でき、それ以後の通信は共通鍵暗号方式に切り替えて共通鍵を使って行うことで処理時間コストを抑える仕組みです。送信者は受信者の「公開鍵」で「共通鍵」を暗号化して送付します。受信者は自分の「秘密鍵」でそれを復号化します。すると送信者と受信者が安全に「共通鍵」を持つことができます。SSLなどに用いられています。
AES Advanced Encryption Standardの略。アメリカで規格化された共通鍵暗号方式。最大256ビットの鍵長を利用可能で、無線LANの暗号化規格WPA2の暗号化方式としても採用されている。
ElGamal暗号 非常に大きな数の離散対数問題を解くことが困難であることを利用した公開鍵暗号方式。
RSA けた数の大きな数の素因数分解に膨大な時間がかかることを利用した公開鍵暗号方式。
楕円曲線暗号 楕円曲線上の離散対数問題を解くことが困難であることを利用した公開鍵暗号方式。

【認証技術】ディジタル署名、メッセージ認証、タイムスタンプ

用語 概要
サーバ証明書 暗号化通信前に、サーバからクライアントに送られる公開鍵に対するデジタル証明書です。認証局(CA)によって発行され、認証を受けた公開鍵が含まれていて、その信頼性(改ざんがないことを)を担保するために認証局のデジタル署名が付されています。
タイムスタンプ 対象データのハッシュ値と、信頼できる第三者機関である時刻認証局(TSA:Time Stamp Authority)が発行する時刻情報を含んだものです。検証時には、電子データのハッシュ値とタイムスタンプ内のハッシュ値を比較し、データの「存在性」「完全性」を確認できます。
XMLディジタル署名 XML文書の完全性,認証,否認防止などを目的として、ファイルにデジタル署名を埋め込むため仕様(RFC3075で標準化)。

【利用者認証】利用者 ID・パスワード、多要素認証、アイデンティティ連携(OpenID 、SAML)

用語 概要
SASL 各種プロトコルに、認証機能や、オプションで暗号化機能を提供する層(Simple Authentication and Security Layer の略)。アプリ開発者は認証に関する開発は行わなくて済む。認証方式として、PLAIN(平文で安全でない)、LOGIN(平文で安全でない)、CRAM-MD5(チャレンジ・レスポンス型認証方式で比較的安全)、DIGEST-MD5(総当り攻撃や辞書型攻撃に弱いCRAM-MD5を改良したもの)などがある。
認証サーバ 外部からインターネットを経由して社内ネットワークにアクセスする際に、CHAPなどのプロトコルで利用者認証時のパスワードの盗聴を防止したりチャレンジレスポンス方式を採用したワンタイムパスワードを用いて利用者認証時のパスワードの盗聴を防止します。
シングルサインオン(SSO) ユーザ認証を一度受けるだけで許可された複数のサーバへのアクセスについても認証する技術。ユーザの利便性の向上できる(Single Sign-On, SSO)。実装方式としては、Cookieを使うもの、リバースプロキシ型、SAML(Security Assertion Markup Language)などがある。
SSO(クッキー利用) 最初のログインの際で、Webサーバにインストールされたエージェントが認証サーバにアクセスで認証を行う。エージェントは、その認証・識別情報をクッキーに含めてクライアントに返す。別のWebサーバにアクセスがあった場合には、エージェントが認証サーバにアクセスしクッキー情報をもとに認証を行う。
SSO(リバースプロキシ型) すべてのWebサーバへのアクセスをリバースプロキシに集約する。リバースプロキシはアクセスしてきたユーザを認証する。ログインに成功すると、リバースプロキシはWebサーバに代理アクセスし結果をユーザに返す。
SSO(SAML利用) 認証情報に加え,属性情報とアクセス制御情報を異なるドメインに伝達するためのWebサービスプロトコを用いてほかのドメインとの間で認証情報を交換し、同一ドメインに留まらない大規模なサイトにおいてもシングルサインオンの仕組みやセキュアな認証情報管理を行う。
S/KEYワンタイムパスワード サーバはクライアントから送られた使い捨てパスワードを演算し,サーバで記憶している前回の使い捨てパスワードと比較してクライアントを認証する。
時刻認証方式ワンタイムパスワード 利用者がトークンと呼ばれる小型のデバイスを携帯し、その機器に表示される認証時の時刻を基にしたワンタイムパスワードを入力することで本人認証を行う方法。
チャレンジレスポンス方式 ①利用者がIDでアクセス②認証サーバ側はチャレンジコードを発行③利用者はチャレンジコード+PWDなどでハッシュ計算し、算出されたレスポンスを送信④認証サーバ側で同じ計算をして比較

【生体認証技術】

生体認証技術とは、人に固有な身体の部位(指紋、声紋、虹彩など)や筆跡などの行動パターンを事前にシステムに登録し、認証時に照合することで本人を認証する技術です。
コンピュータシステム上で照合作業を行うため、本人であっても認証されない確率(本人拒否率、FRR:False Rejection Rate)と間違えて他人を認証してしまう確率(他人受入率、FAR:False Acceptance Rate)がある割合で生じます。
この2つはトレードオフの関係となり、生体認証システム導入の際には、どちらの確率も許容範囲内に収めるようなしきい値を設定するのが一般的です。

【公開鍵基盤】PKI、認証局、ディジタル証明書

用語 解説
PKI 所有者と公開鍵の対応付けをするのに必要なポリシや技術の集合によって実現される基盤。公開鍵と秘密鍵のペアが真の所有者のものであるかを第三者機関であるCA(Certification Authority,認証局)が審査し、申請者の公開鍵に対してディジタル証明書を発行することで保証を実現します。
認証局 認証局(CA:Certification Authority)は、デジタル証明書(電子証明書)の登録、発行、失効をおこなう第三者機関です。
VA VA(Validation Authority:証明書有効性検証局)の略で、ディジタル証明書の失効状態についての問合せに応答します。
AA AA(Attribute Authority:属性認証局)の略で、認証局に代わって属性証明書を発行します。
RA RA(Registration Authority:登録局)の略で、本人確認を行ってディジタル証明書の発行を指示します。
CRL CRL(Certificate Revocation List:証明書失効リスト)は、公開鍵基盤(PKI)において失効した(信用性のない)公開鍵証明書のリストです。CRLには、失効したディジタル証明書のシリアル番号とその証明書が失効した日時が登録されています。失効理由としては、秘密鍵の漏洩・紛失、証明書の被発行者の規則違反などで、どれも認証の役に立たなくなったということが共通しています。PKIを使用したアプリケーションが証明書の有効性を検証するために使われています。
OCSP デジタル証明書(公開鍵証明書)の有効性を問い合わせるプロトコル。 暗号化やデジタル署名に用いるX.509証明書が何らかの理由により有効期限前に失効している場合に、調べることができる。

【政府認証基盤】GPKI、ブリッジ認証局

【その他】

用語 概要
セキュリティバイデザイン 「情報セキュリティを企画・設計段階から確保するための方策」と定義されている。開発プロセスの早期段階からセキュリティを考慮することで、後付けでセキュリティ機能を追加する場合と比べて、①手戻りが少ない、②低コスト、③保守性の向上 などの利点があります。特にIoTシステムなどでセキュリティバイデザイン思想で設計、構築、運用することが推奨されています。
TKIP Temporal Key Integrity Protocolの略。無線ネットワーク規格で使われているセキュリティプロトコルです。使用する鍵を一定時間ごとに更新することで暗号解読に対する耐性を高めた方式です。
RLO Unicodeで定義されている制御文字で、ファイル名の並びを「左→右」から「右→左」に変えます。例えば、JPGという文字列の前にRLOを挿入すると、コンピュータ上では(RLO)GPJというファイル名に見るため悪用すると、ファイル名を偽装が可能になります。【例】samplefgpj.exeの2つの「f」の間にRLOを挿入された場合、コンピュータ上ではsample(RLO)exe.kpgと表示されます。
【情報処理入門】テクノロジ系、マネジメント系、ストラテジ系、資格試験
情報処理の基礎知識(テクノロジ系、マネジメント系、ストラテジ系)や資格試験についてまとめました。なお、情報処理技術者試験の出題分野別(テクノロジ系、マネージメント系、ストラテジ系)に各項目を整理しています。そのため、ITパスポート、基本情...

コメント

タイトルとURLをコピーしました