Transcription
こんにちは。
本日は情報セキュリティ第5回として、ネットワークセキュリティについて学習します。
前回は暗号化やデジタル署名など、データを安全に送る方法を学習しましたが、今回はそもそもネットワーク自体のセキュリティを高める方法を学習します。それでは内容を見ていきましょう。
まずはファイアウォールについてです。これは私たちが普段使っている一般的なサイトなどの外部ネットワークと、企業などの内部ネットワークの中間で機能し、外部からの不正アクセスを防ぐ仕組みです。具体的には、不正アクセスを遮断し、適切なアクセスを通過させます。防火壁のような役割をすることからファイアウォールと呼ばれます。なお、ファイアウォールとは外部から内部への不正アクセスを防ぐ仕組みの総称を指している概念的な言葉です。
続いてパケットフィルタリングを見ていきましょう。これは先ほど見たファイアウォールにより不正アクセスを防ぐ仕組みの一つであり、パケットのヘッダー情報で通信可否を制限します。ルーターがこの機能を保持していることが多いです。難しく聞こえますが、仕組みは非常にシンプルなのでちゃちゃっと理解しちゃいましょう。
パケットとは、ネットワークコース第1回で説明しましたが、ネットワークで通信するデータを細かく分割したものでした。このパケットはデータ部分とヘッダー部分で構成されており、ヘッダー部分には送信元IPアドレスや宛先IPアドレスなどで、データの送信に関する情報が保持されています。パケットフィルタリングでは、このヘッダー情報からデータの通信を制限します。
具体的には、パケットフィルタリング機能を持つ機器はフィルタリングテーブルと呼ばれる表を保持しており、通過を許可するIPアドレスやポート番号が記載されています。そして、フィルタリングテーブルで通過を許可されたヘッダー情報を持つパケットが通信されてきたら内部ネットワークに伝達し、それ以外のパケットは通信を禁止します。このように、通過許可するIPアドレスを設定する方法をホワイトリストと呼びます。逆に、通過を禁止するIPアドレスを設定することも可能であり、そのケースをブラックリストと呼びます。
続いてプロキシサーバーとリバースプロキシサーバーを確認します。プロキシとは日本語で代理の意味であり、内部から外部ネットワークへの通信を代理で行ってくれるサーバーです。具体的には、このようにある企業の内部ネットワークから社員が外部サイトへアクセスする際は、直接社員PCから外部サイトへアクセスするのではなく、まずは社員PCからプロキシサーバーへアクセスし、プロキシサーバーが外部サイトへ代理アクセスします。こうすることで、外部の人間からはあたかもプロキシサーバーがウェブサイトと通信を行っているように見えるので、内部のネットワークを隠蔽することができます。このように、内部から外部へのアクセスを代理で実施するサーバーをプロキシサーバーと呼びます。
一方、外部サイトから内部サイトへのアクセスを代理で実施するサーバーをリバースプロキシサーバーと呼びます。考え方は先ほどと同様ですが、アクセスの矢印が逆になっています。外部ネットワークにある一般ユーザーが内部ネットワークにある企業のウェブサイトなどへアクセスする際、一般ユーザーが企業のウェブサイトを直接アクセスするのではなく、まずはリバースプロキシサーバーにアクセスし、リバースプロキシサーバーが企業のウェブサイトにアクセスします。こうすることで、内部ネットワークを隠蔽することができます。プロキシサーバーと逆の流れでアクセスを代理で実施しているのでリバースプロキシサーバーということです。
続いてDMZの説明です。DMZとはDemilitarized Zoneの略で、非武装地帯とも呼ばれ、画面に見せたように内部ネットワークからも外部ネットワークからも切り離されたネットワークのことを指します。自社サイトのWebサーバーなど、外部に公開するサーバーをこのDMZに設置します。というのも、Webサーバーを内部ネットワークに配置してしまうと、Webサーバーへのアクセスが厳しく制限され、一般の人が外部ネットワークからアクセスすることができなくなってしまい不便なんですね。だからといって、企業のWebサーバーを外部環境に公開するのは、いくらなんでも危険すぎます。そこで、外部からも内部からも切り離されたDMZと呼ばれる領域を用意することで、外部ネットワークからWebサーバーへのアクセスを許容しつつ、Webサーバーよりも重要な社内データベースなどは内部ネットワークに配置しておくことで、安全性も担保します。こうすることで、仮にDMZに不正アクセスされても、本当に大事な情報は守ることができるので、利便性と情報セキュリティの安全性の両方を実現する技術と言えます。
このDMZと内部ネットワーク、外部ネットワークについて、一般的なアクセスのセキュリティを青矢印、アクセスを厳しく制限する場合を赤矢印で表現し、それぞれの関係を見ていきましょう。まず、外部ネットワークから内部ネットワークへは当然厳しくアクセスを制限します。ですが、外部ネットワークからDMZへは一般的なセキュリティを施し、ある程度のアクセスは許容します。また、内部ネットワークからDMZへのアクセスは厳しい制限を設けません。というのも、内部ネットワークは社員しか利用しないネットワークであり、また外部ネットワークからのアクセスを厳しく制限されているため、不正進入が起こることも考えにくいです。つまり、内部ネットワークからDMZへの不正アクセスが起こることは考えにくいので、DMZへのアクセスを厳しく制限する必要はないということです。一方で、DMZから内部ネットワークへのアクセスは厳しく制限されます。そのため、仮にDMZが不正アクセスされても、そこから内部ネットワークへは侵入できないようになっています。なお、画面に見せているネットワークの構成はあくまで一例で、他にもいろいろな考え方のネットワーク構成がありますのでご注意ください。
続いてWebアプリケーションファイアウォールを略したWAFについて説明します。これはWebアプリケーションへの攻撃を防ぐ仕組みのことです。名前にファイアウォールと付いているので混乱しやすいのですが、最初に紹介したファイアウォールはネットワークへの不正アクセスを防ぐ仕組みである一方、WAFはアプリケーションへの不正アクセスを防ぐ仕組みです。細かい部分まで詳細に理解する必要はありませんが、WAFはアプリケーションへの不正アクセスを防ぐ仕組みというところは理解しておいてください。
それでは続いて認証技術を確認します。これはネットワーク利用者が本人であることを確認するための仕組みです。たまにテストに出題されるので、サクッと理解していきましょう。
まずはバイオメトリクス認証です。生体認証とも呼ばれ、名前の通り具体的な特徴を用いて本人確認をする方法です。指紋認証、顔認証、音声認証などはもう私たちの身近でも使われていますね。
続いてワンタイムパスワードです。これは一定時間ごとに発行され、一度きりしか使用できないパスワードを用いて本人確認を行う方法です。1回しか使用しないため、仮にパスワードを盗まれても問題ないという特徴があります。
最後はキャプチャとリキャプチャです。これは利用者がロボットではないことを確認する仕組みで、例えばログインするときに出てくる「消火栓の画像を全て選んでください」といったやつです。ちなみに、キャプチャはロボットが解読できない乱れた文字を入力させること、リキャプチャは先ほどの消火栓の画像を<bos>せるような技術ですが、特に確認手法の違いは意識しなくてOKで、どちらも利用者がロボットでないことを確認する技術ということを理解できればOKです。
また、その他のセキュリティ対策もまとめて紹介していきます。
まずはVPNです。リモートワークをしている人はVPNを導入している人も多いかもしれません。これはネット回線上に特定の人だけがアクセスできる仮想的な専用線を引き、通信の安全性を高める方法です。
続いてSSLです。これはインターネット上の通信を暗号化する仕組みであり、例えばウェブサイトにクレジットカードなどの情報を入力して決済する際は、カード情報が流出しないようにSSLでその通信を暗号化することが必要です。現在、ちゃんとしたサイトならほぼSSLで暗号化されています。また、SSLの次世代規格としてTLSというものがありますが、SSLとTLSはあまり区別されておらず、SSLとTLSをまとめて一つの規格として記載されることもあります。ですので、SSLとTLSは同じようなものと思っていただいてOKです。
続いてペネトレーションテストです。これはシステムの脆弱性を検知するため、実際にシステムに攻撃を仕掛けてセキュリティレベルをチェックすることです。システムを攻撃する人をホワイトハッカーと呼びます。
最後にファジングです。これはソフトウェアの脆弱性を検知するため、ソフトウェアに多様な種類のデータを送りつけて挙動を確認し、ソフトウェアをチェックする手法です。ペネトレーションテストとファジングはよく似ていますが、何を確認したいのか、どのように確認するのかが異なりますので注意してください。
それでは最後に、情報セキュリティ分野で問われるプロトコルについて説明します。プロトコルとは、ネットワークコース第2回で説明しましたが、データの通信を行う際に必要なルールのことでした。代表的なプロトコルはネットワークコースで紹介していますが、情報セキュリティ分野でも出題される内容があるため、一部ネットワークコースで説明したものと重複しますが、再確認していきましょう。ここでは3つのプロトコルと、それぞれにセキュリティ対策が施された3つのプロトコル、合計6個のプロトコルを紹介します。
1つ目のプロトコルはHTTPです。これはWebサーバーとブラウザの間で情報を通信する際に使用されるプロトコルのことでした。これにセキュリティ対策を加えたプロトコルはHTTPSと呼ばれます。HTTP over SSL/TLSの略で、先ほど説明したSSL/TLSを用いてHTTP通信を暗号化したプロトコルのことです。ちなみに、暗号化されているサイトはこのようにドメインの先頭がhttpsとなっており、また横に鍵マークが付いています。
2つ目のプロトコルはIPです。これはTCPIPモデルの第2層で使用され、データを正しいアドレスに送るためのプロトコルでした。これに情報セキュリティ対策を加えたものはIPsecで、暗号化を実現するのでしたね。
最後はTelnetです。これは現在のコンピューターからネットワークにつながっている別のコンピューターを遠隔操作する際に使用されるプロトコルです。そして、遠隔操作する際の通信を暗号化したプロトコルがSSHと呼ばれ、Telnetよりも安全にコンピューターを遠隔操作することができます。そのため、現在は大抵の場合でSSHが使用されます。
それでは、本日の内容は以上となります。ファイアウォールやDMZなど、説明だけで完全に腹落ちさせることは難しいと思いますので、次回の動画では過去問を使いながら理解を深めていきます。次回は午前試験だけではなく、午後問題の過去問も扱っていくので楽しみにしておいてください。また、過去問を解くために本日の内容は必ず復習して理解しておくようにしてください。
それでは、本日の内容は以上です。最後までご視聴ありがとうございました。質問はコメント欄に記載いただければ、できる限り回答しましたのでお気軽にご期待ください。
[音楽]