機密保護方法
アクセス管理
アクセスできる情報や人を制限すること。あらかじめユーザーID/パスワードをシステム内に登録しておき、利用時にユーザーに入力させて識別する。
暗号化
暗号化には共通鍵暗号方式と公開鍵暗号方式の2つの方式があり、暗号化の鍵（暗号鍵）と復号化の鍵（復号鍵）の組み合わせが異なる。
| 共通鍵暗号方式 | 暗号鍵と復号鍵が同じ。（可逆変換） 暗号鍵と復号鍵を他人に知られないように保管する。 DES, FEAL, AESなど |
| 公開鍵暗号方式 | 暗号鍵と復号鍵は別で暗号鍵を公開、復号鍵（秘密鍵）は非公開。（非可逆変換） 受信者の公開鍵で暗号化し、受信者の復号鍵で復号。 RSAなど |
認証
正当な利用者であるかどうか確認すること。
デジタル認証（電子署名）では公開鍵暗号方式を利用するが、この場合、送信者の秘密鍵で暗号化、送信者の公開鍵で復号するので注意。
バイオメトリクス認証（生体認証）
指紋や網膜など人体の特徴から個人を認証する技術。個人識別番号を入力し、登録しておいた認証用の個人データを検索、読み取った入力データと照合して本人であるか判定する。
生体認証の精度はFRR（False Rejection Rate：本人拒否率）とFAR（False Acceptance Rate：他人受入率）で表される。
認証局とデジタル証明書
認証局（CA）は暗号通信で必要となるデジタル証明書を発行する機関。
デジタル証明書（公開鍵証明書、電子証明書）は公開鍵が正当なものであると第三者が証明するもの。
認証局は、発行したデジタル証明書が有効期限切れになったり、何かしらの理由で破棄された場合にCRL（証明書失効リスト）を公開している。
脅威と脆弱性
脅威は災害、誤操作、サイバーテロ、犯罪といった情報資産に影響を与え損失を招く直接的な原因のこと。
脆弱性は情報システムが抱えている脅威に対する弱さの度合い。
脅威には3種類ある。
| 物理的脅威 | 災害、故障、破壊、盗難、不法侵入など、直接的に被害を受ける脅威。 |
| 技術的脅威 | 不正アクセス、盗聴、なりすまし、改ざんなどIT技術による脅威。 |
| 人的脅威 | 誤操作、紛失、不正利用など、人がうっかりもしくは、意図的に起してしまう脅威。 |
サイバー攻撃手法
攻撃手法はいくつもあるが有名な手法をまとめる。
| 辞書攻撃 | 辞書に掲載されている単語を組み合わせてパスワードを盗む攻撃。 対応策は、パスワードをランダムな意味を持たないものにする。 |
| ブルートフォース攻撃 | 総当り攻撃とも言われる。文字の組み合わせをすべて試してパスワードを盗む攻撃。 対応策は、定期的にパスワードを変更したり、ログイン回数に制限をもたせる。 |
| リバースブルートフォース攻撃 | パスワードを固定して、ログインIDの文字の組み合わせをすべて試す攻撃。 パスワードを一定回数間違えるとロックがかかるが、IDを間違えてもロックされない作りのアプリケーションが多かったことを利用している。 |
| パスワードリスト攻撃 | 何らかの手法で不正入手したIDとパスワードのリストを利用してWEBサイトにログインする攻撃。 複数のサイトで共通のID/パスワードを利用している人が多いことを利用している。 |
| DNSキャッシュポイズニング | DNSサーバの脆弱性を利用してDNSサーバに偽情報を記憶させ、DNSサーバの利用者に影響を与える攻撃。 例えば、ホスト名、IPアドレスを異なるものにして、偽サイトに誘導するなど。 |
| SQLインジェクション | データベースへの問い合わせを行うプログラムに対して、パラメーターとしてSQLの断片を送ることでデータベースを改ざんしたり、情報を取得したりする攻撃。 |
| ゼロデイ攻撃 | セキュリティホールの修正プログラムが提供される前に、セキュリティホールを狙う攻撃。 未対策・未知のセキュリティホールに対する攻撃なので防御できない。 |
| セッションハイジャック | クライアントとサーバのセッションを盗取し、クライアントやサーバになりすます攻撃。 対応策は、セッションIDを推測困難なものにする。 セッションハイジャックの中でもクライントとサーバの間に割り込んで、両者が交換する情報を自分のものにすり替えて、盗聴、介入する攻撃を中間者攻撃という。 |
| 水飲み場型攻撃 | 標的がよく利用するWEBサイトを改ざんし、アクセスした利用者がマルウェアを導入するように仕込む攻撃。標的以外には何も起こらないため、発見が遅れやすい。 |
セキュリティの周辺技術
ファイヤーウォール
外部ネットワークに接続された組織内LANなどのネットワークシステムに対して、外部からの不正なアクセスを遮断するためのシステム。ルータ配下にファイヤーウォールとしてサーバを配置し、内外のネットワークのやり取りをすべてこのファイヤーウォールを経由して行うようにする。
サーバは利用者によって使用可能なネットワークを制限したり、外部からのアクセスを識別しネットワーク上のやり取りの記録を残しておくことで外部からの不正アクセスを防止する。
DMZ
DMZ（DeMilitarized Zone：非武装地帯）は不正アクセスを防ぐファイヤーウォールの内側にあり、外部とも内部のLANとも切り離されている。DMZ内の公開サーバを乗っ取られても内部のLANは安全。
プロキシサーバ（代理サーバ）
内部ネットワークからインターネットに接続するとき、セキュリティ確保と高速アクセスを実現するためのサーバ。外部から内部ネットワークへの不正な侵入を防ぐとともに、内部ネットワークから外部（インターネット）へのアクセスを中継、管理する。
通常、ファイヤーウォール上に実装する。
セキュリティ面以外でも、インターネットから送られてきたデータを一時的にキャッシュする機能もあるため、高速アクセスに役立つ。
リバースプロキシ
通常のプロキシサーバの内部から外部へのアクセスを中継する動作の反対。
サーバにアクセスするときは、すべてリバースプロキシを経由するためサーバが直接アクセスされることはなくなる。社内LANなどの内部ネットワークと外部（インターネット）との接点に置かれ、外部からWebサーバなどネットワーク内部へのアクセスを中継する。
TLS
セキュリティ確保のためのプロトコルでブラウザとWebサーバ間のプロトコルのこと。
公開鍵暗号方式と共通鍵暗号方式を組み合わせて認証と暗号化の機能を実現している。
認証局によるデジタル証明書を使って、ブラウザがWebサーバを認証し、サーバのなりすましを防止する。
PGP
インターネットで使われる公開鍵暗号方式の暗号技術、または暗号化のためのプログラムで電子メールなどで使われている。
電子メールのメッセージ本体に共通鍵（秘密鍵）を添付し、メッセージ本体は共通鍵暗号方式で暗号化する。共通鍵は公開鍵暗号方式で暗号化する。受信側は送られてきた共通鍵を自分の秘密鍵で復号し、復号した共通鍵でメッセージ本体を復号する。
SMTP-AUTH
SMTPに認証機能を追加したプロトコル。
チャレンジレスポンス方式
認証を行うサーバがクライアント（認証される側）を認証する方式。
- サーバはランダムな要求文字列（チャレンジ）をクライアントに送信する
- クライアントは予め認証サーバと取り決めておいた方式で応答文字列（レスポンス）を生成して返す（ハッシュ値など）
- 認証サーバは受け取ったレスポンスを検証してクライアントを認証する
認証サーバ
ユーザのユーザ名やパスワードの確認、記録、課金、デジタル証明書の発行、管理などの機能を提供するサーバ。
IDS
IDS（Intrusion Detection System：侵入検知システム）は、ネットワークに接続されているコンピュータの状態を常時監視し、不正アクセスが発生したと思われる時点でアクセスを遮断するようにファイヤーウォールに指示したり、管理者に警告するシステム。
DoS攻撃などのファイヤーウォールで防ぐことができない不正アクセスの検知に有効。
WAF（Web Application Firewall：ワフ）
Webアプリケーションのやり取りを管理して不正侵入を防ぐファイヤーウォール。一般的なファイヤーウォールがネットワーク層で管理するのに対して、WAFはアプリケーション層で管理を行う。
プログラムに渡されるパラメーター（入力内容）を直接検査して不正とみなしたアクセスを遮断する。WAFはブラウザとWebサーバを仲介して、ブラウザとの直接的なやりとりを受け持つ。そのためSQLインジェクションなどを攻撃とみなして遮断することができる。
情報セキュリティ対策方法
情報セキュリティ対策は、機密性、完全性、可用性（保全性）を維持すること。
| 機密性 | 情報にアクセスすることが許可された者のみが、アクセスできること |
| 完全性 | 情報とその処理方法が正確かつ完全であること |
| 可用性（保全性） | 許可された者が必要なときに情報にアクセスできること |
情報セキュリティ対策方法には「人的セキュリティ対策」、「技術的セキュリティ対策」、「物理的セキュリティ対策」があり、これらをバランス良く実施することで効果が期待できる。
| 人的セキュリティ対策 | 組織の全員が守るべき事項を定め、セキュリティに関する十分な教育を行うこと。 |
| 技術的セキュリティ対策 | コンピュータの管理、アクセス制御、不正プログラム対策など。 人的セキュリティ対策と物理的セキュリティ対策以外はこれに当てはまる。 |
| 物理的セキュリティ対策 | 建物や設備、執務室などの管理をする上で、物理的な対策を行うこと。執務室の入退室管理、施錠など。 |
