今回は脆弱性に関するポイントです。

実務上でも重要なところです。脆弱性と対策を考えておくことがまずは情報セキュリティ対策の基本となります。

基本的には、情報資産、脅威、脆弱性を把握することによって対策を行い、情報資産を守ることになります。

情報セキュリティにおける脆弱性

1.脆弱性とは

脆弱性（バルネラビリティ（Vulnerability）はセキュリティホールと呼ばれることもあります。コンピューターのOSやソフトウェアにはプログラムの不具合や設計上のミスが含まれているケースが少なくありません。脆弱性とは、そのようなプログラムの弱点を意味します。そして、不正アクセスやコンピュータウィルス（ワーム）といった悪意のある攻撃は、脆弱性を利用して行われるケースが多いのです。

MicrosoftやAppleなどOSを提供するIT企業は脆弱性を解決するためのアップデートを頻繁に行っています。しかし、アップデートの前に新たに発見された脆弱性に関する情報だけを公開する場合もあり、そのときにはその脆弱性を狙った攻撃方法が、悪意のある第三者によって生み出されることもあるのです。近年は、短期間で新たな攻撃方法が普及してしまう傾向があります。つまり、セキュリティ対策が間に合わないことによって、コンピューターウイルスに感染したり、公開サーバーが攻撃されて大きな被害が出たりするリスクが高くなっているのです。加えて、顧客や取引先企業といった範囲にまで被害が及ぶケースも増大しています。

1.1.脆弱性の種類

脆弱性の種類	具体例
設備面の脆弱性	建物の構造上の欠陥設備のメンテナンスの不備入退室管理の不備
技術面の脆弱性	ネットワーク構成における欠陥ソフトウェアのバグアクセス制御システムの不備設定ミス、安易なパスワードマルウェア対策の不備
管理面／制度面の脆弱性	情報セキュリティに関する方針規定の不備教育、マニュアルの不備監視体制、監査の不備

2.情報資産、脅威、脆弱性の関係

3つが結びついたときに初めて実害となる。

3つの関係を洗出し、顕在化の確率や顕在化した場合の損失の大きさを測定し、有効な対策を導き出すことことがリスクアセスメントです。

3.情報セキュリティ対策の実施方法

脆弱性とは組織内部の弱点なので、正しく認識できてさえいれば自助努力によって取り除いたり、軽減したりすることが可能である。

そして、セキュリティ対策とは、主に脆弱性に働きかけることで、情報リスクの顕在化を回避したり、損失を軽減したりすることです。

　⇒　組織や情報システムの脆弱性について正しく認識すること

4.ネットワーク構成における脆弱性

4.1.機密性、完全性の侵害につながる脆弱性の例

脆弱性	想定されるリスク
インターネットに公開するwebサーバと社内専用のファイルサーバなどが、アクセスを許可する範囲(人、構成など)が明らかに異なるホストがセグメント分割されず、同一セグメントに存在する　⇒　境界のないネットワーク	公開サーバが不正アクセスを受けた場合、その日が一が社内サーバにまで波及する可能性がある
社内LANと関連会社のLANが専用線で接続されており、アクセス制限がされていない	接続先のネットワークから不正アクセスを受ける可能性がある
セグメント間でアクセス制限を行っていない	内部犯行を誘発するほか、LAN内のPCがウィルスに感染すると、社内中に感染が広がる可能性がある
インターネットへの接続口や社内アクセスポイントが必要以上に数多く存在する	接続口が多いほど、不正アクセスを受けるリスクが高まり、セキュリティ対策にも必要以上にコストが発生する
十分なセキュリティ対策刺されていない無線LANアクセスポイントが存在する	無線LANは有線LANに比べてアクセス制限や情報の秘匿化が困難であるため、十分なセキュリティ対策が施されていないと不正接続や情報漏洩、改ざんの可能性がある
リピータハブが多用されている	通信データが同一セグメント上を一緒に流れるため、盗聴による情報漏洩の可能性がる
ハブが会議室などの共有スペースなどに無防備な状態で置かれている	不正な機器を接続され、パケット盗聴やLAN内のホストへの不正アクセスが行われる可能性がある

4.2可用性の低下につながる脆弱性の例

脆弱性	想定されるリスク
十分な帯域が確保されていないネットワークや十分な処理能力を有していないネットワーク機器を使用している	DoS攻撃、接続機器の増加、アクセス数の増加などによって輻輳状態となり、可用性が低下する可能性がある
回線やネットワーク機器の二重化、冗長化が行われていない	回線障害や、ネットワーク機器の障害などにより、ネットワークや情報システムが使用できなくなる可能性がある
回線やネットワーク機器の負荷分散が適切に行われていない	特定のネットワークセグメントや木に対するボトルネックが発生し、処理効率の低下を招く可能性がある
インターネット接続口において帯域制限が行われていない。	DoS攻撃を受けてサービス不能状態となる可能性がある
リピータハブが多用されており、スイッチングハブやレイヤ2スイッチによるLANの論理的分割が行われていない	無用なブロードキャストフレーム(送信先MACアドレスが「FFFFFFFFFFFFFF」(48ビットがすべて1)により、LANの処理効率が低下する可能性がある)

5.TCP/IPプロトコル全般における共通の脆弱性

仕様が公開されている
発信元IPアドレスの偽装が容易

TCP
3ウェイハンドシェイクでは発信元IPアドレスの偽装は困難
コネクションを確立する必要のない攻撃はIPアドレスを偽装が可能
UDP
コネクションレスであるため、相手からの応答がが必要ない場合、発信元IPアドレスの偽装は可能
ICMP
ICMPもUDPと同様

パケットの暗号化機能が標準装備されていない（IPv4の場合）
⇒IPsecやTLSを用いて、VPN環境を構築するか、個々のアプリケーションで実施する必要がある。IPv6では、IPsecが標準装備されている。

6.電子メールの脆弱性

6.1SMTPの脆弱性

1. メールの投稿や中継などがすべて同じ仕組みで行われている

⇒　旧バージョンのメールサーバソフトウェアでは、MSAは使用されていなく、MUAからのメール送信要求も、メールサーバ間の中継処理も区別なく、MTAが25番ポートで同様に処理している。また標準設定ではドメイン名などの制限がなく、誰からのメール投稿であっても受け付けるようになっている。

2. メールの投稿に当たってユーザを認証する仕組みがない

⇒　発信元メールアドレスの詐称が容易で、組織外の第三者から別の第三者へのメール投稿を受け付けて中継してしまう。（第三者中継、オープンリレー）

#現在普及しているメールサーバソフトウェアでは、SMTP-AUTHが実装されているため、ユーザ認証可能。

本来は、次の条件にあてはまるメールのみを中継すればよい。第三者中継では、発信元／宛先ともに自分のサイトのドメイン名が含まれていない。

▪ 発信元メールアドレスに、自分のサイトのドメイン名が含まれているもの
▪ 宛先メールアドレスに、自分のサイトのドメイン名が含まれているもの

※NDR(Non-Delivery Report：配送不能通知)メールを悪用した手法

3. メールの暗号化機能が標準装備されていないため、平文でネットワークを流れる

4. MTAの実装・設定によって、ユーザのメールアカウント情報が漏えいする可能性がある

⇒　VRFY,EXPNなどのコマンドで、メールアカウントの有無やメールの配送先情報を確認することができる

5.MTAの種類、バージョンによって、BOF攻撃を受ける脆弱性がある

6.2POP3の脆弱性

1 認証情報が平文でネットワーク中を流れる

⇒　POP3では、USER/PASSコマンドでユーザ認証を行うが、平文のままネットワーク上を流れるため、盗聴により認証情報が盗まれてしまう可能性が高い。

2 受信データ（メール）が平文でネットワーク中を流れる

⇒　メールの内容自体も平文のままである。情報漏えいや改ざんの可能性がある。

7.DNSの脆弱性

ゾーン転送機能によって第三者に登録情報が不正利用される可能性がある
不正な情報をキャッシュに登録することができる可能性がある(DNSキャッシュポイズニング攻撃)
不正なリクエストによってサービス不能状態となる可能性がある(BOF攻撃、DoS攻撃)

8.HTTPおよびWEBアプリケーションの脆弱性

① セッション管理の脆弱性と対策
② HTTP(プロトコル)の仕様による脆弱性
③ Webサーバの実装や設定不備による脆弱性
④ Webアプリケーションの仕様や実装による脆弱性

青山システムズ

2021年3月14日日曜日

情報セキュリティ対策：05-05

2020年11月26日木曜日

情報セキュリティ対策：03