5.4Trusted OS

1．Trusted OSとは

セキュリティ機能を強化するとともに、設計仕様書やマニュアル類を整備し、定められた検証テストをクリアしていることです。

２．通常のOSとは異なる点

Trusted OSとは、オレンジブックと呼ばれるTCSEC(Trusted Computer System Evaluation Criteria)のB1以上の基準を満たしたOSのことです。

Trusted OSもセキュリティ機能を強化したという意味ではセキュアOS。しかし、SElinuxはTCSECの基準を満たしていないので、Trusted OSとは言えない。
Trusted OSの条件を満たすには、強制アクセス制御（MAC）、最小特権などが必要です。

３．SELinuxと通常のLinuxと異なる点

セキュリティを強化したLinuxです。

SELinuxは強力なアクセス制御機能を持ち、それによってすべてのプロセスやユーザが何らかの制限を受ける仕組みなっている(rootをも含む)

セキュリティ機能

• セキュリティコンテキストによる強制アクセス制御
• TE(Type Enforcement)
  パーミンションの集合を定義してアクセス制御を行う
• セキュリティサーバ
  システムに設定されたパーミンション情報を一元管理するコンポネントであす

5.3脆弱性検査

脆弱性検査とは、OS,アプリケーションある以下はネットワークを含むサイト全体の脆弱性を検査することである。

概要

ブラックボックス検査(主)

対象システムの構成や設定などの情報が開示されていない状態で実際に疑似的な侵入・攻撃手法などを用いて行う

ホワイトボックス検査

対象システムの設計書、仕様書、設定内容などをもとに主に机上で行う

脆弱性検査の必要性

• ホストの要塞化やファイアウォールの設置などによって不正アクセス対策を施しても、作業ぬけや誤りによって重大な脆弱性が内在化する可能性が高い
• 運用期間が長くなるほど、製品の脆弱性が出たり、構成や設定の変更によって脆弱性が内在する可能性が高い

ネットワークを介して疑似的な侵入や攻撃を試みて、サイトの脆弱性の有無やその内容を確認する

脆弱性検査の実施

実施する対象

• OS,サーバソフトウェアの仕様、設定上の脆弱性
  ツールによって検査が可能であるが、限界がある
• Webアプリケーションの仕様、実装上の脆弱性
  サイト自体の独自性があるので検査ツールでは十分ではない
  人間による入力項目でチェックし判断する

検査実施後の対処方法

• OS,サーバソフトウェアに対する検査後
  直ちに対応する
  定期的に行う
• Webアプリケーションに対する検査後
  直ちに対処するセキュアなアプリケーションの開発手順を確立徹底させる

ファジング

ソフトウェア製品の脆弱性を検出することを目的としたブラックボックス検査手法の一つ

検査対象となるソフトウェア製品に対し、極端に長い文字列や通常使わない制御コードなど、問題を引き起こしそうなデータ(ファズ)を大量に送り込みその応答や挙動を監視する方法である

5.2ホストの要塞化

ホストの要塞化とは、OSをはじめソフトウェアに内在するバグや設定ミスなどのセキュリティホールをふさぎ、堅牢な状態にすることである。

• OSやアプリケーションのバージョンの最新化
• パッチの適用
• 不用なサービスや機能の停止

アプライアンス製品であれば、出荷時点で一定のセキュリティレベル対策が行われている

汎用的なサーバ製品などの場合、使い勝手が良いが、必要のないソフトウェアやコマンドが立ち上がり、セキュリティ面では弱い

ゆえにホストを本格的に稼働させる場合、その用途に応じて要塞化が必要である

ファイアウォールが設置されていてもサーバの要塞化は必要である

要塞化の必要項目

• 最適なパーティション設計
  用途や更新頻度などが変わるデータは同じパーティション内に置かない
• セキュアなファイルシステムの選択
• 最新バージョンのソフトウェアを最小構成でインストールする
• パッチの適用
• 不用なサービスや機能の停止
• 不用なグループ、アカウントの削除および不要な共有資源の解除
• 推測困難なパスワードの設定、およびパスワードチェック機能の有効化
• ディレクトリ、ファイル、プログラムなどのアクセス権の設定
• ログの設定

AWS VPCについて

AWSのVPCについて簡単に説明する

1. リージョン単位でVPCを作成する
2. AZ単位でサブネットワークを作成する
3. VPCのルートテーブルの編集
4. サブネットワークのルートテーブルの編集
5. サブネットワークのACLの編集
   サブネットワークの基本的ルールの作成を行うことによって、インスタンスのセキュリティグループの作成を容易にする
   無駄なポート番号などはACLで拒否をすることになる

サブネットワークはパブリックとプライベートで使い分けることが必要

インターネットの接続部分は、パブリックネットワークとして、DB回りなどはプライベートネットワークとする

ただし、プライベートネットワークからDBなどのバージョンアップをする際は、パブリックネットワークにNATを用いてインタネットのに接続できるようにすることが必要となります。

パプリックネットワークに配置するインスタンスのセキュリティグループ

　インバウンドの設定
　　HTTP、HTTPSのポート番号の許可

　　windows以外　22番の許可

　　windows　3389番の許可

　アウトバンドの設定が必要

　　DBのセキュリティグループに対して　1433番(SQLServer)、3306番(MySQL)の許可

　　HTTPとHTTPSの許可

DBなどを配置するプライベートネットワークに配置するインスタンスのセキュリティグループ

　インバウンド設定

　　パブリックネットワークに対するDBなどのポート番号を許可する

　アウトバンド設定

　　HTTPSとHTTPとの接続を許可する

世の中が変わるか？

現在、政治経済全般がおかしいと思っている人が多い。
でも、どのようにこのような状況から打破するかを知らない。

どうしたらよいのか？

一人一人が自覚して、無意味に消費に走らないことが必要だ。
節約するほうが、今の時代、必要不可欠に思える。
明日が見えない・・・

必要なことは、次のことを考えることだ、仕事に関しても先が見えない。
ならば自己研鑽として自己投資が必要だ。
お金だけでなく、本を読む時間も必要です。

スマホ以外からの情報も必ず必要です。
なぜならコミュニケーション能力も必要不可欠です。