5.5 ファイアウォールー2

４．構成

４．１．公開サーバをバリアセグメントに接続

図4.2.1

※ファイアウォールは公開サーバへの攻撃や不正アクセスについて一切防げない

４．２．公開サーバを内部ネットワークに接続

※公開サーバのOSやアプリケーションの脆弱性などにより同サーバへの侵入を許してしまうとそこを経由して内部ネットワーク上の他のホストにまで被害が及ぶ可能性がある

４．３．2台のファイアウォールに挟まれたDMZに公開サーバを接続

※公開サーバ部侵入を許してもそこから内部ネットワークにまで被害が及ぶ可能性を最小限にとどめることが可能

４．４．ファイアウォールに設けた第三のセグメントに公開サーバを接続

※公開サーバ部侵入を許してもそこから内部ネットワークにまで被害が及ぶ可能性を最小限にとどめることが可能
※これまでの4個の構成のうちコスト面、セキュリティ面でバランスが良い

%3CmxGraphModel%3E%3Croot%3E%3CmxCell%20id%3D%220%22%2F%3E%3CmxCell%20id%3D%221%22%20parent%3D%220%22%2F%3E%3CmxCell%20id%3D%222%22%20value%3D%22%22%20style%3D%22fontColor%3D%230066CC%3BverticalAlign%3Dtop%3BverticalLabelPosition%3Dbottom%3BlabelPosition%3Dcenter%3Balign%3Dcenter%3Bhtml%3D1%3BoutlineConnect%3D0%3BfillColor%3D%23CCCCCC%3BstrokeColor%3D%236881B3%3BgradientColor%3Dnone%3BgradientDirection%3Dnorth%3BstrokeWidth%3D2%3Bshape%3Dmxgraph.networks.server%3B%22%20vertex%3D%221%22%20parent%3D%221%22%3E%3CmxGeometry%20x%3D%22361%22%20y%3D%22143%22%20width%3D%2290%22%20height%3D%22100%22%20as%3D%22geometry%22%2F%3E%3C%2FmxCell%3E%3CmxCell%20id%3D%223%22%20value%3D%22DNS%22%20style%3D%22text%3Bhtml%3D1%3B%22%20vertex%3D%221%22%20parent%3D%221%22%3E%3CmxGeometry%20x%3D%22376%22%20y%3D%22253%22%20width%3D%2260%22%20height%3D%2230%22%20as%3D%22geometry%22%2F%3E%3C%2FmxCell%3E%3C%2Froot%3E%3C%2FmxGraphModel%3E

5.5ファイアウォールー1

１．ファイアウォールとは

複数のネットワークセグメント間において、あらかじめ設定されたルール(ACL) に基づいてパケットを中継したり破棄したりする機能を持つアクセス制御製品です。

２．ファイアウォールの概要

狭義では主にネットワーク層においてACLに基づいてアクセス制御を行うもの

　→　ファイアウォール：ネットワークファイアウォール

広義ではネットワークやホストに対する侵入や攻撃を防ぐ機能を持つ(マルウェアの侵入を防ぐものも含む)

　→　ファイアウォール：アプリケーションファイアウォール

２．１．種類

種類	特徴
ファイアウォール	TCP/IPの中～下位層で設定されたルール(IPアドレス、ポート番号など)に基づいてパケットを中継または遮断します 許可されたプロトコル(サービス)のセキュリティホールついた攻撃については遮断できない
ネットワーク型IDS	接続されたネットワークセグメント中に流れるパケットを監視し、ポートスキャン、バッファオーバフロー(BOF)攻撃、サービス不能攻撃（DoS）、不正コマンドなどOSやミドルウェアのセキュリティホールをついた様々な攻撃を検知する 暗号されたパケットは監視できない
ホスト型IDS	特定のホストを監視して、ログインの成功/失敗、重要資源に対するアクセスなど、発生している様々な事象を検知する
侵入防御システム IPS	従来のNIDSの機能を強化するとともにインライン接続構成をとることで、NIDSよりも強力な侵入検知・防御機能を備えた製品である
ホスト型 IPS	HIDSと同様に特定のホストに常駐し、BOF攻撃、マルウェアの侵入や実行などを検知して防御する機能を持ったシステム
Webアプリケーションファイアウォール	クロスサイトスクリプティング、SQLインジェクションなど、Webアプリケーションに対する攻撃を検知し、遮断できる SSLアクセラレータ機能や負荷機能分散を備えたものは、SSL/TLSで暗号化されたパケットを複合して攻撃を検知/遮断できる
サンドボックス	実環境から隔離されたセキュアな仮想環境で不審なファイルやURLリンクへのアクセスを実行しその結果を観察することでマルウェアなどを検知する MTAとして動作することで不審なメールを遮断したり、RSTパケットを送ることで不審なWeb通信を遮断を試みる

３．ファイアウォールの役割

• 機密性
  インバウンドおよびアウトバンドのパケットについてファイルリングする必要がある
• 快適なアクセス
  組織内のインターネット利用環境を常時提供する
• ハイパフォーマンス・ハイアベイラビリティ（高可用性）

5.4Trusted OS

1．Trusted OSとは

セキュリティ機能を強化するとともに、設計仕様書やマニュアル類を整備し、定められた検証テストをクリアしていることです。

２．通常のOSとは異なる点

Trusted OSとは、オレンジブックと呼ばれるTCSEC(Trusted Computer System Evaluation Criteria)のB1以上の基準を満たしたOSのことです。

Trusted OSもセキュリティ機能を強化したという意味ではセキュアOS。しかし、SElinuxはTCSECの基準を満たしていないので、Trusted OSとは言えない。
Trusted OSの条件を満たすには、強制アクセス制御（MAC）、最小特権などが必要です。

３．SELinuxと通常のLinuxと異なる点

セキュリティを強化したLinuxです。

SELinuxは強力なアクセス制御機能を持ち、それによってすべてのプロセスやユーザが何らかの制限を受ける仕組みなっている(rootをも含む)

セキュリティ機能

• セキュリティコンテキストによる強制アクセス制御
• TE(Type Enforcement)
  パーミンションの集合を定義してアクセス制御を行う
• セキュリティサーバ
  システムに設定されたパーミンション情報を一元管理するコンポネントであす

5.3脆弱性検査

脆弱性検査とは、OS,アプリケーションある以下はネットワークを含むサイト全体の脆弱性を検査することである。

概要

ブラックボックス検査(主)

対象システムの構成や設定などの情報が開示されていない状態で実際に疑似的な侵入・攻撃手法などを用いて行う

ホワイトボックス検査

対象システムの設計書、仕様書、設定内容などをもとに主に机上で行う

脆弱性検査の必要性

• ホストの要塞化やファイアウォールの設置などによって不正アクセス対策を施しても、作業ぬけや誤りによって重大な脆弱性が内在化する可能性が高い
• 運用期間が長くなるほど、製品の脆弱性が出たり、構成や設定の変更によって脆弱性が内在する可能性が高い

ネットワークを介して疑似的な侵入や攻撃を試みて、サイトの脆弱性の有無やその内容を確認する

脆弱性検査の実施

実施する対象

• OS,サーバソフトウェアの仕様、設定上の脆弱性
  ツールによって検査が可能であるが、限界がある
• Webアプリケーションの仕様、実装上の脆弱性
  サイト自体の独自性があるので検査ツールでは十分ではない
  人間による入力項目でチェックし判断する

検査実施後の対処方法

• OS,サーバソフトウェアに対する検査後
  直ちに対応する
  定期的に行う
• Webアプリケーションに対する検査後
  直ちに対処するセキュアなアプリケーションの開発手順を確立徹底させる

ファジング

ソフトウェア製品の脆弱性を検出することを目的としたブラックボックス検査手法の一つ

検査対象となるソフトウェア製品に対し、極端に長い文字列や通常使わない制御コードなど、問題を引き起こしそうなデータ(ファズ)を大量に送り込みその応答や挙動を監視する方法である

5.2ホストの要塞化

ホストの要塞化とは、OSをはじめソフトウェアに内在するバグや設定ミスなどのセキュリティホールをふさぎ、堅牢な状態にすることである。

• OSやアプリケーションのバージョンの最新化
• パッチの適用
• 不用なサービスや機能の停止

アプライアンス製品であれば、出荷時点で一定のセキュリティレベル対策が行われている

汎用的なサーバ製品などの場合、使い勝手が良いが、必要のないソフトウェアやコマンドが立ち上がり、セキュリティ面では弱い

ゆえにホストを本格的に稼働させる場合、その用途に応じて要塞化が必要である

ファイアウォールが設置されていてもサーバの要塞化は必要である

要塞化の必要項目

• 最適なパーティション設計
  用途や更新頻度などが変わるデータは同じパーティション内に置かない
• セキュアなファイルシステムの選択
• 最新バージョンのソフトウェアを最小構成でインストールする
• パッチの適用
• 不用なサービスや機能の停止
• 不用なグループ、アカウントの削除および不要な共有資源の解除
• 推測困難なパスワードの設定、およびパスワードチェック機能の有効化
• ディレクトリ、ファイル、プログラムなどのアクセス権の設定
• ログの設定