電子文書(法令、タイムビジネス関連制度)2019-12-27Reactの5thステップ2019-12-20WWWブラウザの[×]ボタンのイベントをハンドルする。.NET開発基盤部会」によって運営されています。下記のように分類される。†サーバーの脆弱性を塞ぐ。必要に応じて不要なサービスを停止する。手動ツールでは検出困難な検査が出来る。自動(ツール)検出能力に限界がある。複数の脆弱性を組み合わせた攻撃などは検出できない。検査結果の分析とサイトに合った対策などは人手が必要。軍用システムで用いられる。Division」に定義されている規約を満たす。民間にも導入しやすいようにいろいろな工夫を施したOS。民間市場が要求する機能だけを実装するように開発。Linux)トラステッドOSではなく、セキュアOSLinuxディストリビューションではない。GPL下で提供している。乗っ取られると、システム全体に致命的な被害を及ぼす。そのため、以下の仕組みを導入し、rootに権限が集中することを防いでいる。Criteria(CC)内で規定されたセキュリティ機能要件を実装する。†パケット・フィルタリング型ファイアウォールTCP/IP以下のレイヤでパケット・フィルタリングその他、様々なファイアウォールL4スイッチ的なもの、L7スイッチ的なもの。Arrayシリーズなどの統合アプライアンスに機能追加したようなタイプのものもある。上記の2つの機能を持つハイブリッド型ファイアウォールもある。†BBルータ的な構成ルータなのでNAPT機能を持つ。内部IPを晒さずセキュアになるので、F/Wのコンテキストで説明される。異なるベンダのF/Wにできるのでセキュリティが強化される。言うなれば「4~脚境界」。レベルに応じた分割・設定が可能。†ポジティブ・セキュリティ・モデル別名ホワイト・リスト基本的にすべての通信をdrop(deny)必要に応じて、高優先度のacceptを追加。特定クライアント&通信のアクセス制御に利用される。ネガティブ・セキュリティ・モデル別名ブラック・リスト基本的にすべての通信をaccept必要に応じて、高優先度のdrop(deny)を追加。コンテンツフィルタなど、不特定のクライアント&通信のアクセス制御に利用される。etc.負荷分散F/W型の負荷分散はArrayシリーズなどの統合アプライアンスに組み込まれている。HAクラスタウォーム・スタンバイ、ホット・スタンバイF/Wの前後にスイッチやLBを配置してクラスタリング。最近はアウトバウンドのパケット・フィルタリングも行う。ルータや、OS(パーソナル・ファイアウォール)などに付属している。srcポートsrcポートにwell-knownを使うFTP(passive)などがある。dstポートdstポートは、基本的にwell-knownになる。結果的にACLの設定が難しい。ACLの設定ミスも発生し難い。†サーキットレベル・ゲートウェイ型L4スイッチ的に動作する。クライアントを認証し、TCP/IPのコネクションを確立して転送する。ペイロードをチェックしないが、UDPを対象にできる。クライアント・プログラムが、SOCKS拡張に対応している必要がある。サーキットレベル・ゲートウェイのデファクトスタンダード)ダイナミック・パケットフィルタ型L4スイッチ的に動作する。クライアントとTCP/IPのコネクションを識別して当該コネクションに対応するACLを自動登録する。FTP(active)にも対応できる。ステートフルインスペクション型L4スイッチ的に動作する。ダイナミック・パケットフィルタ型より更に高機能。TCP/IPの通信フローまでをチェックできる。アプリケーション・ゲートウェイ、アプリケーション・プロキシ型L7スイッチ的に動作する。対象プロトコルのコマンドやメソッドなどをフィルタする。リクエストは処理対象ではないものが多い。srcポートsrcポートにwell-knownを使うFTP(passive)などがある。dstポートdstポートは、基本的にwell-knownになる。OpenのNo.2のみ通す。結果的にACLが設定し易い。ACLの設定ミスも発生し難い。†こちらは、基本的にL7で、TCP/IPストリームのペイロードを詳細にチェックする。ワン・アーム構成(後述のIPSと同じ)エージェント型はサーバー上なので接続は無し。後述のIDS、IPSと同じ。逆に見ると統合アプライアンスに当該機能が実装されている。検知精度は高くないと言って良さそう。遮断機能の部分的適用の運用など。通信を遮断するためのインライン構成をとる。サンドボックス上でヒューリスティック法でウィルスを検知する。†IDSは攻撃パターン(シグネチャ)のDB持っている。これを実際の事象と照合してF/Wで検知できなかった攻撃を検知できる。†ネットワークを流れるパケットを監視する。構成バリア・セグメントに接続サイトに対する攻撃を検知できる。非武装セグメント(DMZ)に接続する場合、比較に利用できる。非武装セグメント(DMZ)に接続DMZ上のサーバに対する攻撃を検知できる。侵入後の攻撃を検知できる。マルウェア、持込PC、内部犯行などが対象になる。接続スイッチに横付けに配置するワン・アーム構成。パケット・キャプチャ・ツールを仕掛ける方法と≒。ポートミラーをサポートするスイッチを使用する。上記をリピータHUB(ネットワークTAP)、スイッチ、統合アプライアンス等に接続。検知の仕組みウィルス検出の仕組みと、だいたい同じ。未知の攻撃を検知できない。検知の方法プロトコルの仕様からの逸脱したものを異常と検知する。誤報が多くなる可能性に留意する。逆に見ると統合アプライアンスに当該機能が実装されている。†ホストにインストールして使用する。検知の仕組み常駐して監視して、OSレベルで検知可能なものを拾う。†NIDS誤検知への対応が必要フォールス・ポジティブ誤検知のケース(正常なアクセスを攻撃と認識)。フォールス・ネガティブ誤検知ではなく、攻撃を検知できないケース。暗号化されたパケットは解析できない。攻撃は検知できても、侵入は検知できない。処理能力不足によるパケット取りこぼし検知できない事象ホスト上の攻撃は検知できない。ネットワーク攻撃は検知できても、侵入は検知できない。アプリケーションに対するネットワーク経由の攻撃を検知し難い。正当な権限を持って行われる内部犯行は検知できない。HIDS機能・性能的な問題OSが検知できない攻撃は検知できない。攻撃の予兆を検知できない。ホストの性能やパフォーマンスに悪影響を与える。検知できない事象ホスト経由の攻撃は検知できないケースがある。正当な権限を持って行われる内部犯行は検知できない。基本的に、IDSに防止機能を実装したもの。誤検知が発生しないよう、検知制度を高めている。(検知後アクションなどの)ポリシ設定が可能。内部セグメントに接続IDSと異なり、バリア・セグメントには配置しない。接続IDSと異なり、インライン構成が主流。製品仕様に拠るので答えは一つではないが、それぞれ、F/WやNIDSは専用機のため機能面で劣る。F/Wと連携させたNIDSの方がスペック的には強い可能性がある。F/WとNIDSを連携させるのが手間と思われる(1ベンダの製品でまとめれば対応容易かもしれない)。†ダイナミック・ヒューリスティック法(ビヘイビア法)をするための放し飼い用サンドボックス。正規のアプリがデータを受信する前に、検査アプリで検証する見たいな話しッポイ。メール検査POPでのメール受信時。添付ファイルのチェックURLのチェックファイル検査SMBでのファイル受信時。ウィルス・チェックHTTP通信検査HTTPでのデータ受信時。†IDSの以下の限界・課題と同じ。