読書家ほどではない青年が本の感想を書くブログこの広告は、90日以上更新していないブログに表示しています。知識本88冊目いたるところで聞くようになりましたよね。2006-07-21Amazonで検索Kindleで検索セキュリティの考え方について書かれた本になります。「10年使える」とあって「いつ発売したのだろうか」と後ろを見てみれば2006年発売とあり、「今年しか使えないのでは?」と、とんちみたいなこと思ったりしましたけど、本書はセキュリティに対して普遍的な「考え方」について書かれてあるため心配いらないようです。初心者向けの内容なので、セキュリティを本格的に学びたいと思う人からは物足りないかもしれません。後ろの参考文献リスト(もっと勉強したい人のために)が提示してくれているので、これを手にとって次の本に向かうのもいいかもしれませんね。忘れないように(僕が忘れたときのために)、ここに知った用語を書いていこうと思います。資産:守るべき技術、お金...など「守りたいもの」(実体のない資産もある)脅威:脅威は3つに分けられる。物理的脅威(泥棒など)、技術的脅威(コンピュータウイルス)、人的脅威(うっかりデータ削除など)。脆弱性:リスクの顕在化させるための要素。「流行り風邪にかかる可能性がある(資産)」→「最近、風邪が流行っているらしい(脅威)」からの「ストレスで寝不足だ(脆弱性)」や「栄養バランスが悪い食事をしている(脆弱性)」←これペリーメータライン:ここから先は破らせないぞ、という目安。分かりやすい例は「お城の周りにあるお堀」や、今でいう「警備員が立つ門」や「受付」もそれ。この考え方をした仕組みをペリーメータモデルと呼ぶ。ファイヤウォール:「悪いものは入れないで、価値のあるものは出さない」ようにする、文字通り防火壁。プロトコル:コミュニケーション(情報交換)するためのルールのこと。(対人なら「はっきり声に出そう」とか「傷つけることは言わないように」とか「忙しそうだったら後にしよう」など、そういった基本的な決まり全般)IP:インターネットプロトコル、これで「インターネット上の(情報交換するための)ルール」という意味になる。IPアドレス:パスポートみたいなもの。これを求められるということは「当人を識別するため」であって、「○○だね。よし、インターネットへ行くの許可するよ~」という意味になる。多段防御:今まで「会社内」で共有していたペリーメータラインを「会社内」の内でさらに幾層も作って守る方法。それぞれのラインを「訪問客でもおk」「一般社員レベル」「経営層のレベル」など分けて守る。資産のセル化:会社の技術職や営業部(もっといえば班ごとに)それぞれ独立した情報を共有するという方法。イメージするなら「営業部に言ってもわからないからこの技術は喋らない」とか、そういった守り方。ブルートフォースアタック:パスワード開けるときに「全部試してみよう」というそれ、総当たり方法という意味。アルゴリズム:暗号を作る根っこのルールのこと。「英語の文字を○つずらそう」など知られたら暗号がすべて解かれてしまうもの。バイオメトリクス:体の一部を「カギ」として考える手段。セキュリティという言葉についてセキュリティというのはこのパソコン内の話だけはなく、いわば「僕が家のカギをかける」というのもセキュリティといえるらしいです。言われてみれば(家のセキュリティとか聞くように)「なるほどたしかに」と思うんですけれども、そのパソコン以外の「セキュリティ」は「パソコンのセキュリティ」から取られたものだと思っていたので「(パソコンのセキュリティが普及しただけで別に前々からある言葉と知って)へぇ」と思いましたね。セキュリティは常に高めるべきものらしいので、パソコンに限らず高めて行きたいと思います。脅威と脆弱性の対策高めても資産を高めなければ意味ないんですが(白目)。リスクマネージメント「セキュリティは高めるもの」と書きましたが、やみくもの高めすぎるのもよろしくないらしいです。いうもの、たとえば20万を守るために100万の金庫を買ったとかなると「ん?」となるわけですよ。)を踏まえた上でちょうどいいセキュリティをしなくちゃいけないわけです。書いてみると、家計簿みたいですよね。限られた収入でやりくりする母親みたいな......まぁ赤字となったら笑えないことになりますけど。識別と認証と権限管理ファイアーウォールのくだりで、「どうやって入ってくるものを識別するか?」という問題がありました。そのシステムというのですか、本人だとわかる流れが良くできているなと思ったんですよね。識別と認証は別々で考えるべきという前提があります。それで識別というの「その人がどんな人か自己申告させる」ことです。この自己申告が大事なところで「うそを言っているか」とかそんなのを見ます。認証、その人だと分かる「確かな情報」を手にその人をどんな人か見分けます(自己申告も踏まえて)。免許書やパスポート、IPもこれにあたるんでしょう。して許可されたなら通される、というわけです。(今思ったんですけど、受付なんかそういう識別や認証する仕事なのかも)そして通されて「やったー」ではなく、さらにその先には権限管理というものがあります。これは「この素性が分かった人にどこまで情報を与えるか?」という問題になります。よって識別「誰なのか言ってください」から認証「証明できるものをください」がら「ではここまで情報を許可しましょう(権限管理)」という流れになります。理にかなってる...というわけです。俗にいう、面倒な手続なのでしょう。バイオメトリクス指紋認証から、ほかいろいろな認証方法が確立しつつあるらしいです。個人的に指紋認証が最強のセキュリティだと思っていたわけですから「指紋認証は指をなくしてしまったときを考えると脆弱性がある」と軽く論破されてて「せやな」としか言えませんでした。思えば五体満足であるからこそそういう認証はできるわけで、仮にその認証に使ってた一部がなくなった場合、もうどうしようもない感じがします。唾液や目やら、うーん、そういったものなら......もう、いっそ脳内にチップ埋め込むあれでいいんじゃないでしょうか(SF脳)完璧なセキュリティなど存在しないここまで「かもしれない」でセキュリティを考えていたというのに、唯一「絶対」と断言して言ったことがこれです。僕の中でプログラマは正確なイメージだから、こう断言された「絶対」がより一層強い言葉に思えました。セキュリティを見てきて、究極的なセキュリティを求めるなら「人間性を捨てよ」という事はなんとなく分かってきましたが、それでもなんとかうまくいくシステムが開発されるものだと思っている部分があったんですよね。最後に行き着く脆弱性は人間だというのが、なんだか物語のオチみたいでおもしろかったです。いうような気がしますね。この本に書かれていたのも「これだけで満足しないで、いろいろ知れよ」ということなので、これからなんとかセキュリティ高めねばです。ときに、この本には章終わりに各まとめがあるんですよね。それが分かりやすく端的に情報が書かれてあってとてもよかったです。6章各2ページなのだから計12ページほどなのですが、それ読んだら内容全部網羅したといってもいいほどですよ、むしろあれだけでいいレベル(褒め言葉)。はてなブログをはじめよう!kumonosさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。