情報セキュリティの技術的対策の中核を学ぶ単元です。「誰に何を許すか」というアクセス権の考え方から、それを運用するアクセス制御の仕組み、さらにファイアウォール・WAF・IDS・IPSといった境界防御を担うネットワーク機器へと積み上げます。最頻出のアクセス制御とファイアウォールを含む土台であり、各機器の役割の違いを区別できることが得点の鍵です。
利用者やプログラムに対し、資源への読取り・書込み・実行などを許す権限。
アクセス権とは、ファイルやフォルダ、データベースなどの資源に対して、「誰が」「どんな操作(参照・更新・実行など)」をしてよいかを定めた権限のことです。アクセス制御を運用するための最も基礎となる概念です。 権限は利用者個人だけでなく、役割(グループ)単位でまとめて付与することもあります。試験では、業務上必要な最小限の権限だけを与える「最小権限の原則」や、参照は許すが更新は許さないといった操作種別ごとの設定の考え方が問われます。権限を与えすぎないことが情報漏えい防止につながる点を押さえましょう。
たとえ建物の入館証のようなもの。ある人は会議室まで、別の人は倉庫の鍵も持つ、というように「どこに入り何ができるか」を一人ひとり決めておく仕組みです。
記憶フックアクセス権といえば誰に何の操作を許すかを定めた権限
アクセス権に基づき、資源への利用可否を判定・制限する仕組み。
アクセス制御は、設定されたアクセス権に従って、利用者が資源を利用できるかどうかを判定し、許可された操作だけを通す仕組みです。本人確認をする「認証」、許可された操作かを判定する「認可」、そして許可外の操作を拒否する「制限」という流れで成り立ちます。 本ユニットの中心概念であり、最頻出です。試験では、認証(本人かどうか)と認可・アクセス制御(何をしてよいか)の違いがよく問われます。また、誰が何にアクセスしたかを記録するアクセスログと組み合わせ、不正の検知・追跡に役立てる点も重要です。
たとえイベント会場のゲート係のようなもの。チケット(認証)を確認し、そのチケットで入れるエリアか(認可)を判定して、対象外の入場は断る、という一連の役割を担います。
記憶フックアクセス制御といえばアクセス権に基づき利用可否を判定する仕組み
接続要求を一度切り、登録済み番号へ折り返して回線認証する制御手法。
コールバックは、外部から電話回線などで接続してきた利用者に対し、いったん通信を切断し、システム側からあらかじめ登録された番号へ「折り返し」発信して接続を確立する方式です。これによりアクセスできる相手を限定します。 アクセス制御の一手法であり、登録された正しい場所からの接続だけを許す点で不正アクセス対策になります。試験では、接続元を限定する仕組み、電話料金をシステム側が負担する点などが問われることがあります。回線を使った認証の一種として、アクセス制御群の補足として位置づけられます。
たとえ知らない番号からの電話にはすぐ出ず、登録済みの番号にこちらから掛け直して本人を確かめるようなもの。折り返す相手をあらかじめ決めておきます。
記憶フックコールバックといえば登録番号へ折り返して接続元を限定
内部と外部ネットワークの境界で通信を監視し、不正な通信を遮断する機器。
ファイアウォール(防火壁)は、組織内部のネットワークとインターネットなど外部との境界に設置し、あらかじめ定めたルールに従って通信を通す・遮断するかを判断する機器・ソフトウェアです。境界防御の代表であり、高頻出です。 主に通信の送信元・宛先のIPアドレスやポート番号を見て、許可された通信だけを通します(パケットフィルタリング)。試験では、後述のWAF(Webアプリの中身まで見る)やIDS/IPS(侵入の検知・防御)との役割分担がよく問われます。ファイアウォールは「境界での出入口管理」が基本機能である点を押さえましょう。
たとえ建物の正面玄関に立つ警備員のようなもの。入館リスト(ルール)に載っている人だけを通し、許可のない人の出入りを玄関で止めます。
記憶フックファイアウォールといえば内部と外部の境界で不正通信を遮断
Webアプリへの通信内容を検査し、不正な攻撃を防ぐ専用の防御機器。
WAF(Web Application Firewall)は、Webアプリケーションを狙った攻撃を防ぐために、通信の中身(アプリケーション層のデータ)を検査して不正なリクエストを遮断する仕組みです。 通常のファイアウォールがIPアドレスやポートで判断するのに対し、WAFはSQLインジェクションやクロスサイトスクリプティングなど、Webアプリ特有の攻撃パターンを検知して防ぐ点が特徴です。試験では、『Webアプリへの攻撃対策に特化した防御』であり、ファイアウォールでは防ぎにくいアプリ層の攻撃をカバーする点が問われます。FWの応用・特殊化として理解しましょう。
たとえ玄関の警備員(FW)が通した来訪者の「持ち物の中身」まで検査する受付係のようなもの。見た目は普通でも、危険物が紛れていないかを内容で確かめます。
記憶フックWAFといえばWebアプリへの攻撃を内容検査で防ぐ
ネットワークやサーバを監視し、不正侵入の兆候を検知して通知する仕組み。
IDS(Intrusion Detection System、侵入検知システム)は、ネットワークやサーバへの通信を監視し、不正アクセスや攻撃の兆候を見つけると管理者に警告・通知する仕組みです。 大きな特徴は、あくまで「検知して知らせる」までが役割で、通信そのものを止める機能は持たない点です。試験では、防御(遮断)を行うファイアウォールやIPSとの違いがよく問われます。IDSは『見張って気づき、知らせる』装置であり、対処は管理者に委ねられる、という点を押さえると後述のIPSとの対比が明確になります。
たとえ建物に取り付けた防犯センサーや見張りカメラのようなもの。怪しい動きを見つけると警報で知らせますが、侵入者自体を取り押さえることはしません。
記憶フックIDSといえば侵入の兆候を検知して通知(遮断はしない)
不正侵入を検知し、さらにその通信を自動で遮断・防御する仕組み。
IPS(Intrusion Prevention System、侵入防止システム)は、IDSと同じく不正な通信や攻撃の兆候を検知したうえで、さらにその通信を自動的に遮断して被害を未然に防ぐ仕組みです。 IDSが「検知・通知」までなのに対し、IPSは「検知して即座に防御(遮断)」まで行う発展形である点が最大の違いで、試験頻出です。検知後の対処を人手に頼らず自動で止めるため、迅速な防御が可能です。IDSとIPSは名前も働きも似ているため、『知らせるだけ=IDS、止めるまで=IPS』という対比で覚えるのが効果的です。
たとえ防犯センサーが鳴るだけでなく、自動でシャッターを下ろして侵入を物理的に止めてくれる装置のようなもの。気づくだけでなく、その場で食い止めます。
記憶フックIPSといえば侵入を検知して自動で遮断・防御
関連の過去問演習は今後のアップデートで追加予定です。