アクセス制御の基礎とネットワーク防御機器
頻出約 47 分7 用語過去問 17 題
この単元の目標
- アクセス権(誰に何の操作を許すかという設定)とアクセス制御(その設定と照らして通すか止めるかを判定する仕組み)を分けて説明できる。
- ファイアウォールとWAFを、守る範囲と判断に使う情報の違いで見分けられる。
- IDSとIPSを、不正を見つけた後に通信を止めるかどうかで区別できる。
用語総表（7 語）
用語
アクセス権は、ファイルやデータベースなどの資源に対して、誰が・どんな操作をしてよいかを定めた権限である。
操作は見る・書き換える・消すのように種類ごとに分けて設定でき、利用者1人ずつにも、部署などのグループ単位にもまとめて与えられる。権限は仕事に必要な分だけ与えるのが基本で、これを最小権限の考え方という。与えすぎた権限は、誤操作や乗っ取りが起きたときの被害を広げる。
たとえ社員証で開けられる扉が人によって違うようなもの。同じ会社の人でも、倉庫の扉が開く人と開かない人がいる。
覚え方英語では access right。この right は「正しい」ではなく「権利」の意味で、使ってよい権利の一覧と覚える。
出題のポイント
- 出題適切なアクセス権の設定が効くのは、権限のない者による情報漏えいや改ざんの防止である。権限と関係なく起きる脅威には、別の対策を組み合わせる。
- 出題グループと個人の両方に権限を設定する方式の計算では、問題文の優先条件に従って各人に適用される設定を先に決め、それから操作ごとに許可された人を数える。
- 出題最小権限の考え方から、普段の作業に管理者の権限でログインして使うのは危険を増やす使い方である。
この用語の過去問 3 題 アクセス権 →
アクセス制御は、利用しようとする者が誰かを確かめ、設定されたアクセス権と照らして、許された操作だけを通し、それ以外を拒む仕組みである。
本人かどうかを確かめる段階を認証、確かめた相手の求める操作がアクセス権で許されているかを判定する段階を認可と呼び、アクセス制御はこの二つを順に行う。どの規則にも当てはまらない要求は拒否する設定にしておくと、登録漏れがあっても安全な側に倒れる。情報システムだけでなく、ICカードや生体認証で部屋への入室を許可・拒否する入退室管理も、同じ考え方のアクセス制御である。
たとえ会員制ジムの受付のようなもの。会員証で本人を確かめ、その人の契約にプールが含まれているかを見てから、入れるかどうかを決める。
覚え方アクセス権が「名簿」なら、アクセス制御は名簿を見て通すか決める「門番」。
出題のポイント
- 出題登録済みの情報と照合して本人と確認できた者だけに利用を許す処理は、システムによるアクセス制御の例である。権限を与える作業そのものとは区別する。
- 出題限られた人だけが見てよいファイルの機密性を確保する技術として選ぶのはアクセス制御である。署名や時刻の証明は改ざんや作成時刻を確かめる技術で、目的が違う。
- 出題無線LANで、端末ごとに固有の番号(MACアドレス)を登録し、それ以外の端末からの接続を断る方法もアクセス制御の一つである。
この用語の過去問 3 題 アクセス制御 →
コールバックは、電話回線などで接続してきた相手との通信をいったん切り、システム側から登録済みの番号へ掛け直して接続する方式である。
掛け直す先はあらかじめ登録した番号に限られるので、IDとパスワードを盗んだ第三者が別の場所から接続しても、通信は成立しない。掛け直すのはシステム側なので、通信料金もシステム側の負担になる。
たとえ知らない番号からの電話には出ず、名簿にある番号へこちらから掛け直して用件を聞くようなもの。
覚え方英語の call back は「折り返し電話する」という日常の言い回しそのまま。
出題のポイント
- 混同注意IDとパスワードは「何を知っているか」で本人を確かめるのに対し、コールバックは「どこから接続しているか」で相手を絞る。両方を組み合わせて使うこともできる。
ファイアウォールは、主に組織のネットワークと外部との境目や端末の出入口に置き、決めた規則に合う通信だけを通して、それ以外を遮断する仕組みである。
← 図は横にスクロールできます →
主に通信の送信元・宛先のアドレスやポート番号(通信の種類を表す番号)を見て、通すかどうかを決める。ファイアウォールで区切って、外部に公開するサーバだけを置く中間の区画(DMZ)を作ることができる。PC 1台ごとに入れて、その端末を守るソフトウェア型のものをパーソナルファイアウォールと呼ぶ。
たとえマンションのオートロックの玄関のようなもの。住人と、住人が通すと決めた来客だけが入り、ほかの人は玄関で止まる。
覚え方fire wall は建物の「防火壁」。区画の境目で燃え広がりを止める壁から付いた名前。
出題のポイント
- 出題外部からの不正アクセスを、内部と外部の境目で防ぐ仕組みはファイアウォールである。DNSサーバやルータは名前の解決や経路の選択を受け持つ機器で、役目が違う。
- 出題ファイアウォールが担うのはネットワークの境界での通信の選別で、DMZもその区切りで作る。部屋への入室を管理するのは別の仕組みの役目である。
- 出題社外のネットワークにPCを直接つなぐときは、そのPC自身にパーソナルファイアウォールを入れて不正な接続を防ぐ。PCそのものが盗まれたときの情報漏えいには、ディスクの暗号化が効く。
この用語の過去問 3 題 ファイアウォール →
WAF(Web Application Firewall)は、Webアプリケーションに届く要求の中身を調べ、その弱点を突く攻撃を見つけて止める仕組みである。
入力欄に不正な命令文を紛れ込ませる攻撃のように、通常の通信と同じ経路でやって来る攻撃は、アドレスやポート番号だけでは見分けにくい。WAFは要求の内容を攻撃の型と照らし合わせて、こうした攻撃を通さない。会員登録や検索フォームなど、利用者の入力を受け付けるWebサイトで使われる。
たとえ玄関を通った荷物を、宛先だけでなく箱を開けて中身まで確かめる検品係のようなもの。
覚え方名前に Firewall を含むが、見るのは通信の宛先ではなく要求の中身。頭の W は守る相手の Web を表す。
出題のポイント
- 出題WAFはWebアプリケーションの脆弱性(作りの弱点)を狙う攻撃を防ぎ、不審なアクセスを見つける仕組みである。安全な通信路を作る仕組みや持ち出し防止の仕組みとは別物である。
- 混同注意ファイアウォールは主にアドレスやポート番号で通すかを決め、WAFは要求の中身を見て決める。WAFはファイアウォールの代わりではなく、重ねて使う。
この用語の過去問 1 題 WAF →
IDS(侵入検知システム)は、ネットワークやサーバを見張り、不正な侵入や攻撃の兆しを見つけて知らせる仕組みである。
IDSは見つけることと知らせることを受け持ち、通信そのものは止めない。境界で通信を選ぶファイアウォールとは別に通信や機器を見張るので、ファイアウォールを通り抜けた攻撃や内部からの不審な動きにも気づける。見張る対象には、ネットワークを流れる通信と、サーバ上の動きがある。
たとえ家に付けた防犯ブザーのようなもの。窓が開けられると鳴って知らせるが、侵入者を押し返しはしない。
覚え方D は Detection(検知)。見つけるところまでが仕事。
出題のポイント
- 出題IDSを選ぶ決め手は「見張って見つけ、管理者に報告する」働きで、通信を止める動作は含まない。名前とアドレスの変換や時刻の同期は別の仕組みの役目である。
- 出題社外で使ったPCを社内につなぐ前に感染の有無を調べる仕組みは検疫ネットワークであり、IDSではない。
この用語の過去問 2 題 IDS →
IPS(侵入防止システム)は、IDSと同じように不正の兆しを見つけたうえで、その通信を自動で遮断する仕組みである。
通信の通り道の途中に置かれ、攻撃と判定した通信をその場で止めるので、人の対処を待たずに被害を抑えられる。その反面、正常な通信を攻撃と取り違えると、業務に必要な通信まで止めてしまう。
たとえ侵入を感知すると自動でシャッターが下りる店の防犯設備のようなもの。気づくだけでなく、その場で入口をふさぐ。
覚え方P は Prevention(防止)。IDS と IPS は D と P の 1 文字違いで、「知らせる」か「止める」かが分かれる。
出題のポイント
- 混同注意IDSとの違いは見つけた後の動きにある。IDSは管理者に知らせるところまでで、IPSは通信を自動で止める。
要点
- アクセス権は誰に何の操作を許すかの設定、アクセス制御はそれに従って認証・認可を行い、許可外を拒む仕組み。
- 権限は仕事に必要な分だけ与える(最小権限)。適切な権限設定は情報漏えいや改ざんを防ぐ。
- コールバックは登録済みの番号へ掛け直すことで、接続できる場所を限定する。
- ファイアウォールは境目で主にアドレスやポート番号を見て通信を選び、WAFはWebアプリへの要求の中身まで調べる。
- IDSは不正を見つけて知らせるまで、IPSは見つけた通信を自動で止めるところまで行う。
この分野の過去問をすべて見る →