情報セキュリティについて
情報セキュリティとは
ISO/IEC 27001
リスクとは
ISO/IEC 13335
ある脅威が、資産または資産グループの脆弱性を利用して、資産への損失、または損害を与える可能性
- 脅威
- 脆弱性
リスクコントロール
- リスク回避
- リスク分離
- リスク結合
リスクファイナンス
- 保有
- 移転
- 保険
リスク・コントロールとリスク・ファイナンス＜情報倫理・セキュリティ＜Ｗｅｂ教材＜木暮
アクセス管理
読み取り・書き込み・削除などデータに対する操作を権限に応じて制限をする。
ネットワークセキュリティ
1.ファイアウォール
パケットのチェック内容
- 発信元アドレス
- 発信元ポート番号
- 送信先アドレス
- 送信先ポート番号
- プロトコル
- パケットの方向
ファイアウォールの方式
- パケットフィルタリング方式
- アプリケーションゲートウェイ方式
ファイアウォール（パケットフィルタリングとアプリケーションゲートウェイ）、DMZの仕組みや特徴について
2.侵入検知システム (IDS: Instruction Detection System)
ネットワーク監視型
ホスト監視型
5分で絶対に分かる：5分で絶対に分かるIDS (1/6) - ＠IT
3.セキュリティプロトコル
S/MIME
SSL (Secure Socket Layer)
HTTPS
SET (Secure Electronic Transaction)
4.インターネットVPN
5.無線LAN
ESS-ID (SS-ID)
暗号化
無線LANセキュリティの要「WEP/WPA/WPA2・TKIP/AES」とは？ | AppBank
WEP (Wired Equivalent Privacy)
無線 LAN 用に最初に登場した、暗号化技術です。 この「WEP キー」には鍵データの生成方法に問題があり、1分前後で解読できます。現時点での使用は控えましょう。
TKIP (Temporal Key Integrity Protocol)
WEP の弱点を修正したのが「TKIP」です。WEP で問題があった、鍵データの生成方法を見直してより複雑にしました。 しかし、暗号化の方法そのものは WEP と同じなので、WEP に比べると時間はかかるものの、解読できます。
AES (Advanced Encryption Standard)
WEP・TKIP で使われてきた暗号化の方法を見直し、TKIP と同じ鍵データの生成方法を採用したのが「AES」です。 WEP や TKIP とは異なり、AES によって暗号化されたデータの解読・鍵データを不正入手することは非常に困難です。
WPAとは｜Wi-Fi Protected Access - 意味/解説/説明/定義 ： IT用語辞典
WPAは、従来のSSIDとWEPキーに加えて、ユーザ認証機能を備えた点や、暗号鍵を一定時間毎に自動的に更新する「TKIP」（Temporal Key Integrity Protocol）と呼ばれる暗号化プロトコルを採用するなどの改善が加えられている。
- WPA2
WPA2とは｜Wi-Fi Protected Access 2｜WPA2-AES - 意味/解説/説明/定義 ： IT用語辞典
米標準技術局（NICT）が定めた暗号化標準の「AES」を採用しており、128～256ビットの可変長鍵を利用した強力な暗号化が可能となっている。それ以外の仕様はWPAとほとんど変わらない。
MACアドレスフィルタリング
高木浩光＠自宅の日記 - 無線LANのMACアドレス制限の無意味さがあまり理解されていない
MACアドレスというのは、機器固有のIDのようなものです。たいていの無線LANアクセスポイントにはMACアドレスフィルタリングの機能がついており、接続する機械の MACアドレスをあらかじめ登録しておくことで、未登録のMACアドレスを持った機器が繋がらないように設定できます。
ただし。。。
MACアドレスはものによっては書き換える事が可能
MACアドレスは暗号化されない。
攻撃者は、侵入しようとする無線LANの近くで正規接続者の通信信号を傍受することにより、正規接続者のMACアドレスを知得し、同じMACアドレスを設定した無線LANクライアントで接続してしまう。
あまり意味は無い模様。。。
マルウェア
1.マルウェアとは
2.種類
- コンピュータウィルス
第三者のプログラムやデータべースに対して意図的に何らかの被害を及ぼすように作られたプログラムであり、次の機能を一つ以上有するもの。
・自己伝染機能
・潜伏機能
・発病機能
3.マルウェア対策
4.コンピュータ犯罪
- サラミ法
- スキャベンジング
- なりすまし
- ソーシャルエンジニアリング
5.サーバに関連する攻撃
- SQLインジェクション
- DoS攻撃
- ディレクトリトラサーバル攻撃
- セッションハイジャック
- DNSキャッシュポイズニング
- ブルートフォースアタック
- バッファオーバフロー攻撃
- クロスサイトスクリプティング
- 標的型攻撃
- OSコマンドインジェクション
セキュリティ関連標準
ISO/IEC 15408
情報処理推進機構：情報セキュリティ：ITセキュリティ評価及び認証制度(JISEC)：CC概説
情報技術セキュリティの観点から、情報技術に関連した製品及びシステムが適切に設計され、その設計が正しく実装されていることを評価するための国際標準規格です。
ISO/IEC 27001
組織のISMSを認証するための要求事項
ISO/IEC 27002
ISM 実践のための規範
RFC (Request For Comments)
セキュリティ関連制度
セキュリティ関連制度
ISMS
プライバシーマーク制度
JIS Q 15001規格に適合したコンプライアンスプログラムを整備・運用している事業者として認定する制度。
この規格では、事業者が保有する個人情報を把握し、取得や利用に先立ち個人情報の指す本人から同意を得ること、事業者が個人情報保護のための組織を設けること、その体制を定期的に見直し改善すること、そしてこれらを実践するためのシステム（個人情報保護マネジメントシステム）をもつことなどを求めている。
