情報セキュリティ実装技術

このページでは、TLSのハンドシェイク、ファイアウォールのフィルタリングとWAF、プロキシ、IDS・IPS・UTMなどの製品、VPNとIPsecのモードがわかります。

• 一言で言うと：
  • これまでの暗号や認証を組み合わせて、実際の通信やネットワークを守る道具の話
  • 通信を守るTLSとVPN（IPsec）、ネットワークの関所のファイアウォールとWAF、見張り番のIDS・IPSなどが出てくる

Webの通信を守る（SSL/TLS）→ 境界で止める（ファイアウォール、プロキシ、WAF）→ 見張る（IDS、IPS、UTMなど）→ 離れた拠点を安全につなぐ（VPN、IPsec）

覚え方の軸

• TLSは「8.1〜8.4の総まとめ」
  • サーバ証明書（PKI）でサーバを確かめ、公開鍵暗号で鍵の材料を渡し、共通鍵で本文を暗号化し、MACで改ざんを見つける
  • ハンドシェイクの目的は、サーバを認証する・使う暗号を決める・鍵を作って共有するの3つ
• 通信を守る技術は「どの層で守るか」で分ける
  • TLSは、HTTPなどアプリケーション層のすぐ下
  • IPsecは、ネットワーク層（IPレベル）
  • PPTP、L2TPは、データリンク層
• 関所は「どこまで中身を見るか」で分ける
  • パケットフィルタリング型は、IPアドレスとポート番号（宛名）だけ見る
  • アプリケーションゲートウェイ型は、アプリケーション層の中身まで見る（プロキシサーバもこの仲間）
  • WAFは、Webアプリケーションのやりとりの中身を見る（SQLインジェクションなどを止める）
• 見張り番は「見つけるだけか、止めるか」、見つけ方は「悪い例を覚えるか、良い例を覚えるか」
  • IDSは検知・通知だけ、IPSは遮断まで
  • シグネチャ方式は既知の攻撃パターン（悪い例）、アノマリー方式は正常なパターン（良い例）から外れたものを異常とする
  • 同じ考え方で、WAFのブラックリスト方式（悪い例）とホワイトリスト方式（良い例）がある
• IPsecのモードは「端末が暗号化するか、ゲートウェイが暗号化するか」
  • トランスポートモードは端末どうし。データ部分だけ暗号化
  • トンネルモードは拠点のゲートウェイどうし。元のIPパケットごと暗号化して、新しいヘッダを付ける

SSL/TLS：Webなどの通信を暗号化する（★）

• SSL/TLS：
  • SSL（Secure Sockets Layer）／TLS（Transport Layer Security）
  • 通信の暗号化、改ざん検出、サーバの認証（場合によってはクライアント認証も可）を行えるセキュアプロトコル
  • アプリケーション層のHTTP、SMTP、POPなど、いろいろなプロトコルの下位に位置して、これらの機能を提供する
  • 例えば、Webサイトのアドレスが「https://」で始まり、鍵マークが出ているとき、TLSで守られている
• SSLとTLSの表記：
  • SSLとTLSは独立したプロトコルだが、同じように扱われることも多く、その場合はSSL/TLSと書く
  • 近年の試験では「TLS」と書かれるので、ここでも「TLS」と書く（「SSL⇔TLS」と読み替える）
• TLSでの通信の2つの部分：
  • ハンドシェイクと、データの伝送（暗号化通信）

① ハンドシェイク

• ハンドシェイク：
  • サーバを認証して、暗号化鍵を作るためのステップ
  • ここでTLSの通信路を作り、その通信路を使って暗号化通信をする

TLSハンドシェイクの流れ

1. クライアントHello：
   • クライアントが、使える暗号化アルゴリズムとプロトコルバージョンのリストを送る
2. サーバHello：
   • サーバが、使うと決めた暗号化アルゴリズムとプロトコルバージョンと、サーバ証明書（デジタル証明書）を送る
3. サーバ証明書の検証：
   • クライアントは、サーバ証明書の正当性を、認証局の公開鍵を使って検証する
4. 鍵生成用データを送る：
   • クライアントは、鍵生成用のデータを作り、サーバ証明書に付いたサーバの公開鍵で暗号化して送る
5. 鍵を作る：
   • サーバは、自分の秘密鍵で鍵生成用データを復号する
   • クライアントとサーバが、それぞれ鍵生成用データから暗号化鍵を作る（同じものができる）
6. 暗号化通信：
   • できた暗号化鍵（共通鍵）で、暗号化通信をする

• TLSハンドシェイクの目的（★）：
  • サーバを認証する
  • 利用する暗号アルゴリズムとプロトコルバージョンを決める
  • 暗号化鍵を作り、共有する
• TLSの安全性の強さ：
  • どの暗号アルゴリズムとプロトコルバージョンを選んだかに大きく左右される
• TLSとハイブリッド暗号方式：
  • 鍵の材料を公開鍵暗号で渡し、本文は共通鍵暗号で暗号化するので、ハイブリッド暗号方式になっている
• ハンドシェイクの例え：
  • 初めての取引先との打合せ。まず名刺（サーバ証明書）を出してもらい、会社に確かめ（認証局で検証）、使う言葉（暗号アルゴリズム）を決め、2人だけの合言葉（暗号化鍵）を決めてから、本題に入る
• 注意（新しい情報）：
  • 上の流れは、鍵生成用データをサーバの公開鍵で暗号化して送る、TLS 1.2までの方式（RSA鍵交換）
  • 最新のTLS 1.3では、この方式は廃止され、クライアントとサーバがDiffie-Hellman型の鍵交換（ECDHEなど）で、お互いの材料から同じ鍵を作る。サーバの秘密鍵は、鍵を渡すためではなく、本物のサーバであることの証明（署名）に使う
  • また、TLS 1.0と1.1は2021年に正式に非推奨になった（SSLはすでに使うべきではない）
  • 試験では、上の流れ（サーバの公開鍵で鍵生成用データを送る）で問われることが多い

② データの伝送（暗号化通信）

• データ伝送のポイント：
  • 送信データにMACと呼ばれる認証符号を付け、送信データとMACを暗号化して送る
• MAC（Message Authentication Code：メッセージ認証符号）：
  • 送信データから計算する
  • 計算元のデータが違えば、MACも違うという性質がある
  • だから、MACを付けることで、データ改ざんの有無を確かめられる
• 暗号化とMACの組合せ：
  • 送信データとMACを暗号化することで、盗聴対策＋改ざん対策ができる
• MACで改ざんを見つける場面：
  • 攻撃者が中間者攻撃などで通信に割り込み、鍵などを盗んでいる場合、データ改ざんのリスクがある
  • MACを付ければ、改ざんの検出、つまり攻撃者による攻撃の有無を確かめられる
• MACの例え：
  • 小包に付ける封印シール。中身が書き換えられていれば、シールの番号と中身が合わなくなる
• ひっかけ注意：
  • ここでのMACは「メッセージ認証符号」。LANのMACアドレス（Media Access Control）とは別のもの

③ サーバ認証とクライアント認証

• サーバ認証：
  • TLSでは、必須
• クライアント認証：
  • TLSでは、オプション
  • 必要があれば、サーバがクライアントを認証することもできる
  • その場合、サーバは、サーバ証明書を送るときに、クライアント証明書の提示要請を行う
• クライアント証明書の保存場所：
  • クライアント証明書（個人認証用のデジタル証明書）は、ICカードやUSBトークンなどに入れられる
  • だから、置き場所を特定のPCに限定する必要はない

サーバ証明書の種類

証明書	何を確認して発行するか	長所・短所
DV証明書（ドメイン認証型）	ドメインの真正性、使用権が確認できれば発行される	オンライン申請で短時間に、低コストで発行でき、取得が最も簡単。でも、本当にそのドメインと企業が一致しているかはわからない
OV証明書（企業認証型）	ドメインの真正性、使用権に加えて、その組織の法的実在性を確認する	信用調査機関やその会社への電話確認を経て発行するので、手続が面倒
EV証明書（EV SSL証明書）	最も厳格な確認プロセスを経て発行される。CAブラウザフォーラムのEVガイドラインが確認基準	HTTPSでアクセスしたとき、アドレスバーの左の鍵マークをクリックして出る「証明書の簡易ビューア」で、サイト運営団体の組織名が確認できる

• DV・OV・EVの覚え方：
  • Domain（ドメインだけ）→ Organization（組織も）→ Extended Validation（さらに厳しく）
  • 例えば、DVは「この住所に郵便が届く」ことだけ確認、OVは「この会社が登記されている」ことも確認、EVは「会社の実在や担当者まで念入りに」確認

ネットワークセキュリティ：関所、見張り番、専用のトンネル（★）

① ファイアウォール

• ファイアウォール：
  • インターネットなどのリモートネットワークと、社内LANなどのローカルネットワークの境界線に置き、不正なデータの通過を阻止するもの
  • 例えば、お城の門番。決まりに従って、通してよい人だけを通す
• フィルタリングルール：
  • ファイアウォールが、パケットの通過／不通過を決めるための一定の規則
• DMZ：
  • ファイアウォールの内側と外側という2つのエリアに対して追加される、第3のエリア
  • 公開サーバなど、外部からアクセスされる可能性がある情報資源を置く
  • 例えば、家の玄関先の宅配ボックス。外の人も使えるが、家の中には入れない
• 構成例：
  • DMZには、外部向けのDNSサーバ、メールサーバ、Webサーバを置く
  • ローカルネットワークには、内部向けのDNSサーバ、メールサーバ、プロキシサーバと、内部のPCを置く

方式	何を検査するか
パケットフィルタリング型	パケットのIPアドレスやポート番号を検査する
アプリケーションゲートウェイ型	アプリケーション層の内容まで検査する

• アプリケーションゲートウェイ型：
  • アプリケーションプロトコルレベルのフィルタリングを行うファイアウォール
  • 使うアプリケーションによって、HTTP向け、SMTP向けなど、いろいろなバリエーションがある

パケットフィルタリング型の2つの分類

分類	検査のやり方
スタティックパケットフィルタリング	事前に定めたフィルタリングルールに従って検査する
ダイナミックパケットフィルタリング	固定的なルールではなく、通信の文脈（前後のパケットや、上下のプロトコルとの整合性）など流動的な情報で検査する

• ステートフルインスペクション機能：
  • ダイナミックパケットフィルタリングでできる制御
  • 例えば、内部→外部への通信と、その応答を照合し、パケットの順番を管理するTCPヘッダのシーケンス番号の妥当性を確かめるなどして、正常と判断された通信だけ通過を許可する
  • 例えば、「こちらから注文した荷物の配達」だけを受け取り、注文していない荷物は受け取らない

フィルタリングの例

• パケットの例：
  • 送信元アドレス192.168.10.5、送信先アドレス192.168.20.8、プロトコルTCP、送信元ポート50000、送信先ポート80

番号	送信元アドレス	送信先アドレス	プロトコル	送信元ポート	送信先ポート	アクション
1	192.168.10.5	＊	＊	＊	＊	通過禁止
2	＊	192.168.20.＊	TCP	＊	80	通過許可
3	＊	192.168.30.＊	TCP	＊	443	通過許可
4	＊	＊	＊	＊	＊	通過禁止

• ルールの読み方：
  • 処理は番号順に行う
  • 1つのルールが適合したら、残りのルールは無効になる
  • 「＊」は、任意のパターンを表す
• 答え：
  • このパケットは、ルール1、ルール2、ルール4の3つに当てはまる
  • でも、番号順に処理し、最初に当てはまったルールで決まるので、ルール1で通過禁止になる
• ルール4：
  • 「原則拒否の方針」
  • 通過させるもの以外はすべて禁止にすることで、ルール設定の漏れを防ぐ
• 例題（フィルタリング）：
  • 上のルールで、次のパケットは通過できるか
  • ①送信元192.168.10.7、送信先192.168.30.2、TCP、送信元ポート50001、送信先ポート443
  • ②送信元192.168.10.7、送信先192.168.20.8、UDP、送信元ポート50001、送信先ポート53
• 例題の答え：
  • ①ルール1は送信元が違うので×。ルール2は送信先が192.168.20.＊ではないので×。ルール3は送信先が192.168.30.＊、TCP、ポート443なので○ → 通過許可
  • ②ルール1は送信元が違うので×。ルール2とルール3は、プロトコルがTCPではない（ポートも80や443ではない）ので×。ルール4に当てはまる → 通過禁止
• 解き方のコツ：
  • 上から順に1つずつ照らし、最初に当てはまったルールで決める。下のルールは見なくてよい

② プロキシサーバとリバースプロキシサーバ

• プロキシサーバ：
  • アプリケーションゲートウェイ型ファイアウォールのうち、特にHTTPを扱うもの
  • プロキシ（proxy）は「代理」という意味
  • クライアントから、インターネット上のWebサーバへのアクセス要求を中継する
  • フォワードプロキシともいう
• キャッシュ機能：
  • Webページにアクセスしたとき、内容をキャッシュしておく
  • 次に同じWebページへの要求があったら、インターネットに問い合わせずに、キャッシュの内容を返す
  • ただし、キャッシュできるのは、内容が変わらない静的なコンテンツだけ
• セキュリティの向上：
  • プロキシサーバでリクエストを中継することで、セキュリティの向上も図れる
• リバースプロキシサーバ：
  • インターネットからのアクセスを、Webサーバに中継するもの
• リバースプロキシの使い方：
  • DMZに置いていたWebサーバを、インターネットから直接アクセスできない内部のLANに移す
  • リバースプロキシサーバを、そのWebサーバの代理としてDMZに置く
  • これで、外部からWebサーバへの直接アクセスを防げる
• フォワードとリバースの例え：
  • フォワードプロキシは、社員の代わりに外へ買い物に行く「お使い係」（内 → 外）
  • リバースプロキシは、外からの来客を代わりに受ける「受付係」（外 → 内）

③ WAF

• WAF（Web Application Firewall）：
  • Webアプリケーションのやりとりを監視し、アプリケーションレベルの不正なアクセスを阻止するファイアウォール
  • Webブラウザからの通信内容を検査し、不正と見なされたアクセス（SQLインジェクションなどの攻撃）を遮断する
  • 例えば、店の入口で、客の話す内容まで聞いて、怪しい注文を断る店員

方式	リストの中身	やり方
ホワイトリスト方式	「怪しくない（正常な）通信パターン」の一覧	原則として遮断し、ホワイトリストと一致した通信だけ通す
ブラックリスト方式	「怪しい（不正な）通信パターン」の一覧	原則として許可し、ブラックリストと一致した通信は遮断するか、無害化する

• ホワイトとブラックの例え：
  • ホワイトリストは、招待客名簿に載っている人だけ入れるパーティ
  • ブラックリストは、出入り禁止の名簿に載っている人だけ断るお店

TLSアクセラレータとWAF（★設置位置が問われる）

• TLSアクセラレータ：
  • PCとWebサーバの間でHTTPS（HTTP over TLS）などの暗号化通信をすると、暗号化と復号の処理がWebサーバの大きな負担になる
  • そこで、暗号化と復号の処理を肩代わりさせる装置がTLSアクセラレータ
  • Webサーバの負担を軽くし、Webサーバは本来の処理に専念できる
• TLSアクセラレータの仕事：
  • HTTPSのリクエストをHTTPに変換する
  • HTTPの応答をHTTPSに変換する
• 試験での出方（試験）：
  • TLS通信の暗号化と復号の機能（TLSアクセラレーション機能）を持たないWAFの設置位置が問われる
• WAFの設置位置：
  • TLSアクセラレータとWebサーバの間に置く
  • 並びは、インターネット → ファイアウォール → TLSアクセラレータ → WAF → Webサーバ
• その位置になる理由：
  • WAFは通信の中身を検査するので、暗号を解いた後（HTTPの状態）でないと検査できない
  • 例えば、手紙の中身を検査する係は、封筒を開ける係の後ろに立つ

④ セキュリティ対策製品

• IDS（Intrusion Detection System：侵入検知システム）：
  • システムへの侵入／侵害を検出・通知する
  • IDSなど、物理的侵入に対する対策製品には、次のものがある

製品	中身
NIDS	ネットワーク型IDS。管理下のネットワークを監視し、不正なパケットが通ったり、通信量（トラフィック）が普段と違う異常値を示したりしたら、検知して通知する
HIDS	ホスト型IDS。ホストにインストールして、そのホストだけを監視する。パケットの分析だけでなく、シグネチャとのパターンマッチングを失敗させるためのパケットが挿入された攻撃でも検知できる
IPS	侵入防止システム（Intrusion Prevention System）。不正パケットの検出だけでなく、検出したら通信を遮断するなどの対処もする
UTM	Unified Threat Managementの略。ファイアウォール機能を持ち、マルウェア対策や侵入検知などの複数のセキュリティ機能を連携させ、統合的に管理する、ネットワーク監視型のセキュリティ対策機器
EDR	Endpoint Detection and Responseの略。PCやサーバなど、通信の出入り口となるエンドポイント上の不審な挙動を監視し、迅速な初動対処につなげるソフトウェアの総称。製品によって機能は違う
ハニーポット	ダミーとして使うサーバやネットワーク機器の総称。攻撃のログをとって、攻撃元の特定や対策に使う

• SIEM（Security Information and Event Management）：
  • ファイアウォール、IDS、IPSなどのネットワーク機器や、Webサーバ、メールサーバなどのいろいろなサーバのログデータを一元的に管理し、分析して、セキュリティ上の脅威となる事象を発見し、通知するセキュリティシステム
• IDSとIPSの例え：
  • IDSは、防犯カメラと警報ベル（見つけて知らせる）
  • IPSは、警備員（見つけたら取り押さえる）
• ハニーポットの例え：
  • わざと置いたおとりの金庫。泥棒の手口を観察する
• UTMの例え：
  • 門番、警報ベル、持ち物検査を1台にまとめた万能の警備員

不正検知方法

方式	やり方	得意なこと
シグネチャ方式	シグネチャ（データベース化された既知の攻撃パターン）と通信パケットをパターンマッチングして、不正なパケットを見つける	既知の攻撃
アノマリー方式	正常なパターンを定義し、それに反するものをすべて異常と見なす	未知の攻撃、新種の攻撃も検出できる

• どちらの方式でも起こる問題：
  • どちらも完璧ではない
• フォールスポジティブ（False Positive）：
  • 誤検知。正常なものを不正だと誤認識してしまう
• フォールスネガティブ（False Negative）：
  • 検知漏れ。不正なものを正常だと判断してしまう
• ポジティブ・ネガティブの覚え方：
  • 「ポジティブ（陽性）＝不正と判定した」「ネガティブ（陰性）＝正常と判定した」。それが外れている（False）
  • 例えば、火災報知器が料理の湯気で鳴るのがフォールスポジティブ、本当の火事で鳴らないのがフォールスネガティブ

⑤ VPN

• VPN（Virtual Private Network）：
  • インターネットなどの共有回線を、専用線のように使う技術
  • 認証技術や暗号化技術を使って、アクセスを許可されたユーザ以外は通信内容にアクセスできないようにしている
  • 通信内容が暗号化されているので、通信経路にインターネットを使っても、途中で傍受されたパケットを解読できない
  • 例えば、人通りの多い道（インターネット）の中に、自分専用の見えないトンネルを掘る
• VPNの種類：
  • インターネット網を使うインターネットVPN
  • 通信事業者の広域IP網を使うIP-VPN など
• MPLS：
  • ラベルと呼ばれる識別子を入れることで、IPアドレスに依存しないルーティングを実現する、ラベルスイッチング方式のパケット転送技術
  • IP-VPNで使われる

VPNを実装するための2つのモード

モード	誰が暗号化するか	何を暗号化するか	特徴
トランスポートモード	通信する端末が直接暗号化する	ペイロード（パケットのヘッダ部分を除いたデータ）だけ	通信経路のすべてで暗号化された通信がやりとりされる。でも、IPアドレスは暗号化されないので、宛先の盗聴が可能
トンネルモード	拠点に置いたVPNゲートウェイが暗号化する	IPパケットごと暗号化（カプセル化）	送信側ゲートウェイで、IPsecでIPパケットを暗号化し、受信側ゲートウェイ宛のIPヘッダを新しく付けて送る（トンネリング）。受信側ゲートウェイで復号し、真の宛先に送る

• 2つのモードの例え：
  • トランスポートモードは、手紙の中身だけを暗号にして、封筒の宛名はそのまま見える状態で送る
  • トンネルモードは、宛名ごと手紙を大きな封筒に入れ、外側には「相手の会社の受付（ゲートウェイ）」の宛名だけを書いて送る

VPNを実現するプロトコル

• IPsec（IP Security）：
  • VPNを作るときに使う、ネットワーク層のセキュリティプロトコル
  • IPレベル（ネットワーク層）で、暗号化、認証、改ざんの検出を行う
• IPsecのヘッダ：
  • IPsecで通信するときは、通常のIPでは使わないパラメータをいろいろ交換する
  • この情報はIPヘッダに入りきらないので、IPsec用の情報を入れるフィールドが別に用意される
• AH（Authentication Header：認証ヘッダ）：
  • 認証だけを行う場合に使う
• ESP（Encapsulating Security Payload：暗号ペイロード）：
  • 認証と暗号化を行う場合に使う
• AHとESPの覚え方：
  • AHの「A」はAuthentication（認証だけ）
  • ESPの「E」はEncapsulating（包んで暗号化もする）
• IKE（Internet Key Exchange）フェーズ：
  • IPsecでは、通信を始める前に、暗号化方式の決定と鍵交換を行う。これを行うフェーズ
• IPsecフェーズ：
  • IKEフェーズが終わるとスタートし、伝送データを暗号化して送る
• その他のVPN実現プロトコル：
  • PPTPは、Point to Point Tunneling Protocolの略。PPPを拡張したトンネリングプロトコル。データリンク層で暗号化や認証を行う
  • L2TPは、データリンク層（L2）で動くトンネリングプロトコル。暗号化機能がないので、暗号化するにはIPsecを併用する
  • SSL-VPNは、VPNを作るプロトコルとしてSSL/TLSを使う

混同しやすいペア

• ハンドシェイク ／ データの伝送
  • ハンドシェイクは、サーバ認証、暗号アルゴリズムとバージョンの決定、暗号化鍵の作成と共有をする
  • データの伝送は、送信データにMACを付け、データとMACを暗号化して送る
• クライアントHello ／ サーバHello
  • クライアントHelloは、使える暗号化アルゴリズムとプロトコルバージョンのリストを送る
  • サーバHelloは、使うと決めたものと、サーバ証明書を送る
• サーバ認証 ／ クライアント認証（TLS）
  • サーバ認証は、必須
  • クライアント認証は、オプション。サーバがクライアント証明書の提示を要請する
• MAC（メッセージ認証符号） ／ MACアドレス
  • メッセージ認証符号は、改ざんを見つけるための値
  • MACアドレスは、LANの機器を識別する番号
• DV証明書 ／ OV証明書 ／ EV証明書
  • DV証明書は、ドメインの使用権だけを確認する。最も簡単に取れる
  • OV証明書は、組織の法的実在性も確認する
  • EV証明書は、最も厳格に確認する。鍵マークから組織名が確認できる
• パケットフィルタリング型 ／ アプリケーションゲートウェイ型
  • パケットフィルタリング型は、IPアドレスやポート番号を検査する
  • アプリケーションゲートウェイ型は、アプリケーション層の内容まで検査する
• スタティックパケットフィルタリング ／ ダイナミックパケットフィルタリング
  • スタティックは、事前に定めた固定のルールで検査する
  • ダイナミックは、通信の文脈など流動的な情報で検査する（ステートフルインスペクション）
• DMZ ／ ローカルネットワーク
  • DMZは、外部からアクセスされる公開サーバ（外部向けDNS、メール、Web）を置く第3のエリア
  • ローカルネットワークは、内部向けのサーバや社員のPCを置く
• プロキシサーバ（フォワードプロキシ） ／ リバースプロキシサーバ
  • プロキシサーバは、クライアントからインターネットのWebサーバへのアクセスを中継する（内 → 外）
  • リバースプロキシサーバは、インターネットからのアクセスをWebサーバに中継する（外 → 内）
• ファイアウォール ／ WAF
  • ファイアウォールは、ネットワークの境界で、主にIPアドレスやポート番号で通過を決める
  • WAFは、Webアプリケーションの通信内容を見て、SQLインジェクションなどを止める
• ホワイトリスト方式 ／ ブラックリスト方式
  • ホワイトリスト方式は、原則遮断し、正常なパターンと一致したものだけ通す
  • ブラックリスト方式は、原則許可し、不正なパターンと一致したものを遮断・無害化する
• TLSアクセラレータ ／ WAF
  • TLSアクセラレータは、暗号化と復号を肩代わりする（HTTPS ⇔ HTTP）
  • WAFは、中身を検査するので、TLSアクセラレータの後ろ（Webサーバ側）に置く
• NIDS ／ HIDS
  • NIDSは、ネットワーク型。ネットワークを監視する
  • HIDSは、ホスト型。インストールしたホストだけを監視する
• IDS ／ IPS
  • IDSは、検知して通知する
  • IPSは、検知して通信を遮断する
• UTM ／ SIEM
  • UTMは、ファイアウォールなど複数のセキュリティ機能を1台にまとめた機器
  • SIEMは、いろいろな機器やサーバのログを一元管理し、分析して脅威を見つけるシステム
• EDR ／ IDS
  • EDRは、エンドポイント（PCやサーバ）上の不審な挙動を監視し、初動対処につなげる
  • IDSは、ネットワークやホストへの侵入を検知する
• シグネチャ方式 ／ アノマリー方式
  • シグネチャ方式は、既知の攻撃パターンと照合する。未知の攻撃は苦手
  • アノマリー方式は、正常なパターンから外れたものを異常とする。未知の攻撃も検出できる
• フォールスポジティブ ／ フォールスネガティブ
  • フォールスポジティブは、誤検知（正常を不正と判断）
  • フォールスネガティブは、検知漏れ（不正を正常と判断）
• インターネットVPN ／ IP-VPN
  • インターネットVPNは、インターネット網を使う
  • IP-VPNは、通信事業者の広域IP網を使う（MPLSを使う）
• トランスポートモード ／ トンネルモード
  • トランスポートモードは、端末が暗号化する。ペイロードだけで、IPアドレスは見える
  • トンネルモードは、ゲートウェイが暗号化する。IPパケットごとカプセル化して、新しいIPヘッダを付ける
• AH ／ ESP
  • AHは、認証だけ
  • ESPは、認証と暗号化
• IKEフェーズ ／ IPsecフェーズ
  • IKEフェーズは、暗号化方式の決定と鍵交換をする
  • IPsecフェーズは、データを暗号化して送る
• PPTP ／ L2TP ／ SSL-VPN
  • PPTPは、PPPを拡張したトンネリングプロトコル。データリンク層で暗号化や認証をする
  • L2TPは、データリンク層のトンネリングプロトコル。暗号化機能がないのでIPsecと組み合わせる
  • SSL-VPNは、SSL/TLSを使うVPN
• IPsec ／ TLS
  • IPsecは、ネットワーク層で暗号化する
  • TLSは、トランスポート層の上（アプリケーション層のプロトコルの下）で暗号化する

---

← 08 セキュリティの目次に戻る