セキュリティ監査概論［後編］

事例にみるセキュリティ監査のポイント

矢崎　誠二
インターネット セキュリティ システムズ株式会社
プロフェッショナルサービス部　マネージャー
（シニアセキュリティコンサルタント）
2005/4/19

---

　前編ではセキュリティ監査を概論という形で紹介した。今回はセキュリティ監査の注意点や、技術的なポイントについて解説することにする。また、過去の事例も交えながら、セキュリティ監査の重要性をご理解いただければと思う。

セキュリティ監査の3つのポイント

　セキュリティ監査の目的や対象、あるいはサービス内容が確定したら、実際の監査について以下の3つのポイントを考慮すべきである。

●脆弱性の検出手段

　脆弱性の検出手段は、セキュリティ監査サービスを提供しているコンサルティング会社やITベンダによってさまざまな方法が存在し、確立されている。また、その手法や診断にかかる工数によっては、料金が左右されるともいえよう。最低限、以下の内容について確認する必要がある。

• 使用する脆弱性検査ツールは何か
• 手動（診断者のノウハウ）による検査項目はどれくらい存在するか
• 攻撃コードを実際に使用するか

　最近ではセキュリティ監査に使用される診断ツールが充実している。それ故、ネットワークやセキュリティに関してある程度のスキルを保有する人であれば、診断ツールを使用し、誰でも簡単にセキュリティ監査が行える。

　ここで注意しなければならないことは、ツールにのみ依存するセキュリティ監査によるカスタマーメリットは何であるかを考える必要がある。ツールはあくまで、脆弱性の表皮に触れる最適な手法といえるが、細部や奥深くに至る調査は、人的判断や操作がどうしても必要だからである。最終的にはツールだけでは、監査対象システムが脆弱であるかどうかの判断がつきにくい場合が存在することも事実である。

●監査結果の確証性

　一般的に、監査結果として各サーバやネットワーク機器に対する脆弱性の評価がつけられる。“高”、“中”、“低”という形で脆弱性の危険度を表すとしよう。なぜ危険度が“高”であるのか、“中”であるのか、ツールにより危険度“高”という結果が出た場合、本当にその脆弱性が存在しているのか、ツールによる誤検知ではないのかをはっきりさせる必要がある。

　セキュリティ監査を依頼する側は、結果や事実を認知し社内に対して監査結果を説明する必要があるため、あいまいな回答をもらうより明確な報告を求めるのは当然のことである。よって、セキュリティ監査サービス提供者は実績や経験を踏まえてセキュリティ監査を実施した際は正確な報告を行わなければならない。簡素化されたサービスメニューによっては、はっきりとした結果を述べられない場合も存在するが、その場合においても依頼者側に確認方法を伝える義務があるはずである。

●セキュリティ監査に伴うリスク

　セキュリティ監査では、ツールや手動操作により、ネットワークを経由して疑似的な攻撃を試みる。これらのトラフィックは通常のネットワーク使用においては発生しない通信であり、異常な通信ともいえる。

　バッファオーバーフローのコードやDoS攻撃による調査を実施する際には、当然ながらサーバ側へ直接影響を与えるため、サービス停止や遅延といった影響が必然的に発生する。このため、これらの調査は、運用中のシステムに対しては計画停止時間帯での実施、アクティブ・スタンバイ系のシステムであれば、スタンバイ系のシステムに実施して、後日切り替えてからもう一方のシステムに実施する。そのほか、トラフィックの少ない夜間帯、システムによっては休日時間帯の利用なども考えられる。このため、前回でも述べているが、システムのカットオーバー前にセキュリティ監査を実施することが理想なのである。

　バッファオーバーフローコードやDoS攻撃を使った調査をしない場合、システム稼働中に監査を実施するケースもある。しかし、数世代前のシステムについては、事前調査段階であるポートスキャンや、バナーチェックなどでサービスがダウンするケースも存在した。

　理解していただきたいのは、そもそも疑似パケットを流す調査を実施するため、稼働システムに100％影響がないとはいい切れないのである。実施の際は十分注意、計画して調査を実施することを推奨する。

セキュリティ監査の評価基準

　監査という名目上というわけでもないが、セキュリティ監査の結果を評価するという大きな目的がある。評価は大きく2つに分けられる。システム全体としての総合評価と個々の問題に対する脆弱性評価である。

　総合評価では、総合的な概要やリスクについて述べられるべきである。個々の脆弱性については触れず、結果として「内部に侵入できたため、個人情報の流出の可能性大」であるとか、「サーバへのDoS攻撃が有効なためサービス停止の可能性大」といった趣向での報告が必要である。

　一方、脆弱性評価は個々の脆弱性について記載し、どのような脆弱性であるか、どのような影響を受けるか、どのような対処方法を実施すれば改修できるかについて触れる必要があるだろう。

●総合評価

　通信簿と同じような形で5段階評価、10段階評価と、セキュリティ監査を実施するコンサルティング会社によってさまざまである。格付け団体による格付け評価として公表すべき情報ではないので、各社が独自で算定している基準である。

　被監査対象システムをAとかBとかいう結果で評価し報告するが、好ましくない結果が出た場合においては、お客さまは当然困惑する。このため、サービス提供者は十分に注意して結果を評価するが、監査をする以上、事実を述べる義務がある。

●脆弱性評価

　前述したように、“高”、“中”、“低”という形でツールが結果を表すため、ほぼ一般的にこの3段階にて評価されている。また、“低”の下に“情報”というレベルをつけた4段階評価も考えられる。危険性はないがこのような情報が取得できたという場合に、補足情報を追記することも貴重な情報となる場合があるからである。

　総合評価と同じく、ここでも評価の基準が重要になる。これは危険度の定義という意味においてである。どのような状態になると危険度“高”と評価されるのか、“中”と評価されるのか。「なぜこれが危険度“高”なのですか？」という疑問が当然質問されるわけである。反対に、「それは危険度“高”じゃないよ！」というご指摘を受けることも多々ある。このため明確な判断基準を設け、セキュリティ監査は実施されている。

　セキュリティ業界が提示する各脆弱性に対する危険度の評価、製品ベンダが公表する脆弱性とその危険度レベル、セキュリティ監査を行う会社が保有する脆弱性判断基準に加え、お客さまの環境に合わせた判断基準を複合した形で評価されることが、お客さまにとって最適な評価基準といえるのではないだろうか。

1/3

Index
事例にみるセキュリティ監査のポイント
	Page1 セキュリティ監査の3つのポイント 　-脆弱性の検出手段 　-監査結果の確証性 　-セキュリティ監査に伴うリスク セキュリティ監査の評価基準 　-総合評価 　-脆弱性評価
	Page2 セキュリティ診断事例の紹介 　-上級職社員のPCに対する疑似アタック 　-内部サーバ全域に対する疑似アタック 　-DMZシステムおよび内部システムに対するペネトレーション 　-インシデント対応に関する抜き打ちチェック
	Page3 脆弱性への対応 セキュリティ監査の定期化 　-セキュリティレベル向上 　-セキュリティ監査のサイクル

関連リンク
	セキュリティ監査の目的と必要性
	個人情報保護法に備える4つの課題
	情報漏えいに備えるセキュリティ投資の目安
	個人情報保護法（セキュリティ用語事典）

Security&Trust記事一覧

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）