セキュリティ監査概論[前編]

セキュリティ監査の必要性と目的

矢崎 誠二
インターネット セキュリティ システムズ株式会社
プロフェッショナルサービス部 マネージャー
(シニアセキュリティコンサルタント)
2005/3/9

 監査手法の選択

 ファイアウォールやIPSを導入することで一定のセキュリティレベルを保つことは重要ではあるが、脅威のソースがインターネットのみにあると限定することは今日のセキュリティ事情においては危ういという考え方が、ようやく普及し始めている。

 例えば、インターネットからの脅威に対して正しく保護されていても、社内のスタッフの誰かが無線LANのアクセスポイントを勝手に配置し、かつ匿名アクセスが可能であるような適切でないセキュリティ設定がされていると、第三者が複雑なスキルを用いずとも容易に社内へアクセスできてしまう。

 仮に脅威をインターネットに限定したとしよう。既知のセキュリティホールをすべて排除し、適切なセグメント構成になっていたとしても、Webサーバで独自に作り込んだCGIやPHP、Servletなどのサーバサイドプログラムに脆弱性があれば、Webサーバから顧客情報が漏えいすることも大いに考えられる。

 実際にこのような問題が世界各地で発生している。これらの理由からセキュリティ監査を行う場合は、上記に述べたことや以下に述べる手法も考慮して、監査手法を選択することを推奨する。

 ペネトレーション

 セキュリティ監査ではペネトレーションという手法が広く使われている。ペネトレーションとは、端的にいえば別のサイトから被攻撃対象サイトに対する疑似的な侵入を試みることである。インターネットからの攻撃に対する対策手法を見つけるために最も広く使われているセキュリティ監査手法である。

 当然のことながら、監査側は日々公開されるセキュリティホールの情報を蓄積している。それに伴う侵入手法や、攻撃コード、セキュリティデータベースとのアクセス連携を用いなければ、実現には至らない監査手法の1つである。

 ペネトレーションでは実際の攻撃者を想定し、被攻撃対象サイトのIPアドレス情報のみをベースに実施することが多い。限られた情報ソースから考えられる侵入手段、取得できるセキュリティ情報、侵入経路を用いてペネトレーションを試みる。

 ペネトレーションが成功(侵入に成功)した場合は、システムデータベースのアクセスや、重要ファイルの確認、アカウントチェック、パスワードチェックなどを行い、侵入されたシステムからさらにほかのシステムへの侵入が可能かどうかのチェックを繰り返す。これらをエビデンス(証拠)として残し、どのような情報が取得できたから侵入が成功したのか、どのような脅威が存在するのか、どのようなリスクが存在するのかを明確に報告する。

 ソーシャルエンジニアリング

 ソーシャルエンジニアリングといっても広くいろいろな監査手法が存在するが、ここでは2つの監査手法を紹介しよう。

 1つは電話による手法である。「XX部の部長の鈴木だが、パスワードを忘れたので、いま再発行してくれないか」、あるいは「パスワードを忘れたので、パスワードをsuzukiに変更してくれないか」といった偽の依頼を情報システム部門に対して行い、ログインできるかどうかをセキュリティ監査として実施する手法である。RASによるアカウント、Webの管理アカウントなどが主な監査対象となる診断に有効である。

 もう1つの手法は古くから行われている物理的な侵入である。セキュリティ監査チームは全くの第三者の侵入を想定して実施する。つまり、ビルに物理的に侵入しオフィス内の状況把握や、PCの盗難の可能性、重要情報の取得ができるかどうかを確認するものである。技術的な手法を一切使用することなく簡単に侵入ができる場合、対策も困難となる。

 これらは技術的手法とは全く要素が異なり、人的セキュリティ対策としてのセキュリティ監査となるため、リスクにつながる問題が発覚した場合には人的な対策が取られるケースが多く見られる。いずれにせよシステムによる重厚な遮断機能を設けることは、実働する社員やスタッフへの影響、サービス提供を受けるユーザーの使い勝手の悪化などが考えられる。セキュリティはユーザビリティとのトレードオフが常に行われるため、最終的な対策や判断は経営者判断に委ねられるところがある。

◆ ◇ ◆

 今回はセキュリティ監査の概要ということで、セキュリティ監査とは何なのか、セキュリティ監査によりどのような効果が得られるのか、どのような目的で実施すればよいのか、どのような手段があるのかという点を主眼に解説した。後編では一歩踏み込んだ形でのケーススタディや、応用方法を紹介する予定である。

3/3


Index
セキュリティ監査の必要性と目的
  Page1
セキュリティ監査とは何か
セキュリティ監査の必要性
セキュリティ監査の目的
  Page2
第三者機関の必要性
攻撃元のベクトルを確認
セキュリティ監査の5つのカテゴリ
Page3
監査手法の選択
ペネトレーション
ソーシャルエンジニアリング

関連リンク
  事例にみるセキュリティ監査のポイント
  個人情報保護法に備える4つの課題
  情報漏えいに備えるセキュリティ投資の目安
  個人情報保護法(セキュリティ用語事典)

Profile
矢崎 誠二(やざき せいじ)

インターネット セキュリティ システムズ株式会社
プロフェッショナルサービス部 マネージャー
(シニアセキュリティコンサルタント)

1999年6月インターネットセキュリティシステムズに入社。同社におけるコンサルティングサービス立ち上げ時から参与参画し、コンサルティングメニューの草案、メソドロジー構築に寄与し、コンサルティングサービスの基盤を確立した。


セキュリティ監査、IDS/IPSシステム構築、不正アクセスログ解析、インシデントアドバイザリなどにおけるプロジェクト責任者。コンサルティングフェーズから、設計、運用フェーズまでを幅広く手掛ける。顧客に某携帯通信キャリア、某官公庁、某通信キャリア、某IT企業などを受け持ち、日本における先端セキュリティシステムの構築と提供を続けている。

インターネット セキュリティ システムズ プロフェッショナルサービス:
http://www.isskk.co.jp/service/ProfessionalService.html

Security&Trust記事一覧


Security&Trust フォーラム 新着記事
@ITメールマガジン 新着情報やスタッフのコラムがメールで届きます(無料)

注目のテーマ

Security & Trust 記事ランキング

本日 月間