ネットワークセキュリティ(FW・IDS/IPS・プロキシ・メールセキュリティ)

ファイアウォールは、ネットワーク境界において通信の可否をポリシーに基づき制御する装置である。方式は大別して三つあり、IPアドレスやポート番号などヘッダ情報のみで判定するパケットフィルタリング型、コネクションの状態(ステート)を保持し戻りパケットの整合性まで検査するステートフルインスペクション型、アプリケーション層まで解析して代理中継するアプリケーションゲートウェイ型(プロキシ型)である。支援士試験の午前Ⅱでは、ステートフルインスペクションの動作原理と、通信の状態に応じて動的にフィルタリングルールを生成する動的パケットフィルタリングの関係が繰り返し問われている。設計面では、公開サーバを内部ネットワークから分離するDMZ(非武装地帯)の構成が定番論点であり、公開Webサーバ・外部DNSサーバ・メール中継サーバはDMZに置き、データベースサーバなど機密資産は内部セグメントに置いて多段防御とするのが原則である。

IDS(侵入検知システム)は攻撃を検知して管理者へ通知する装置であり、IPS(侵入防止システム)は検知に加えて通信の遮断までを行う。監視対象による分類ではネットワーク型(NIDS)とホスト型(HIDS)があり、検知方式による分類では、既知の攻撃パターンと照合するシグネチャ型(不正検出、misuse detection)と、正常時のプロファイルからの逸脱を検知するアノマリ型(異常検出)がある。シグネチャ型は誤検知が少ない反面、シグネチャ未登録の未知攻撃やゼロデイ攻撃を検知できず、アノマリ型は未知攻撃に対応し得るが誤検知が多い。正常な通信を攻撃と誤判定することをフォールスポジティブ、攻撃を正常と誤判定して見逃すことをフォールスネガティブと呼び、両者の定義の区別は午前Ⅱの頻出である。IPSはインライン(直列)に設置されるため、誤検知時には正常な業務通信まで遮断するリスクがあり、導入時はまず検知モードで運用してチューニングする実務上の配慮も問われる。

プロキシサーバはクライアントに代わって通信を中継する。内部から外部への通信を集約するフォワードプロキシは、URLフィルタリングやマルウェア検査、利用者認証(認証プロキシ)による監査証跡の確保に用いられ、内部端末を直接インターネットに接続させないことで、マルウェアがC&Cサーバと直接通信することを抑止する多層防御の一要素として機能する。プロキシの利用者認証に対応できないマルウェアの外部通信を遮断できるという論点は午後問題でも出題実績がある。一方、外部からのアクセスを受け付けて内部のWebサーバへ中継するリバースプロキシは、負荷分散、TLS終端、WAF機能の実装点として使われる。HTTPSの中継にはHTTPのCONNECTメソッドが用いられるが、任意ポートへのトンネリングに悪用される危険があるため、接続先を443番ポート等に限定する設定が推奨される。

メールセキュリティの中心は送信ドメイン認証である。SPF(RFC 7208)は、送信側ドメインの管理者がDNSにSPFレコード(TXTレコード)として正当な送信元IPアドレスを公開し、受信側がエンベロープFROM(MAIL FROMのドメイン)を基に送信元IPアドレスを照合する方式で、メール転送時に認証が失敗しやすい弱点がある。DKIM(RFC 6376)は、送信側がメールにデジタル署名を付与し、受信側が送信側DNSで公開された公開鍵で検証する方式で、本文やヘッダの改ざん検知も可能である。DMARC(RFC 7489)は、SPF・DKIMの検証結果とヘッダFROMのドメインの整合(アライメント)を確認し、認証失敗時の取扱いポリシー(none/quarantine/reject)を送信ドメイン管理者がDNSで宣言し、受信側から集約レポートを受け取れる枠組みである。三方式がそれぞれ何を検証するのか、どのFROMを対象とするのかの違いは午前Ⅱ最頻出論点の一つである。

迷惑メール・なりすまし送信対策としては、ISPが自網の動的IPアドレスを割り当てた端末から外部ネットワークのTCP25番ポート宛て通信を遮断するOP25B(Outbound Port 25 Blocking)が広く実施されており、正規の利用者はサブミッションポート(587番)とSMTP-AUTHによる利用者認証を経由してメールを送信する。経路上の盗聴対策にはSTARTTLS(RFC 3207)によるSMTP通信のTLS化があるが、これは隣接するメールサーバ間の区間暗号化にとどまるため、送信者から受信者までのエンドツーエンドの機密性・完全性・送信者認証を実現するにはS/MIMEやPGPを用いる。S/MIMEは認証局(CA)が発行する証明書を利用してメールの暗号化とデジタル署名を行う。午前Ⅱでは、OP25Bの遮断対象、587番ポートの用途、STARTTLSとS/MIMEの保護範囲の違いが繰り返し問われている。

境界防御を補完する装置として、WAF(Web Application Firewall)はHTTP/HTTPS通信の内容を検査し、SQLインジェクションやクロスサイトスクリプティングなどWebアプリケーション層への攻撃を防御する。ネットワーク層・トランスポート層中心のファイアウォールや、通信全般をシグネチャで監視するIDS/IPSとの守備範囲の違いは定番の比較問題である。WAFの検査にはブラックリスト方式とホワイトリスト方式があり、遮断失敗時に通信を通すか止めるかのFail Open/Fail Closedの設計判断にも出題実績がある。また、FW・VPN・アンチウイルス・IPS等を単一筐体に統合したUTM(統合脅威管理)は中小規模組織で採用されるが、単一障害点となるリスクと運用簡素化のトレードオフが論点となる。試験対策としては、各機器を「どの層の・どの攻撃を・どの位置で」防ぐのかという観点で整理し、DMZを含むネットワーク構成図上に正しく位置付けられるようにしておくことが得点に直結する。