すべてわかるセキュリティ大全(2017) の商品レビュー

日経BP社

2020/11/03

その年に発生したインパクトの大きいインシデントに関するニュースがざっと概観できて良い（専門的な部分は別途調べる必要がある）。

2021/08/08

セキュリティのお勉強。

　PCやサーバーなどで使われるコンピュータOSでは、プログラムは必要最小限のデータやハードウェアリソースのみにアクセスできる「最小権限の原則」に従って、セキュリティを重視した設計がなされている。例えば、非特権ユーザーのようにプログラムごとに実行ユーザーを分離するといった設計手法がとられている。また、アンチウイルスソフトやファイアウォールソフトに代表される各種セキュリティソフトが提供されている。
　一方、IoT機器用OSでは、スマートフォンなどの一部を除けば、ハードウエアリソースの制約のため最小権限の原則が採用されておらず、すべてのプロセスが特権モードで稼働していることもある。さらに、セキュリティソフトの提供もほとんどない。この状況では、プログラムに一つでも脆弱性が見つかれば、そこを突かれてIoT機器へ侵入され、全ての権限が奪取されることになる。

　知られていない脆弱性がIoT機器に潜在する可能性があることを考えると、サイバー攻撃により莫大な損害を被ることや、人命に危害が及ぶ事態に陥ることも予想される。このためIoT機器がインターネットなどの外部から直接操作できる状況にあることは極めて危険である。その対策の１つとして「エアギャップ」と呼ばれる物理的な隔離手法がある。

　セキュアなリモートアクセスの構築方法
・SSL-VPN：一般的なSSL/TLSプロトコルを利用してセッション層で仮想通信路を構築するプロトコル。
・IPsec：１対１の通信をIPレベル(ネットワーク層)で暗号化するプロトコル。認証やデータ自体の暗号化、送信元と宛先の完全性の保証などから構成される。クライアントにIPsecのクライアントソフトをインストールする必要がある。
・VPNサービス利用：事業者のサービスを使って接続する。公衆網を使って事業者のアクセスポイントまでアクセスし、そのアクセスポイントで認証を行う。