SC：脆弱性 のバックアップ(No.13)

[ トップ ]   [ 新規 | 一覧 | 単語検索 | 最終更新 | ヘルプ ]

• バックアップ一覧
• 差分 を表示
• 現在との差分 を表示
• ソース を表示
• SC：脆弱性 へ行く。
  • 1 (2019-08-18 (日) 13:06:17)
  • 2 (2019-08-18 (日) 17:53:32)
  • 3 (2019-08-18 (日) 20:37:26)
  • 4 (2019-08-19 (月) 13:28:30)
  • 5 (2019-08-20 (火) 22:31:32)
  • 6 (2019-08-21 (水) 09:10:54)
  • 7 (2019-08-21 (水) 21:24:24)
  • 8 (2019-08-23 (金) 21:11:04)
  • 9 (2019-08-24 (土) 12:20:13)
  • 10 (2019-10-01 (火) 10:23:01)
  • 11 (2020-01-04 (土) 18:02:17)
  • 12 (2020-08-25 (火) 00:02:41)
  • 13 (2020-08-25 (火) 13:27:15)
  • 14 (2020-09-24 (木) 12:06:38)
  • 15 (2020-09-28 (月) 02:05:54)
  • 16 (2020-09-29 (火) 22:23:58)
  • 17 (2020-10-09 (金) 17:04:33)
  • 18 (2020-10-12 (月) 14:58:44)
  • 19 (2020-10-12 (月) 19:26:22)

---

「.NET 開発基盤部会 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。

• 戻る

目次 †

概要 †

用語 †

基礎 †

リスク (risk) †

• 目的に対する不確かさの影響で、好機と脅威がある。
• SCでは、好機ではなく、脆弱性に起因する脅威

※ PMP：リスク・マネジメント

脆弱性 (vulnerability) †

SCでの脆弱性は、

• 安全性上の弱点

• 英語では、
  • Vulnerability
  • 俗に、Security Hole

• ISO 27000では、
  一つ以上の脅威によって付け込まれる
  可能性のある情報資産または管理策(control)の弱点

• 区分
  • 設備
  • 技術
  • 管理

脅威 (threat) †

• 情報資産や組織に損害を与える可能性がある、
  脆弱性に起因する望ましくないインシデントの潜在的な原因

• 区分
  • 災害
  • 障害
  • 人的

管理策(control) †

• リスク (risk)（脅威）を修正する対策のこと
• しかし、同様に脆弱性を持っている可能性がある。
• コレを導き出すのがリスク・アセスメント

インシデント (incident) †

具現化した脅威、若しくは、その確率。

• 望まない単独若しくは一連の情報セキュリティ事象

• 又は予期しない単独若しくは一連の情報セキュリティ事象であって、
  事業運営を危うくする確率及び情報セキュリティを脅かす確率が高いもの。

情報資産 †

• 脅威に晒される主な対象。
• 脆弱性を持っている可能性がある。

脆弱性の †

種類と具体例 †

識別 / 評価 †

リスク (risk)的に捉え...。

情報資産、脅威との関係 †

情報資産の脆弱性に起因するリスク (risk)（脅威）の
顕在化 / 具現化がインシデント (incident) / 損失

詳細（技術的） †

ネットワーク †

脆弱性 †

「機密性、完全性」、「可用性」に分かれる。

• 機密性、完全性の侵害

• ネットワーク、サブネット
  • が分割されていない。
  • 間のアクセス制御が無い。

• 接続口の問題
  • リピータハブの利用（盗聴可能）
  • 必要以上に多いアクセス・ポイント
  • 誰でも接続可能なスイッチの放置

• 可用性の低下

• 処理性能
  • 機器の処理能力、負荷分散
  • ネットワーク帯域幅、負荷分散

• 冗長化
  • 機器
  • ネットワーク

• 制限
  • インターネット接続口の帯域制御
  • ネットワーク、サブネット分割
    （ブロードキャスト制限）

対策 †

マップが難しいが、

• ネットワーク、サブネット分割
  • アクセス制御（機密性、完全性）
  • ブロードキャスト制限（可用性）

• 接続口（機密性、完全性）
  • 無線LAN廃止
  • セキュリティ対策強化

• ハブの
  • スイッチ化（機密性、完全性、可用性）
  • 物理ポートのロック（機密性、完全性）

• インターネット接続口の集約
  • フィルタ（機密性、完全性）
  • 帯域制御等（可用性）

• 各種可用性の向上（可用性）
  • 冗長化
  • 負荷分散
  • 帯域制限
  • 帯域確保
  • キャパシティ・プランニング

TCP, UDP †

脆弱性 †

• 仕様が公開されている（RFC）。

• IPスプーフィングが可能
• 暗号化機能が標準で実装されていない（IPv4）。

• セッション層の仕様
  • DoS系に対する脆弱性がある。
  • ポイズニング系に対する脆弱性がある（特にUDP）。

対策 †

• IPスプーフィング対策として、逆引き＋遮断

• SSH / TLS (SSL) / IPsecなどの導入
  による暗号化（何れもVPNで利用される）

• 他の脆弱性については、TCP, UDPの
  セッション層の仕様の問題なので、
  上位プロトコル側での対応が必要になる。

電子メール †

SMTP脆弱性 †

オリジナルのSMTPが脆弱

• 非常に簡素な仕組み。
  • 実際にはMSAの機能は無く、
  • MTAは、MUA・MTAを区別しない。
  • すべて、25番ポートで処理する。

• 平文であり
  • 改竄が可能
  • 情報漏洩の可能性

• MTAに脆弱性がある可能性
  • アカウント漏洩（VRFY、EXPNコマンドの脆弱性）
  • バッファ・オーバーフローの脆弱性

• 認証の機構を持たないため、
  第三者中継（オープン・リレー）が可能で、
  スパマーの踏み台として機能し得る。
  • 様々なスパム・メールを送信する。
  • 結果として、ブラックリストに登録されてしまう。

POP3脆弱性 †

• メールが平文
• 認証のクレデンシャルが平文

対策 †

主に、スパムメール対策

• 送信時

• OP25B (Outbound Port 25 Blocking)
  

• ISPメールサーバを経由していないアウトバウンドTCP 25番ポートの通信を遮断する。

• 第三者中継（オープン・リレー）対策後の、ボットなどによる直接送信を防止する。

• ただし、以下の送信はOP25Bの影響を受けない。
  ・固定IPからの送信
  ・SMTP-AUTHで認証済ノードからの送信

• MUA

• Sender IDアカウントをSMTP AUTHで認証
  

• 受信時

• MTA
  各種、中継処理に対する制限（ホワイトリストやブラックリストを利用）
  • ブラックリストに含まれるMTAからの通信を遮断
  • ホワイトリストに含まれないMTAからの通信を遮断
  • 逆引きが出来ないMTAからの通信を遮断
  • 第三者中継（オープン・リレー）を許可しているMTAからの通信を遮断
  • SPF、Sender IDを使用して検証されないMTA（ドメイン）からの通信を遮断

• 経路の暗号化も可能
  STARTTLS (25 → 587)
  SMTP over SSL/TLS (25 → 465)

• MUA

• スパムメールと思われる通信を遮断
  シグネチャが該当する通信を遮断（シグネチャ・マッチング）
  学習した特徴に該当する通信を遮断（ベイジアン・フィルタリング）
  

• クレデンシャルと経路の暗号化
  POP3 → APOP (クレデンシャル)
  POP3 → STARTTLS (110 → 110) (経路)
  POP3 → POP3 over SSL/TLS (110 → 995) (経路)
  SSHポート・フォワーディング (110 → 22) (クレデンシャルと経路)
  

• 送受信時
  • MUA
    • S/MIMEによる署名と暗号化
    • PGPによる署名と暗号化

• 構成
  • MTAの脆弱性対策
    • 最新バージョン、パッチ適用
    • VRFY、EXPNコマンドの無効化
    • ウィルス対策ソフトの導入

• MTAの構成
  • 社内向けはイントラネット上に配置
  • 社外向けはDMZ上に配置

• 経路
  • 送信：社内向けMTA → 社外向けMTA → ISPのMTA
  • 受信：ISPのMTA → 社外向けMTA →★→ 社内向けMTA
    ★に「メール検査型サンドボックス」を配置する。

参考 †

• メール - マイクロソフト系技術情報 Wiki > 認証関連
  https://techinfoofmicrosofttech.osscons.jp/index.php?%E3%83%A1%E3%83%BC%E3%83%AB#qd892e0b

DNS †

脅威にも書いたけど。

脆弱性 †

• ゾーン転送によって情報が抜かれる。
  • 管理情報 (サーバ名や IP アドレス等)が漏洩、悪用される。
  • コレらが外部に流出することで、組織のサーバやネットワーク構成を推測され、
    セキュリティに対する、潜在的な脅威の増加につながる可能性がある。

• セッション層の仕様
  • DoS系に対する脆弱性がある。
  • DNSポイズニングに対する脆弱性がある（特にUDP）。

• オープン リゾルバによる
  • 踏み台利
  • 不正なリクエストによるダウン

対策 †

• 乗っ取り対策
  • 最新バージョン＋パッチ適用
  • バナーの非表示化

• ゾーン転送先のサーバを制限する。
  • 外部DNSと内部DNSに分割し、外部DNSには内部のソーン情報を登録しない。
  • インターネットからのゾーン転送要求をフィルタリングする。
  • セカンダリDNSからのゾーン転送要求のみ許可するように設定する。

• DNSポイズニングのリスク低減

• DNSキャッシュ時間を短くする。

• 組織内
  • コンテンツ、キャッシュ・サーバを分割。
  • キャッシュ・サーバ利用を組織内に限定する。

• 組織外
  • 再帰問合せの無効化
  • 送信元ポートのランダム化
  • TxIDの推測を困難にする。
  • DNSSEC（DNS Security Extensions）を導入する。

• オープンにしない（オープン リゾルバ）
  

• キャッシュサーバをインターネットからアクセスさせない。
  DNS amp攻撃と言うDoS攻撃の踏み台にならないようにする。

• コンテンツ サーバとキャッシュ サーバを分割し、
  
  • 外部キャッシュ サーバは内部コンテンツ サーバのクエリにのみ対応。
  • 若しくは、クライアントと、問い合わせ数を制限する。

• その他

• DNSSEC (DNS Security Extensions)
  ゾーン情報改竄、DNSポイズニングの防止
  • ゾーン内のリソースレコードを、秘密鍵で署名し、電子署名を作成。
  • また、コンテンツ サーバは電子署名付きの応答を返す。

• ゾーン・レコードの改ざん防止
  • SOAレコードのシリアル番号はDNS設定内の更新を識別できる。
  • RFC2845: DNSにおける秘密鍵のトランザクション認証(TSIG)
    動的ゾーンを更新できる人を制限するために使用できる。
    ・更新要求が許可されているエンドポイントの特定と認証。
    ・共有秘密鍵と一方向ハッシュ関数を使用する。

• EDNS0対応
  昨今、IPv6、DNSSEC、SPF、DKIMなどの普及によりDNSデータは拡大傾向で、
  512以上のデータ送信を、TCPフォールバックでなく、UDPパケット拡張で対応。

HTTP、Webアプリ †

HTTP、Sessionの脆弱性、対策 †

• セッション・ハイジャック系
• 認証関連
  
  • 基本認証、Forms認証は、HTTPSで経路の暗号化が必要
  • , etc.

サーバ設定・実装の脆弱性、対策 †

各種、技術的な脅威への対応。

• 乗っ取り対策
  • 最新バージョン＋パッチ適用
  • バナーの非表示化（HTTPヘッダ）
  • アクセス許可の設定

• 不要な機能、コマンドの無効化
  • デフォルト・ページの配置とディレクトリ参照禁止
  • HTTPメソッド（PUT、TRACE）
  • エラーメッセージ送信機能の抑止

• 最後はIPSの導入

アプリ仕様・実装上の脆弱性、対策 †

各種、アプリケーション脆弱性への対応

• インジェクション系
• 最後はWAFの導入

     

Site admin: TechInfoOfMicrosoftTech

PukiWiki 1.4.7 Copyright © 2001-2006 PukiWiki Developers Team. License is GPL.
Based on "PukiWiki" 1.3 by yu-ji. Powered by PHP 5.3.3. HTML convert time: 0.056 sec.