パスワードクラッキングとクラウドセキュリティについて学習した話(ゼロトラスト・CASB・EDRまで)
はじめに
情報処理安全確保支援士試験の対策として、パスワードクラッキングの手法、デジタルフォレンジックス、ブロックチェーン、そしてゼロトラストを前提としたクラウド/エンドポイントセキュリティ(CASB、SWG、SIEM、EDR)について学習したのでまとめます。
パスワードクラッキング
データを分析して他人のパスワードを割り出す攻撃。オンライン攻撃とオフライン攻撃に大別される。
オンライン攻撃
実際にログイン試行を繰り返す方式。
| 手法 | 内容 |
|---|---|
| ブルートフォース攻撃 | 考えられるパスワードをすべて試す |
| リバースブルートフォース攻撃 | パスワードを固定し、IDの方を変化させて試す |
| 辞書攻撃 | 辞書に載っている単語からパスワードを推測して試す |
| パスワードリスト攻撃 | 他サイトから流出したID・パスワードの組み合わせを試す |
オフライン攻撃
あらかじめパスワードをハッシュ化した対応表(リスト)を作成しておき、盗んだハッシュ値をそのリストと照合して元のパスワードを検索する方式。
ソルト
パスワードをハッシュ化する際に加える、ランダムな値。同じパスワードでもソルトを加えることでハッシュ値が変わるため、事前に作成したハッシュ値の対応表を使うオフライン攻撃を防ぐ効果がある。
ストレッチング
ハッシュ処理を何度も繰り返し行うこと。計算コストを上げることで、総当たりによる解析を困難にする。
NOTICE
総務省とインターネットプロバイダが連携し、サイバー攻撃に悪用される危険性のある機器を調査して注意喚起を行う取り組み。調査対象は、日本国内のグローバルIPアドレスでアクセス可能なIoT機器。
調査の流れ
- ポートスキャンにより、稼働しているサービスを確認する
- サービスから認証要求があった場合、IoTウイルスが利用するような典型的なID・パスワードでログインを試みる
- 認証に成功した場合、その機器を脆弱と判定する
脆弱と判定された機器の情報は、調査結果としてインターネットプロバイダに通知される。プロバイダ側で利用者を特定した後、注意喚起が行われる。
デジタルフォレンジックス
法的トラブルが発生した際、証拠となるデータを収集・分析することで法的な信頼性を明らかにする技術。以下の4つの工程からなる。
- 収集
- 検査
- 分析
- 報告
収集・検査における完全性の保護
- ログの集中管理
- 一度しか書き込めないメディア(WORM)の利用
- HMACによる、ログの前後関係(改ざんされていないこと)の保証
ログの時刻同期も重要。また、取得の優先順位にも注意が必要で、消えやすいデータから順に取得する。
- メモリ上のデータ(すぐに消えてしまうもの)
- HDDに保管されているデータ
- アーカイブ用メディアに保管されているデータ
ブロックチェーン
データベースの一種。取引内容をトランザクションとして管理し、複数のトランザクションをまとめたブロックを、ブロックチェーンの末尾に追加していく。
- ブロックを末尾に追加するには、認証(マイニングなど)が必要
- 直前のブロックのハッシュ値、追加したいトランザクションのハッシュ値、ナンス(使い捨ての数値)を組み合わせてハッシュ値を求める
特徴
- 分散管理による高い可用性
- 一度認証されたトランザクションを改ざんしようとすると、それ以降のすべてのブロックのハッシュ値も改ざんする必要が生じるため、実質的に改ざんが困難
ゼロトラスト
社内・社外を問わずすべての通信を信用せず、すべてを検査・認証すべきという考え方。従来の「社内ネットワークは安全」という前提に立つ境界型防御が限界を迎えたことから広まった。
IAMとIAP
IAM(Identity and Access Management):利用者ごとのアクセス管理を行う仕組み。識別・認証・認可・ログ管理といった要素からなる。
IAP(Identity-Aware Proxy):ユーザの認証結果に基づいて、ユーザとアプリケーションの間の通信をコネクタ経由で中継する仕組み。アプリケーション単位でアクセス制御ができるため、安全性が高い。
CASB(Cloud Access Security Broker)
クラウドサービスの利用状況を可視化・制御する仕組み。テレワークやクラウドサービスの利用が一般化したことを背景に普及した。レポート機能が充実している点も特徴。
- プロキシ型CASB:エージェントをPCにインストールし、CASBをプロキシとして経由させることで、クラウドサービスの利用状況を制御する
- API型CASB:エージェントレスで動作する。ただし、連携設定していないクラウドサービスの利用状況までは確認できない
SWG(Secure Web Gateway)
インターネット上でプロキシのような役割を持ち、Webサイトやクラウドサービスへのトラフィック全般を監視する仕組み。インターネット上に存在するため、社内の端末だけでなくリモートワーク中の端末にも適用できる。
CASBとの違い
- CASBはクラウドサービスの利用状況の可視化・制御に強いが、一般的なWebトラフィック全般の監視はできない
- SWGはWebトラフィック全般を監視できるが、クラウドサービスの利用状況の把握はCASBほど得意ではない
SIEM(Security Information and Event Management)
複数のログの相関関係をもとに分析を行う仕組み。
- 従来はオンプレミス構成が主流だったが、必要なストレージ容量が膨大になるため普及が進みにくかった
- クラウド化が進んだことで導入のハードルが下がり、普及が進んでいる
- 基本的には「検知」までを担う(対応・復旧そのものは別の仕組みが担う)
EDR(Endpoint Detection and Response)
PCやサーバなどの端末上での不審な挙動を検知し、被害の拡大を防ぐための技術。侵入後のウイルスへの対処を担う。
EPPとの違い:水際での感染防止(侵入させないこと)を担うのがEPP(Endpoint Protection Platform)であるのに対し、EDRは侵入されてしまった後の対応に主眼を置く。
主な機能
- 検知:不審な挙動を発見する
- 封じ込め:不審なプログラムを停止する
- 調査:感染経路や被害範囲を調査する
- 修復:マルウェアが作成したファイルの削除など、復旧作業を行う
おわりに
CASB/SWG/SIEM/EDRはどれも「クラウド化・リモートワーク前提でも境界型防御に頼らない」というゼロトラストの発想から生まれた仕組みだと分かり、単体で覚えるより関連付けて理解した方が整理しやすいと感じました。引き続き学習を進めていきます。