セキュリティ製品を担当することになった。
早速、自分が担当するベンダーを中心にどういったセキュリティ製品が世に出ているのか調べてみたら、国内外のメーカー含めてかなり多いことが恥ずかしながら今回調べてみて初めてわかった。
まだ完全に調べきれたわけではないけれど、ちょこっと見ているだけでもITセキュリティは「何を守るのか？」という選択肢がいろいろあるのだなというのを感じられる。今回の投稿ではどういうものを対象とした製品・機能があるのかを紹介したい。全部は無理だから、メインとなるところを中心に。
サイバー攻撃からの防御
これはサービス提供者となるユーザに利用を対象とした機能・役割のものである。
提供するWebアプリケーションに対して悪意のある者から攻撃を受けた場合を想定してその防御となる機能である。
具体的に言うと大量のリクエストを送りつけてくるDDoS攻撃、偽のメールやWebサイトを巧妙に作り込んでユーザの個人情報や認証情報を盗むフィッシング攻撃、ウイルスやランサムウェアのようなソフトウェアを使ってシステムの侵害を試みるマルウェア感染などがある。
これらの攻撃はエンドポイント検知(EDR)機能が搭載されたアンチウイルス、フィッシングに対するフィルタリング、Webアプリケーションの通信制御を強めたWAF機能を使って対抗する。
今回はあくまで簡単な紹介となる投稿なので、詳細の仕様についてまたどこかで触れられたらと思う。
通信の安全性
次は主に企業に所属する従業員向けの機能の紹介だ。
ユーザ端末から接続先アプリケーションへのアクセスを安全に行なうにあたっての脅威はしっかりと存在する。
まずは通信の盗聴・改ざんのリスクである。通信の途中で情報が漏れることによって重要情報の流出や内容を改ざんされて接続先へ送信される事態が想定される。次にマルウェア感染である。アプリケーションへの攻撃だけでなく、ユーザ端末への攻撃にも気をつけなければならない。またSQLインジェクションなどユーザ端末での操作自体が攻撃に転化することもある。
こういったリスク、危険性のある中で意識したいのが「ゼロトラストアクセス制御」という考え方だ。誰も何も信用しない、というスタンスでユーザ、デバイス(端末)、アプリケーションの状態を常に検証して異常を検知させていく。
認証・認可を利便的に
この投稿ではこの機能の説明で結びたい。あらゆる立場の人が利用対象となるものだ。
IDaaSというサービスをご存じだろうか。ユーザのログインを安全に行なうために複数の脅威から防御していく。従来の認証はIDとパスワードの組み合わせが第三者に発覚した瞬間にいっかんの終わりだった。その組み合わせが流出したとしてもログインを容易くさせないための仕組みが今は用意されている。
まずは多要素認証である。IDとパスワードの入力という1要素だけでなく、端末や生体情報も含めて複数の段階を経て安全にログインさせる仕様となっている。次にあえてパスワードを聞かないパスワードレス認証というものもある。ログインする端末内に認証用の鍵を保管することで第三者の不正アクセスを防ぐ仕組みだ。
安全性を優先するあまり、認証の回数や複雑性を増やしてもユーザ本人をウンザリさせてはならない。安全に快適に、という観点からID認証サービスは設計されている。
ひとりごと
先週、奇跡が起きた。
一週間で2つのスーパー(別々の日)に買い物へ行った時、2回とも運よく5kg￥1,800の備蓄米が棚に陳列されているタイミングでの入店となった。
1グループ最大5袋までの規定。さすがにMAX5袋持ってったら他のお客さんに恨みを買ってしまうだろうから、それぞれ3袋ずつカートに入れて会計をした。
どちらともほんの10分で備蓄米が完売となっていた。
自宅には30kgほどのお米がある。おそらく年内は追加での米の購入は不要だろう。
これだけラッキーなことが起きたので、年末あたりに不運な出来事が起こるかもしれないのでその覚悟は今からでもしておく。