3.2 セキュリティ考慮事項
前のページへ
次のページへ

3.2.5 セキュリティ対策の実施

3.2.4 セキュリティ方針の決定」に基づき、本モデルでは以下のようなセキュリティ対策を実施する。

1) 通信の安全性確保

ア) 通信の暗号化

本モデルのWebサーバーでは、通常のHTTP通信以外に、ユーザID/パスワード情報などの機密情報の通信を行なう場合、SSL(Secure Socket Layer)で通信を暗号化し、攻撃者に通信データを覗き見されたとしても、データ内容を容易に解析できないようにする。 Webサーバー以外でも、機密情報をネットワーク上でやり取りする場合は、通信の暗号化を実施する。

2) アクセス制御

ア) セッション管理の強化

Webアプリケーションで、安直なセッション管理を行わないようにする。安直なセッション管理とは、例えば、URL中にユーザID情報を含みセッション管理を行うことや、推測可能なセッションIDを利用するようなことである。

イ) アカウント(パスワード)強化

利用許可者のアカウント名とパスワードのルールを強化することで、アカウント名とパスワードの解析を困難にし、さらにアカウントのロック機能を利用して、悪意ある者によるなりすまし対策を実施する。

ウ) ファイアウォールによるアクセス制御

ファイアウォールにて、正常サービス(ポート)へのアクセス以外を禁止することにより、外部ユーザが正規サービス以外のポートにはアクセスできないように設定する。

3) 情報改ざんや破壊の防止

ア) セキュアプログラミング

独自開発によるWebアプリケーションを悪用した侵入を防止するために、セキュアプログラミングを試みる。例えば、動的なコンテンツを生成するようなプログラムでの、危険な関数の使用防止や外部入力値チェック、例外処理などである。

イ) OSやサービスのバージョンアップ、パッチ適用

OSまたはサービスに脆弱性が報告された場合、速やかにバージョンアップやパッチ適用などの対策を行う。ただし、パッチの適用には予備マシンでの動作確認後、本番機に適用を行うことが望ましい。これは、パッチ適用により通常サービスに不具合が発生する場合があるためである。

ウ) OS、サービスの設定強化

対象マシンに導入されるOS、アプリケーションの環境設定をセキュアにする。特にデフォルトインストールでは、追加されるユーザやサービス、アクセス制御に問題がある場合があるので、注意が必要である。

エ) 不要なファイルの取り扱い強化

システム運用上、不必要なファイル(サンプルファイルやバックアップファイル)は削除する。運用上必要なバックアップファイルが存在する場合には、適切なアクセス制御を行い、許可されたユーザのみがアクセスできるように管理を行う必要がある。取り扱いを強化する理由は、このようなファイルの中に脆弱性が潜んでいる可能性があり、そのファイルを利用して攻撃の被害を受けてしまう危険性があるためである。

4) サービスの冗長性確保

ア) サービス妨害攻撃への対策

OSやサービスのパッチやバージョンアップで対策できる場合は、それらを適用する。ただし、パッチの適用では予備マシンでの動作確認後、本番機に適用することが望ましい。これは、パッチ適用により通常サービスに不具合が発生する場合があるためである。また、ファイアウォールのアクセス制御により対策できる場合は、その機能を利用して対策を行う。分散システムが導入可能であれば、システムの分散により負荷分散で一定のDoS攻撃に対応することも可能である(注1)

  (注1) ネットワークやサーバーリソースに過負荷をかけるようなDoS攻撃は、パッチ適用といったひとつの対策方法で回避することはできない。実際は、パッチ適用のような直接的な対策方法でなく、負荷分散システムの構築といった、間接的な対策方法でDoS攻撃の対策を行っている。  

5) ログによるセキュリティ監査

ア) ログ監査

システムやサービスの異常、なりすまし行為などを検出するために、ログを監査する。また、ログファイルのローテーションを行うことで、ログファイルの肥大化防止と監査の効率化を図る。

6) 認証システム

ア) 認証

認証システムを利用することで、許可されたユーザが本人であるか否かを識別する。認証に成功したユーザのみ、アクセスを可能にし、その他のユーザにはアクセスを許可しない。

7) バックアップシステム導入

ア) バックアップ

侵入や操作ミス、自然災害などの予測不可能なトラブルにより、正常なシステム運用が突然不可能になる場合がある。システムやデータのバックアップを定期的に実施することで、このような不慮の事故が発生した場合でも、システムの復旧を速やかに実施することができる。

 

前のページへ
目次へ
次のページへ
セキュリティ方針の決定
第3章の目次
第4章の目次


Copyright ©   2002 Information-technology Promotion Agency, Japan.  All rights  reserved.