2022-02-27

内部不正による情報漏洩などの考察

応用情報技術者試験説明する練習セキュリティ

内部不正による情報漏洩について考えます。(参考：R2秋応用情報)

保有する情報は管理規定に基づいて、秘密区分を設定
電子文書や書類に、区分に沿ったマークを表示または押印して誰でも判別できるようにする
そのシステムの利用者だけに業務上必要となる最低限の機能を利用できる権限(アクセス権)を付与する
システムが保有する情報をPCや許可された可搬型記憶媒体にダウンロードできる
資産価値または重要度の高い情報の社外へ持ち出しは原則禁止されているが、持ち出す場合は、管理者の承認を得た後に持ち出すことができる

内部不正に対する技術面での対策(あくまで応用情報の話)

USBメモリなどの可搬型記憶媒体の運用が、管理規定どおり行われていない。

対応：PCの操作ログの取得機能やデバイス制御機能を持つPC管理システムを導入する。

デバイス制御機能では、許可されていない可搬型記憶媒体のPCへの接続を拒否することで情報の不正持ち出し抑制する方法

メールや社外のWebサイトの利用が、管理の規定通り行われていない

対応：

添付ファイル付きのメールに対して、あらかじめ指定された上司に通知し、上司の承認後に送信する
プロキシサーバでURLフィルタリングを稼働させ、業務上必要なWebサイトをホワイトリストに登録してアクセスを許可し、それ以外のWebサイトは遮断する

ホワイトリストに含まれないWebサイトの中に、業務上必要となるサイトが存在する場合、利用したいWebサイトの認定申請をする。

重要情報へのアクセス履歴および利用者の操作履歴などのログの取得と管理が適切に行われていない

対応：

プロキシサーバとPC管理システムですべてのログを取得するとともに、新たにメールアーカイブ機能を有効にする
プロキシサーバのログでは、通信が行われた日時・作業者のID・アクセス先IPアドレス・操作内容などができるようになる
※作業者のIDを特定できるようにするために、プロキシサーバでは利用者認証を実施する。

PC管理システムのログでは、送信されたメール本文・ファイルの内容・送信者および宛先が特定できるようになる

ディジタルフォレンジックス

不正アクセスや情報漏えいなどのセキュリティインシデントが発生した際に、インシデントに関係するコンピュータやデバイスなどの機器から、原因究明や法的証拠に必要となる電子的記録を収集し、保全し、解析すること

内部不正の対策案を社内に告知する

実施するセキュリティ対策を告知することは、社内の意識向上だけでなく、内部不正を抑止力となります。

情報を不正に社外に持ち出すのが難しいことや不正を隠し通せないと分かるためです。

組織における内部不正防止ガイドライン

p67からの付録が充実している

https://www.ipa.go.jp/files/000057060.pdf

内部不正防止のための基本原則

犯行を難しくする(やりにくくする)
対策を強化することで犯罪行為を難しくする
捕まるリスクを高める(やると見つかる)
管理や監視を強化することで捕まるリスクを高める
犯行の見返りを減らす(割に合わない)
標的を隠したり、排除したり、利益を得にくくすることで犯行を防ぐ
犯行の誘因を減らす(その気にさせない)
犯罪を行う気持ちにさせないことで犯行を抑止する
犯罪の弁明をさせない(言い訳させない)
犯行者による自らの行為の正当化理由を排除する

2022-02-25

標的型サイバー攻撃対策などの考察

セキュリティ応用情報技術者試験

標的型サイバー攻撃について考えます。(参考：R1秋応用情報)

情報セキュリティ10大脅威の1つとして毎年あげられています。

不審なメールの添付ファイルを実行したときの対応

マルウェアの感染が判明した（または感染が疑われる）ときは、社内のネットワークから被疑PCを切り離すべきです

具体的には、まず次のことをしてください。

パソコンのLANケーブルを抜く
無線LANのスイッチを切る

社内の他の機器と通信させないためです。

これにより、次のことを防ぐことができます。

ネットワークを介して感染を広める
攻撃のために通信する

その後、セキュリティ担当者に報告します。

不審なメールに気づいたときにとるべき行動は

不審なメールに気が付いたときには、自組織のインシデント対応部署やセキュリティ担当に報告し、指示を仰ぐのが適切な対応です。

返信しない
添付ファイルの開封しない
URLリンクを開かない

ファイアウォールのログを分析する

マルウェアに感染したPCがインターネット上の特定のサーバとの通信を試した場合、FWのログに通信の履歴が残ります。

標的型サイバー攻撃対策(あくまで応用情報の話)

FWによる遮断

PCからインターネットへのアクセスに対して許可する通信を決める

PCへのマルウェア対策ソフトの導入

メールサーバにおけるメール受信対策

メールサーバ向けマルウェア対策ソフトを導入して、届いたメールの本文や添付ファイルのチェックを行い、不審なメールを隔離する。
SPF(Sender Policy Framework)などの送信ドメイン認証を導入する

送信ドメイン認証は、送信元メールアドレスのなりすましを検知することができる。

メールサーバにおけるメール送信対策

PCからメールを送信する際にも、利用者認証を行う

利用者認証を行うことで、標的型サイバー攻撃の目的が情報窃取の場合、メール経由で情報が外部に漏洩する恐れを低減できる。

インターネットアクセス対策

PCから直接インターネットにアクセスすることを禁止(FWで遮断)し、DMZに新たに設置するプロキシサーバ経由でアクセスさせる
プロキシサーバでは、利用者IDとパスワードによる利用者認証を導入する
プロキシサーバでは、不正サイトや改ざんなどで侵害されたサイトを遮断する機能を含むURLフィルタリング機能を導入する

水飲み場攻撃によって、マルウェアをダウンロードさせられることがある。

これは標的ユーザが良く利用するWebサイトにドライブバイダウンロードのコードなどを仕込み、アクセスした標的ユーザにマルウェアやウイルスを感染させる攻撃です。

URLフィルタリング機能を用いることで被害を軽減できる。

ログ監視対策

ログ監視サービスを利用して、FWやプロキシサーバのログ監視を行い、不審な通信を検知する

C&CサーバがURLフィルタリング機能でアクセスが遮断されないサイトに設置された場合、プロキシサーバの利用者認証情報を窃取する機能を備えていると回避されることがある。

マルウェアとは何か

マリシャスソフトウェア(悪意のあるソフトウェア)で略してマルウェアです。

ユーザーのデバイスに不利益をもたらす悪意のあるプログラムやソフトウェアを指す。

www.ntt.com

マルウェアの種類

ウイルス

自己増殖する

宿主が必要

ワーム

自己増殖する

単独で活動

トロイの木馬

自己増殖しない

偽装して活動

スパイウェア

偽装して活動

マルウェアの感染経路

www.soumu.go.jp

ホームページの閲覧

昔は怪しいWebサイトだけ避けていればよかったのですが、最近では正規のWebサイトが不正侵入を受け、書き換えられ、ウイルスが仕込まれるケースがあります。

その場合、正規のWebサイトを閲覧してもウイルスに感染してしまいます。

信頼できないサイトで配布されたプログラムのインストール

「あなたのコンピュータはウイルスに感染しています」のような不安をあおるメッセージを出して、利用者を偽のウイルス対策ソフトを配布するWebサイトに誘導します。

電子メールの添付ファイル

電子メールに添付されてきたファイルが悪意のあるプログラムだった場合、ウイルスに感染してしまいます。

USBメモリからの感染

USBメモリをコンピュータに差し込んだだけで自動的にプログラムが実行される仕組みが用意されています。これを悪用してコンピュータに感染するウイルスがあります。

会社のビルに見知らぬ人がいて「ここの社員の方がUSB落としましたよ」といって渡してきたUSBメモリがウイルスに感染するものだった！といった話を聞いたことがあります。

ファイル共有ソフトによる感染

別のファイルに偽装して、いつの間にかウイルスを実行させられてしまうことがあります。

電子メールのHTMLスクリプト

添付ファイルがなくても、HTML形式で書かれているメールの場合、ウイルスに感染する場合があります。

電子メールソフトの中には、HTMLメールのスクリプトを自動的に実行する設定になっているものもあり、電子メールをプレビューしただけでウイルスに感染します。

ネットワークのファイル共有

ウイルスの中には、感染したコンピュータに接続されているファイル共有ディスクを見つけ出し、特定のファイル形式など、ある条件で探し出したファイルに感染していくものです。

組織内のネットワークを通して、他のコンピュータやサーバにも侵入して感染を広げます。

マクロプログラムの実行

VBAを用いたマクロプログラムではファイルの書き換えや削除などができます。

VBAで記述されたウイルスが実行されて自己増殖などされます。

マルウェアで起こる被害

個人情報を抜き取られたり、情報が流出したりする
デバイスに保存されているファイルが改ざんされる
デバイスを勝手にロックされて持ち主でも操作ができなくなる
外部と勝手に通信を行う
デバイスを乗っ取られ、サイバー攻撃の「踏み台」として使われる

マルウェアに感染しない予防方法

ウイルス対策ソフトを導入し、常に最新バージョンにアップデートしておく
PCの場合には、インストールしているOSを最新版に保っておく
怪しいURLはクリックしない
不審なメールや不審な添付ファイルは開かない
重要なファイルは漏洩しても、開けないように暗号化しておく
機密情報を保存してあるサーバーは、許可のないデバイスから隔離しておく

2022-02-17

ECサイトの利用者認証の考察

セキュリティ説明する練習応用情報技術者試験

インターネット通販用のWebサイト(以下、ECサイトという)で、不正アクセスを防止する対策を考えます。(参考：H31春応用情報)

3種類の利用者認証
- 安全性と利用しやすさの面を考える
ID・パスワード認証のリスク
パスワードをハッシュ化してパスワードが知られることを防ぐ
会員に求めるパスワードのルール

3種類の利用者認証

利用者の記憶、知識をもとにしたもの
例：ID・パスワード
利用者の所有物をもとにしたもの
例：ICカード・ディジタル証明証・ワンタイムパスワード・マトリックス認証・SMS認証
利用者の生体の特徴をもとにしたもの
例：指紋・虹彩・筆跡・顔・網膜・静脈パターン(経年による変化が少ないもの)

安全性と利用しやすさの面を考える

セキュリティ対策がされたECサイトでも、使い勝手(利用者と運営者)が悪ければ意味がないです。

そこで、先ほど紹介した3種の利用者認証の安全性と利用しやすさを考えてみます。

記憶、知識：安全性△, 利用しやすさ〇
所有物：安全性〇, 利用しやすさ△
生体：安全性〇, 利用しやすさ△

2と3は、利用者に認証デバイスまたは認証情報を配布する必要があるため、ECサイトの利用者認証には向いていない場合があります。

ID・パスワード認証のリスク

ID・パスワード認証を狙った攻撃手法が存在している。

ブルートフォース攻撃
IDを固定して、パスワードに可能性のあるすべての文字を組み合わせてログインを試す
逆ブルートフォース攻撃
パスワードを固定して、IDに可能性のあるすべての文字を組み合わせてログインを試す
類推攻撃
利用者の個人情報などからパスワードを類推してログインを試す
辞書攻撃
辞書や人名録などに載っている単語や、それらの組み合わせた文字列でログインを試す
パスワードリスト攻撃
セキュリティ強度の低いWebサイトまたはECサイトからIDとパスワードが記録されたファイルを窃取し、解読したID・パスワードのリストを作成しリストを用いて他のサイトへログインを試す

1~4への対策は、パスワードとして設定する文字列を工夫することが重要。

5への対策は、認証情報の管理方法を工夫することが重要。

パスワードの入力試行回数の上限値を設定することで、1の攻撃への対策はできるが2の攻撃からは有効ではない。

また、他のWebサイトやECサイトから流出した認証情報が悪用された場合、対処できない。

(興味本位で不必要にサイトへ登録するのは止めましょう。そのサイトのセキュリティ対策が甘いと危ないので)

パスワードをハッシュ化してパスワードが知られることを防ぐ

パスワードをハッシュ関数によりハッシュ化し、平文のパスワードの代わりにハッシュ値を秘密認証情報のDBに登録する。

ハッシュ化の特性

入力データが同じであれば、常に同じメッセージダイジェストが生成される。
入力データが少しでも異なっていれば、生成されるメッセージダイジェストは大きく異なったものになる。
メッセージダイジェストから元の入力データを再現することが困難である。
異なる入力データから同じメッセージダイジェストが生成される可能性が非常に低い。

ハッシュ値からパスワードの割り出しは難しく、万が一DBから情報が流出しても、平文のパスワードを知られてしまうことを防止します。

(暗号化はもとに戻すことを前提にしているが、ハッシュ化はもとに戻すことを前提にしていないため、ハッシュ化する前のパスワードを割り出すことが技術的に難しい)

it-trend.jp

ハッシュ化でも防げないレインボー攻撃

攻撃者が、膨大な数のパスワード候補とそのハッシュ値の対応テーブル(Rテーブル)をあらかじめ作成(または入手)する
窃取したアカウント情報中のパスワードのハッシュ値をキーとして、Rテーブルを検索する。一致したハッシュ値があれば、パスワードが割り出される。

レインボー攻撃はオフラインで行われ、時間や検索回数の制約がないため、パスワードが割り出される可能性が高い。

レインボー攻撃の対策としてパスワードにソルトを結合する

会員が設定したパスワードのバイト列に、ソルトと呼ばれる十分な長さのバイト列を結合する(ソルトは会員ごとに異なるものとする)
ソルトを結合した全体のバイト列をハッシュ化する
ID、ハッシュ値、ソルトを秘密認証情報のDBに登録する

ソルトを使った対策により、Rテーブルの作成が難しくなるため、パスワードの割り出しがしにくくなる。

会員に求めるパスワードのルール

会員自身の個人情報をもとにしたパスワードを設定しないこと
辞書や人名録に載っている単語をもとにしたパスワードを設定しないこと
会員が他サイトで利用しているパスワードを使いまわさないこと

1,2は推測されやすいパスワードになるためNGです。総務省のサイトに安全なパスワードと危険なパスワードの例が載っているため参考にしてください。

www.soumu.go.jp

3はセキュリティ強度が低い他サイトから流出したパスワードによって，不正ログインされる場合があります。

具体的にいうと、流出したパスワードを使ってパスワードリスト攻撃して不正ログインされるリスクがあります。

参考：

https://www.jitec.ipa.go.jp/1_04hanni_sukiru/mondai_kaitou_2019h31_1/2019h31h_ap_pm_qs.pdf

www.ap-siken.com

2022-02-13

英語でグラフ・チャート・表の説明をするために使える表現集

English

UTOKYO English Academia にてグラフ・チャート・表の説明をする際に役に立つ表現がまとまっていました。

英語でグラフ・チャート・表の説明をする際に使ってください。

※このブログ内の英語は音声で入力しました。

参考リンク：

Upward Trends
Downward Trends
Other Types of Changes
Describing changes
- Rapid Changes
- Slow Changes
Describing the Relationship Between Two Numbers
Describing Fluctuation
Time
Numerical Expressions 1
Numerical Expressions 2
Drawing Attention to Graphs, Charts, and Tables 1
Drawing Attention to Graphs, Charts, and Tables 2
Describing Graphs, Charts, and Tables 1
Describing Graphs, Charts, and Tables 2
Describing Graphs, Charts, and Tables 3
Describing Graphs, Charts, and Tables 4
上記の表現を使ったプレゼンテーション

Upward Trends

increase, go up, rise, climb, soar, surge, rocket, skyrocket

Downward Trends

decrease, go down, fall down, decline, drop, deteriorate, dwindle, slump, plunge, plummet

Other Types of Changes

peak
fluctuate
recover
stay, remain the same, level off, stabilize, be stagnant

Describing changes

Rapid Changes

dramatic(ally), sharp(ly), significant(ly), drastic(ally), sudden(ly), remarkabl(e/y), considerabl (e/y)

Slow Changes

moderate(ly), slight(ly), gradual(ly), stead(y/ily), slow(ly)

Describing the Relationship Between Two Numbers

X is directly / inversely proportional to Y.
There is a positive / negative correlation between X and Y.
The more※ X increases / decreases, the more Y decreases / increases.

※e.g. the warmer X becomes, the colder Y becomes

Describing Fluctuation

by

e.g. increase / decrease by 15%
from … to …

e.g. increased from $4,500 to $5,700

Time

from … to …
e.g. from 2008 to 2018
from … onwards …
e.g. from 2018 onwards

Numerical Expressions 1

295 square meters
two hundred (and) ninety five square meters
$150,000
one hundred (and) fifty thousand dollars
2018
twenty-eighteen

Numerical Expressions 2

approximately, almost, about, around, nearly, roughly, a little less / more than, just under / above
one-third, three-quarters, …percent of, a / the minority / majority of, an / the overwhelming majority of
as many / much as, twice as many as, three times more than, the gap between A and B

Drawing Attention to Graphs, Charts, and Tables 1

I’d like to draw your attention to this bar chart.
Let's take / have a look at this pie chart.
I have included this chat because …

Drawing Attention to Graphs, Charts, and Tables 2

This graph should give you a clearer picture of …
Basically what I want to highlight is …
This diagram is rather complex, but the only thing I want you to notice is …

Describing Graphs, Charts, and Tables 1

Time is represented by a dotted line.
The solid curve is …
These horizontal arrows indicate …
There is a gradual decrease in …

Describing Graphs, Charts, and Tables 2

As the line graph shows, …
As you can see from the pie chart, …
The pie chart illustrates, …

Describing Graphs, Charts, and Tables 3

This bar chart depicts that …
According to the line graph, …
We can see from …

Describing Graphs, Charts, and Tables 4

Here you can see …
The solid line … shows …
The dotted line … means …
The dashed line … indicates …

上記の表現を使ったプレゼンテーション

youtu.be

2022-02-06

英語で進捗報告するために使える表現集

English

UTOKYO English Academia にて同僚とプロジェクトの話をする際に役に立つ表現がまとまっていました。

英語で同僚とプロジェクトの話をする際に使ってください。

※このブログ内の英語は音声で入力しました。

参考リンク：Introduction | Module 3: Discussing Your Research with a Colleague | EA001 Courseware | UTokyo English Academia

Simple Expressions for Asking Questions
Expressions to Use to Delve Deeper into an issue 1
Expressions to Use to Delve Deeper into an issue 2
Expressions to Use to Interpose in a Conversation 1
Expressions to Use to Interpose in a Conversation 2
Expressions to Use to Return to the Main Subject
上記の表現を使ったプレゼンテーション

Simple Expressions for Asking Questions

What are your thoughts on the research method?
What is your opinion on the cost?
What's your take on…?
I’d like to know what you think about…

Expressions to Use to Delve Deeper into an issue 1

I'm interested in what you said about…
Could you expand on that?
What do you mean exactly?
Please explain what you mean.
Could you elaborate on…?
I'm still in the dark. What is the significance of …?
I'm clueless about what you mean by …?

Expressions to Use to Delve Deeper into an issue 2

As you pointed out, we should focus on …
Although he disagrees, I will continue my research from the technical perspectives
You might have a point, but I still think that…
You have a good argument to say that …

Expressions to Use to Interpose in a Conversation 1

Sorry to interrupt, but…
Sorry to cut in, but…
I hate to interrupt, but…
Can I say something?
I'm afraid I have to interrupt you.

Expressions to Use to Interpose in a Conversation 2

I see what you mean, but
That's a good point, but…
I understand your position, but…
I think you are right, but…

Expressions to Use to Return to the Main Subject

That's a good point, but let's get back to…
Right, but remember the topic of our discussion is… , so let's come back to that later if we have time.
Ok, let's remember that our focus is on…
Ok, but we are talking about… so what do you think about that?

上記の表現を使ったプレゼンテーション

youtu.be

2022-02-05

CPUを自分の言葉で説明する練習

説明する練習

CPUと関連して検索されるキーワード
CPU(Central Process Unit)とは
CPU-Z
CPU 比較
- CPUメーカー比較(というより紹介)
  - 使用しているPCのCPUを知る
- CPUの性能比較
CPU 温度
- CPUを冷やすアイテム
「パソコンが遅い原因はCPUだ！」と言えるのはどんなとき？

CPUと関連して検索されるキーワード

CPUと関連してよく検索されるキーワードは次のようになりました。（似たような表現は除きました。）

cpuとは
cpu-z
cpu 比較
cpu ベンチマーク
cpu 温度
cpuグリス
cpuクーラー

これらを説明できるようになることが目的です。

CPU(Central Process Unit)とは

CPUとは、コンピュータの頭脳

PCのパーツの1つ

計算などの処理が担当

スマホにおけるCPUはSoC(System-on-a-Chip)の一部

プロセッサ、マイクロプロセッサと呼ぶこともある(厳密にいえば、プロセッサ（Processor）とは、データを処理する装置全般、制御チップなどの半導体素子のこと。人に例えるとCPUは脳、プロセッサは頭のことをいう。参考：https://pasokon110.com/pc/cpu/sp2019062801/)

つまり、CPUの性能がいいほど処理が速い。

そのため、いいCPUを使うほど、より多くの仕事(処理)を速くこなすことができる。

※仕事を速くこなす場合、CPUの性能だけを求めるだけでは不十分で、メモリの性能も考慮する必要があります。

CPUは人間の頭脳、メモリは作業机と例えられます。

頭の回転が速くても、机が狭いと作業は遅くなります。

机が広くても、頭の回転が遅ければ作業は遅くなります。

参考：https://wa3.i-3-i.info/word183.html