CISSP合格ノート・CBK#07 運用セキュリティ(Operations Security)

CBK#07 運用セキュリティ(Operations Security)

CISSP　合格ノート

go to menu page

CBK#07 運用セキュリティ(Operations Security)

7.1. 制御と防御 (Controls and Protections):

ハードウェア、ソフトウェア、メディアリソースを以下の事項から守るために行う。

├ 運用環境内の脅威
├ 内部、外部の侵入者
└ リソースに対して不適切なアクセスを行うオペレータ

7.1.1 制御のカテゴリ(Categories of Controls):

予防制御 (Preventative Controls):

└ セキュリティポリシー侵害またはリスク増大につながる行為を阻止するための措置、仕組み、ツール。

行為指示制御 (Directive Controls):

└ リスクを減らすために、行動を阻止するあるいは命じるための規定および手順。

検知制御 (Detective Controls):

└ セキュリティ侵害を特定し、それに対処するための措置、処理、ツール。

是正制御 (Corrective Controls):

└ 攻撃に対処するための措置、処理、応用、または攻撃によるリスクを低減あるいは除くための是正措置の方法。

復旧制御 (Recovery Controls):

└ 攻撃を受けた後、またはシステム障害が発生した後、通常の運用状態に戻すための措置、処理、仕組み。

抑制制御 (Deterrent Controls): 

└ 侵害行為を阻む。

アプリケーション制御 (Application Controls):

└ ソフトウェアの運用上の不正を最小にし、また検知するためにソフトウェアアプリケーション内に設計された制御。

トランザクション制御(Transaction Controls):

└ トランザクションの様々な段階に対して行う制御。制御のタイプは、入力、処理、出力、変更、テストである。

7.1.2. オレンジブックコントロール (Orange Book Controls):

├ 運用上の保証 (Operational assurance):
├ システム構造 (System architecture)
├ システム完全性 (System integrity)
├ コバートチャネル分析 (Covert channel analysis)
├ 高信頼設備管理 (Trusted facility management)
└ 高信頼リカバリ (Trusted recovery)

7.1.3. ライフサイクル保証 (Life cycle assurance):

├ セキュリティテスト (Security testing)
├ 設計の仕様と検証 (Design specification and testing)
├ コンフィギュレーション管理 (Configuration management)
└ 高信頼配布 (Trusted distribution)

7.1.4. コバートチャネル分析 (Covert channel analysis):

Ｂ２:

├ システムにはコバートストレージチャネルに対する防御策がなければならない。
└ 全てのコバートストレージチャネルについてコバートチャネル分析を行わなければならない。

Ｂ３およびＡ１:

├ システムにはコバートストレージチャネルおよびコバートタイミングチャネルに対する防御策がなければならない。
└ 両タイプについてコバートチャネル分析を行わなければならない。

7.1.5. 高信頼設備管理 (Trusted Facility Management):

Ｂ２:

└ システムにおいてオペレータとシステム管理者のロールを分けなければならない。

Ｂ３およびＡ１:

└ システムにおいてセキュリティ関連機能を行うセキュリティ管理者機能を明確に特定しなければならない。

7.1.6. 高信頼リカバリ (Trusted Recovery)

システム故障やシステム不具合が生じたときに、セキュリティが侵害されないことを保証すること。

Ｂ３レベルとＡ１レベルのシステムにのみ必要。

故障の準備(Failure preparation):

└ 定期的に重要なファイル全てのバックアップを取る。

システムリカバリ(System recovery)：

└ コモン・クライテリアにおいて以下の３つの階層型リカバリタイプが定義されている。
├ 手動リカバリ (Manual recovery)
├ 自動リカバリ (Automated recovery)
└ 不適切な損害のない自動リカバリ (Automated recovery without undue Loss)

7.1.7. 人事セキュリティ

従業員の経歴と評定が、機密あるいはクリティカルな任務に必要な信用性を裏付けるか確かめる手順。
└ アクセス権を持つ人員は、一定のセキュリティクリアランス（機密事項取扱資格）を持っている場合があるが“知る必要性（need to know）”を持つとは限らない。
ポリシー、スタンダード、プロシージャ、ベースライン、ガイドラインへの準拠を監督する。

7.1.6. 職務分離とジョブローテーション (Separation of duties and job rotation):

最小特権 (Least privilege):

└ システムのユーザは、自分の仕事を行うのに必要な最小限の権利と特権を持っており、 それらはまた最小限の期間だけ認められていることを意味する。

Two-man control:

└ ２人のオペレータがそれぞれの仕事をリビューし、承認し合う。これにより責任が生じ、非常に慎重を期すべきトランザクションや、リスクの高いトランザクションにおける不正行為を極力減らすことができる。

デュアルコントロール (Dual control):

└ 慎重を期すべきタスクを完了するために２人のオペレータが必要である。

ジョブローテーション (Job rotation):

└ 異なるセキュリティ分類の異なるタスクに移る前に、セキュリティ関連タスクを遂行するためにオペレータに割り当てられた期間を制限するプロセス。

7.1.8. コンフィギュレーション変更管理制御 (Configuration Change Management Control):

コンフィギュレーション管理

├ システムのハードウェア、ソフトウェア、および文章への変更を管理する。
└ 不正な変更が行われないように管理する。

変更制御プロセスを実行・サポートする手順:

├ 変更の申し出 (Applying to introduce a change)
├ 意図した変更のカタロギング (Cataloging the intended change)
├ 変更のスケジューリング (Scheduling the change)
├ 変更の実施 (Implementing the change)
└ 適切な関係者への変更のレポート (Reporting the change to the appropriate parties)

7.1.9. クリッピングレベル (Clipping Levels):

└ あるタイプのエラーやミスが許される閾値で、 不審であるとみなす前に許されるミスの回数。 クリッピングレベルを超えると、更なる違反はリビューのために記録される。

7.1.10. 管理上の制御 (Administrative Controls):

コンピュータセキュリティに対する脅威や影響を軽減するために、経営管理によって行われる制御。

├ パーソナルセキュリティ (Personal Security)
├ 雇用前調査と経歴調査 (Employment Screening or Background Checks)
├ 1 週間単位での休暇取得義務 (Mandatory Taking of Vacation in One Week Increment)
├ ジョブアクション警告もしくは解雇 (Job Action Warnings or Termination)
├ 職務と責任の分離 (Separation of Duties and Responsibilities)
├ 最小特権 (Least Privilege)
├ 知る必要性 (Need to Know)
├ 変更/コンフィギュレーション管理制御 (Change/Configuration Management Controls)
└ 記録保存と文書化 (Record Retention and Documentation)

7.1.11. 記録保持 (Record Retention):

データ残存 (Data purging): 

└ 消去後のメディアに残っているデータのこと。

7.1.12. 運用制御 (Operations Controls):

コンピュータオペレーションを守るために行われる日々の手順。

リソース保護 (Resource Protection):

└  組織のコンピューティング資源と資産を損失や侵害から保護するコンセプト。ハードウェア、ソフトウェア、データ資源をカバーする。

7.1.13. ハードウェア制御 (Hardware Controls)

├ ハードウェア保守 (Hardware Maintenance )
├ 保守アカウント (Maintenance Accounts)
├ 診断ポート制御 (Diagnostics Port Control)
└ ハードウェア物理制御 (Hardware Physical Control)

7.1.14. ソフトウェア制御 (Software Controls)

├ アンチウイルス管理 (Anti-virus Management)
├ ソフトウェアテスト (Software Testing)
├ ソフトウェアユーティリティ (Software Utilities)
├ 安全なソフトウェア保存 (Safe Software Storage)
└ バックアップ制御 (Backup Controls)

7.1.15. 特権エンティティー制御 / 特権オペレーション機能
(Privileged Entity Controls / Privileged operations functions)

├ システムコマンドへの特別アクセス(Special access to system commands)
├ 特殊パラメータへのアクセス(Access to special parameters)
└ システム制御プログラムへのアクセス(Access to the system control program)

7.1.16. メディア資源保護 (Media Resource Protection)

意図の有無に関わらず、機密データの漏洩による全てのセキュリティリスクから保護するために行われる。

メディアセキュリティ制御 (Media Security Controls):

機密情報の損失を防ぐために設計されるべきであり、また以下のことが行える:

├ ロギング
├ アクセス制御
└ 適切な廃棄

メディア・実行可能性制御 (Media Viability Controls):

データストレージメディアの実行可能性(viability)を守るために使用されるべきであり、システムリカバリプロセスにおいて必要とされる。
├ マーキング (Marking)
├ ハンドリング (Handling)
└ 保管 (Storage)

7.1.17. 物理アクセス制御 (Physical Access Controls):

外部サポートプロバイダがデータセンターに入る場合には、特別な監視の手配が行わなければならない。

├ 対象
├ ハードウェア
└ ソフトウェア

ピギーバッキング(Piggybacking): 

├ 許可されていない人物が、許可された人物の後ろからドアを通ること。
└ これを防ぐためにマントラップの概念が設計された。

7.2. 監視と監査 (Monitoring and Auditing)

7.2.1. 監視 (Monitoring)

コンピュータ設備のオペレーションに影響を及ぼしかねないセキュリティ事件の発見のためのメカニズム、ツール、手法を含んでいる。

監視手法 (Monitoring techniques) 

├ 侵入検知 (Intrusion detection)
├ 侵入テスト (Penetration testing)
├ スキャンとプローブ(Scanning and probing)
├ デーモンダイヤリング(Demon Dialling)
├ スニフィング(Sniffing)
├ ゴミ箱あさり(Dumpster Diving)
├ ソーシャルエンジニアリング(Social Engineering)
└ クリッピングレベルを使用した違反処理

7.2.2. 監査 (Auditing)

運用上のセキュリティ制御監視の基礎となる。

監査証跡 (Audit Trails):

└ これにより、セキュリティ実行者がトランザクション履歴を追うことができる。

問題管理コンセプト (Problem Management Concepts):

├ 管理可能なレベルに不具合を減らす
├ 問題の発生、再発生を防ぐ
└ 問題がコンピュータサービスやリソースに及ぼす悪影響を軽減する。

7.3. 脅威と脆弱性 (Threats and Vulnerabilities)

7.3.1. 脅威 (Threats)

不慮の損害 (Accidental loss):

└ 意図せずに生じる損害で、オペレータ教育や習熟の不足やアプリケーション処理手順の不具合による。
├ オペレータの入力ミスや削除
└ トランザクション処理エラー

不適切なアクティビティ(Inappropriate Activities):

└ 犯罪行為までは行かないがジョブアクションや解雇につながるコンピュータ行動。
├ 不適切な内容
├ 会社のリソースの無駄遣い
├ セクシャルハラスメントや人種ハラスメント
└ 特権や権利の濫用

不法なコンピュータオペレーションと意図的な攻撃:

└ 個人の経済的利益や、破壊を目的とし、意図的で不法と見なされるコンピュータアクティビティ。
├ 盗聴 (Eavesdropping)
├ 不正行為 (Fraud)
├ 窃盗 (Theft)
├ サボタージュ (Sabotage)
└ 外部攻撃 (External Attack)

7.3.2. 脆弱性 (Vulnerabilities):

├ トラフィック分析/トレンド分析 (Traffic / Trend Analysis)
├ 保守アカウント (Maintenance Accounts)
├ データスキャベンジング攻撃 (Data Scavenging Attacks)
├ IPL 脆弱性 (IPL Vulnerabilities)
└ ネットワークアドレスハイジャック (Network Address Hijacking)

7.4. 電子メイルとインターネットセキュリティ問題 (E-mail and Internet Security Issues)

7.4.1. 電子メイル (E-mail)

ＳＭＴＰ

└ メッセージを転送するエージェントとして働く。

ＰＯＰ

├ インターネットメイルサーバプロトコルで、メッセージの出入りをサポートする。 
└ メッセージがＰＯＰサーバからダウンロードされると、通常はサーバから削除される。

ＩＭＡＰ

├ インターネットプロトコルで、ユーザがメイルサーバ上のメイルにアクセスすることを可能にする。
└ メッセージはメイルサーバからダウンロードされるか、サーバ上のメイルボックスと呼ばれるユーザ自身のリモートメッセージフォルダに残される。

7.4.2. ハッキングと攻撃の手法 (Hack and Attack Methods)

ポートスキャンとネットワークマッピング (Port Scanning and Networking mapping):

├ ネットワークマッピングツールは、ネットワーク上のたくさんのシステムに対して、一見悪意のないパケットを送る。
└ ポートスキャンは、コンピュータ上の開いているポートを特定する。

スーパーザッピング (Super zapping):

└ ＩＢＭメインフレームセンターで使用されるユーティリティで、オペレーティングシステム内のアクセス制御を回避することができる。

ブラウジング (Browsing):

├ 侵入者がアクセスを許可されていない情報を得るために使用される。
└ サーバやワークステーション上に保存されている他人のファイルを見たり、不注意に捨てられた情報をゴミの中から探したり、フロッピーディスクに保存された情報を見ることによって行われる。

スニファ(Sniffers)：

├ トラフィックをモニタするツール。
└ このツールはハードウェア、もしくはプロミスキャスモードのネットワークインターフェイスカード(NIC)を持ったコンピュータ上で動くソフトウェアである。

セッションハイジャック (Session Hijacking)：

└ 攻撃者は検知されることなく会話の間に入り込む。

パスワードクラッキング(Password Cracking)：

└ パスワードを捕らえ暴く-

辞書攻撃 (Dictionary attack): 

├ ハッキングツールに大量の単語のリストを入れる。
└ このツールは捕らえたパスワードと、リスト内の単語に一方向ハッシュ関数をかけ、ハッシュ値が合致するかどうか比較する。もし合致したらパスワードが得られ、そうでなければリスト内の次の単語に進む。

総当たり攻撃(Brute force attack): 

└  数多くの様々な文字のバリエーションを試す。それぞれのバリエーションに対してハッシュ値を求め、それを捕らえたパスワードのハッシュ値と比較する。

バックドア(Backdoors):

└ 攻撃者によりインストールされたプログラムで、後日、ログイン情報を入力したり認証プロセスを経たりすることなしにコンピュータに再度入り込むことができるもの

go to menu page

ここまで

narto.hatenablog.com