情報処理安全確保支援士(情報セキュリティスペシャリスト)試験に合格するためのサイトです。
過去問を多数引用しながら、基礎知識をしっかり学んでもらうように作ってあります。
また、情報処理安全確保支援士(情報セキュリティスペシャリスト)を楽しく学べるように工夫したいと思います。
カテゴリ:

6.ネットワークセキュリティ

IDS、IPSとは
IDS(Intrusion Detection System)は、言葉の通り、「侵入(Intrusion)」を「検知(Detection)」する「システム(System)です。
また、IPS(Intrusion Prevention System)も同じく言葉の通りで、「侵入(Intrusion)」を「防御(Prevention)」する「システム(System)です。
両者の違いは、検知(Detection)だけでなのか、検知したものを防御(Prevention)するかです。

ただ、実際の製品としては、防御までできるIPS製品がほとんどです。製品例としては、McAfee社のNSPやIBM社のIBM Security Network IPS(旧Proventia)、HP社のTippingPointなどがあります。

どちらも、従来のFWでは防げない高度な攻撃を検知、防御します。

※最近のネットワークスペシャリスト試験では、あまり問われていません。

なぜファイアウォールでは防げないのか
情報セキュリティスペシャリスト試験を目指す女性SE

ファイアウォールで、外部からの攻撃は防げますよね。
それでもIPSは必要なのでしょうか?
良く分かっていないので、教えてください。
きちんとしたセキュリティ対策のためには必要だ。
それは、ファイアウォールでは防げない攻撃があるからだ。
ファイアーウォールは,IPアドレス,プロトコル,ポート番号などのヘッダのみを確認し,データの中身を確認しない。
送信元IP
アドレス
宛先IP
アドレス
プロト
コル
送信元
ポート番号
宛先
ポート番号
データ   
    
つまり、通常のWebアクセス(80や443)による通信であれば、すべて許可してしまう。そうなると、クロスサイトスクリプティングやバッファオーバフローなどの攻撃を防ぐことができない。
一方,IDSやIPSはデータの中身もチェックすることができる。

次の過去問を見てみよう。これをじっくり考えると、ファイアウォールでは防げない攻撃が分かる。
問41 パケットフィルタリング型ファイアウォールのフィルタリングルールを用いて、本来必要なサービスに影響を及ぼすことなく妨げるものはどれか。
ア 外部に公開していないサービスへのアクセス
イ サーバで動作するソフトウェアのセキュリティの脆弱性を突く攻撃
ウ 電子メールに添付されたファイルに含まれるマクロウィルスの侵入
エ 電子メール爆弾などのDos攻撃
(H23AP秋)
同時に、ファイアウォールでなければ、何を導入すれば防げるかも同時に考えよう。
正解はアである。フィルタリングルールだけでは、イ~エの攻撃が防げない、そこで、IPSであたり、WAFの仕組みが必要になる。イはWAFやホスト型IPSが必要、ウはUTMによるウイルスチェックが必要であろう。エはIPSが必要。

5
FWでは防げない攻撃があることは分かりました。
でも、IDSやIPSが無くても、サーバをきちんと要塞化すればいいのでは?




それはそう。本当にその通りだ。その観点でいうと、FWも不要だ。
しかし、FWの利点は、セキュリティ管理の一元化ができることだ。
一方、IDS/IPSに関して、以下の過去問を見てみよう。
L氏 :IDS又はIPSを導入する必要性について,説明してください。
J主任:③FWのフィルタリングルールの設定だけでは、Webサーバに対するバッファオーバフロー攻撃などを防御できません。こうした攻撃への対策として,IDS又はIPSの導入や,サーバにセキュリティパッチを適用することが考えられます。しかし,御社では,セキュリティパッチ適用時のサーバの動作確認や,適用前のデータのバックアップ採取を行う必要があり,すぐにセキュリティパッチを適用することはできません。そこで,  IDS又はIPSの導入をお勧めした次第です。

設問3
(3)本文中の下線③について,  FWのパケットフィルタリングルールだけでは攻撃を防御できない理由を,  30字以内で述べよ。 (H19SV春午後1問2)
設問については、それほど難しくない。試験センターの解答例は以下だ。
「パケットのヘッダ情報だけで攻撃か否かを判断しているから」
「ペイロードの内容を見ていないから」

ここで着目してほしいのは、問題文にあるIDSやIPSの必要性である。
サーバのセキュリティパッチは毎月出る。しかし、セキュリティパッチを適用すると、システムが従来とは違う動きをしたり、アプリケーションが動かなくなるなどの危険が少なからずある。多くの企業では、パッチを自動更新しない設定にしている。そうすると、セキュリティホールが残ったままになるわけだから、IDS/IPSを設定しておくべきだ。

以下の問題を解いてみよう。
IDS














試験運用を開始してすぐに、IDSから管理者あてに警告メールが大量に送られるようになった。警告メールが多いと,管理者が重要な警告を見落とすおそれがあることから、D社ではIDSの導入効果を維持したまま警告メールの件数を少なくするために,①IDSの設置位置を図1のβの位置に変更した。

設問3 IDSから管理者あてに送られる警告メールの大量発生後に, D社が実施した対策について,答えよ。
(1)本文中の下線①の対策について,警告メールが減少する理由を35字以内で述べよ。(H23春AP午後問9)
db2fc28c
なるほど。分かりました。
この場合は、ファイアウォールで通信を絞ったあとにIDSを導入していますね。
ファイアウォールでは、Webサーバ(80)やメール(25)などの公開サービス以外の通信をブロックします。もしαにIDSを設置すると、すべての攻撃が来ますから、莫大なログになりますもんね。

その通り。
試験センターの解答例「監視対象がファイアウォールを通過したパケットに限定されるから」
とはいえ、FWへの攻撃を防ぐという意味では、αに置くことも選択肢の一つであることは理解しよう。
最近の場合は、FWに簡易なIPS機能があるから、その可能性は低いかもしれないが。

 IDSの種類には,ネットワーク上の通信を監視するネットワーク型IDS(NIDS:Network-Based IDS)とコンピュータ上での異常を監視するホスト型IDS(HIDS:Host-Based IDS)がある。過去問では以下のように,NIDSとHIDSの内容が問われる。

問48 NIDSの目的はどれか
解答:管理下のネットワーク内への不正侵入の試みを記録し,管理者に通知する。
(H18NW 午前問題 問48より)

問45 IDS(Intrusion Detection System)の特徴のうち,適切なものはどれか
解答:ホスト型IDSでは,シグネチャとのパターンマッチングを失敗させるためのパケットが挿入された攻撃でも検知できる。
(H18SM 午前問題 問45より)


 不正侵入の検知方法にはシグネチャ型とアノマリ型がある。その方法に関しては,過去問(H19SV午後Ⅰ問2)に詳しく記載がある。

検知方法には,シグネチャ型とアノマリ型があり,シグネチャ型は,既知の攻撃パターンに基づく攻撃とマッチングすることによって攻撃を検知し,例えば,サーバの既知の脆弱性を突いた攻撃を防ぐことができます。一方,アノマリ型は,RFCのプロトコル仕様などと比較して異常なパケットや,トラフィックを分析して統計的に異常なパケットを攻撃として検知します。
(H19SV午後Ⅰ問2より引用)

アノマリ(anomaly)という言葉は「異常な」という意味で,normal(正常)の反対として考えてもらうと覚えやすいだろう。
7a536a8a
番犬で言うと、 シグネチャ型は,「悪い人の顔」を「サングラス」「マスク」など覚えさせて,その人を見たらほえます。
 アノマリ型は,「普通の人よりキョロキョロする」「顔の露出が少ない」などの,統計的に異常な人を見たらほえるのですね。

過去問(H22年NW午後Ⅰ問3)を見てみよう
現在の構成では,  FWで通過が許可されているパケットを使った不正侵入は防御できないので,より高度な機能をもった侵入検知システム(以下, IDSという)が必要です。IDSには,監視対象のネットワークに設置するネットワーク型IDSと,監視対象のWebサーバなどにインストールする[ ア ]型IDSの2種類があります。また,侵入検知の仕組みとして,不正なパケットに関する一定のルールやパターンを使う[ イ ]型と,平常時のしきい値を超えるアクセスがあった場合に不正と見なすアノマリ型(異常検知型)の2種類があります。アノマリ型の場合,しきい値を高く設定したときだけでなく,①しきい値の設定が低すぎたときにも弊害が発生するので,注意が必要です。

・[ ア ]
 ホスト

・[ イ ]
 シグネチャ

・下線①に関して
設問「(3)本文中の下線①について,発生する弊害を,  40字以内で具体的に述べよ。」
 
 しきい値とは境目となる値のことです。アクセス数がこの値を超えると不正アクセスとみなします。反対に,この値に達しなければ不正アクセスとしてみなされません。
 しきい値を高く設定すると,大量の不正アクセスがあっても不正アクセスを検出することができません。しきい値が高すぎて,しきい値に達しないからです。
逆に,しきい値が低すぎると,通常のアクセスであっても不正アクセスとして誤検出する恐れがあります。しきい値が低いため,通常のアクセスであってもしきい値に達してしまうからです。

解答:不正な通信だけでなく適正な通信も異常として検知されてしまう。

 IDSやIPSにはフォールスポジティブ(誤検知)やフォールスネガティブ(見逃し)というエラーがある。
 (1)フォールスポジティブ
  正常な通信を誤って異常と検知してしまうこと
 (2)フォールスネガティブ
  異常な通信を検知できずに見逃してしまうこと

d18680c9
なかなか覚えられなくて…。逆に覚えたりしてしまいます。





 覚えるのではなく,理解するようにしよう。

 誤検知は,取り越し苦労ではあるが,侵入されていなかったので,前向きに考えてポジティブといえる。一方,見逃しは,侵入されたということなので,否定的にネガティブと言わざるを得ない。病気でいうと,「ガンです」と告知されて,「すいません,間違えていました」と言われるのは,ポジティブに考えられる。一方,「健康です」と言われ,実は「ガンであと少しの命でした」というのはネガティブに考えざるを得ない。

1.WAF(Web Application Firewall)
WAFとは、Web Application Firewallという言葉通り、Webアプリ用のファイアウォールである。通常のファイアウォールでは、レイヤ4までのヘッダのチェックがほとんどで、IPアドレスやポート番号でのアクセス制御を行っていた。よって、悪意のある攻撃であっても、80番のWebアクセスであればすべて通過させてしまう。
これにたいし、WAFはレイヤ4以上、つまりヘッダだけでなくデータの中身もチェックする。これにより、SQLインジェクションやクロスサイトスクリプティングなどをも防御することができる。まさしく、Webアプリ用のファイアウォールである。
情報セキュリティスペシャリスト試験を目指す女性SE

でも、IPSがあればいいのでは?
最近はWebサーバに特化した高度な攻撃が増えています。SQLインジェクションやクロスサイトスクリプティングなどがその代表ですが、IPSでは止められないものがたくさんあるのです。
waf_情報セキュリティスペシャリスト試験
また、WAFに関して過去問(H23AP秋午前問40)では、「クライアントとWebサーバの間において、クライアントがWebサーバに送信するデータを検査して、SQLインジェクションなどの攻撃を遮断するためのもの」と述べられています。

2.WAFのデメリット
デメリットは、データの中身もチェックするので、スループットが低下すること、SSL通信の検査は工夫がいること、ネットワークのインライン上に置くのでWAFがボトルネックになる可能性があること、故障ポイントが増えることなどがあります。

3.WAFの機能
WAFの製品としては、ImpervaやF5、Citrixなどがある。負荷分散装置のオプション機能として実現しているものもある。
同じWAFといっても、製品によってその充実度は違うであろう。
構成としては、インラインで入れられる製品がいいかもしれない。フェールオープン機能があれば、WAFの障害時でも、システム全体としての停止がなくなる。まあ、冗長化するのが理想ではあるが。
また、HTTPSのSSL通信であれば、暗号化されているため、セキュリティチェックができないという疑問もわくだろう。それはその通りで、WAFでSSLを終端する場合が多いだろう。これは過去問でも問われた。(H22秋SC午後1)
H22SC秋午後Ⅰ問3には、「Q氏が提案したWAFの主な機能」として次の表がある。
機能の名称
機能の概要
シグネチャによる通信検査機能HTTPによる通信をシグネチャと比較し、一致した場合には攻撃として検知する。シグネチャには、脆弱性を悪用する攻撃に含まれる可能性の高い文字列が定義されている。シグネチャの更新情報は、WAFの開発元から定期的に配信される。シグネチャごとに有効化、無効化の選択ができ、有効化したシグネチャに対しては、検知時に通信を遮断するか、遮断は行わず通知だけを行うかを設定できる。独自のシグネチャも作成が可能である。
クッキーの暗号化機能Webアプリケーションがブラウザに対してクッキーを発行した際、クッキーの値を暗号化して引き渡す。ブラウザからクッキーを受信した際、値を復号して、Webアプリケーションに引き渡す。
SSLアクセラレーション機能SSL通信の暗号化と復号を行う。
負荷分散機能販売システムで利用中のLBと同等性能の負荷分散機能を有する。

4.WAFのブラックリストとホワイトリスト
過去問を解いてみましょう。この問題を解くことで、WAFの検知の仕組みを再確認することができることでしょう。
問16 WAF(Web Application Firewall)のブラックリスト又はホワイトリストの説明のうち、適切なものはどれか。
ア ブラックリストは、脆弱性のあるサイトのIPアドレスを登録したものであり、該当する通信を遮断する。
イ ブラックリストは、問題のある通信データパターンを定義したものであり、該当する通信を遮断するか又は無害化する。
ウ ホワイトリストは、脆弱性のないサイトのFQDNを登録したものであり、該当する通信を遮断する。
エ ホワイトリストは、問題のある送信データをどのように無害化するかを定義したものであり、該当するデータを無害化する。
(H22秋SC午前2)
この問題も、正解の選択肢だけでなく、なぜ他がダメなのかを丁寧に確認したい。

この問題は、WAFのブラックリスト、ホワイトリストに特化した内容です。URLフィルタやファイアウォールのIPアドレスベースでのブラックリストなど、他の機能のものとは区別して考える必要があります。

では、順に見て行きましょう。
アは不正解です。WAFの場合、FWやIPSでは防げない攻撃を検知します。IPアドレスでの単純なブラックリストではありません。
イは正解です。WAFの場合、データの中身をチェックします。
ウは不正解です。イが正解とありますように、FQDNレベルで制御するのではなく、データの中身を見ます。FQDNも不正なサイトの判断基準の一つかもしれませんが、それが全てではありません。
エは不正解です。WAFのホワイトリストでは、無害化するかの定義をしていません。単純に、ホワイトリストで記載された通信は、許可されます。

【正解】


5.過去問(H22春FE午前)を解いてみましょう
問44 WAF(Web Application Firewall)を利用する目的はどれか。
ア Webサーバ及びアプリケーションに起因する脆弱性への攻撃を遮断する。
イ Webサーバ内でワームの侵入を検知し、ワームの自動駆除を行う。
ウ Webサーバのコンテンツ開発の結合テスト時にアプリケーションの脆弱性や不整合を検知する。
エ Webサーバのセキュリティホールを発見し、OSのセキュリティパッチを適用する。
FEの問題はわりと素直な問題なので、解きやすいですね。正解はアです。

WAFには、WAF製品を購入して企業に設置するオンプレミス型と、製品を持たないクラウド型があります。
製品を持たなくていいという利点から、クラウド型を検討する会社も増えているようです。
では、クラウドWAFの仕組みを解説します。

一般的なWEBサーバへのアクセス
素材3_11_クラウドWAFの導入


このように、①DNSにサーバのIPアドレスを問い合わせをし、③A社のWebサーバにアクセスします。

クラウドWAFの場合
素材3_12_クラウドWAFの導入

クラウドWAFを導入する場合は、DNSの設定をクラウド事業者に向けます。
①DNSの問合せ
②本来のサーバではなく、クラウド事業者のWAF(203.0.113.1)を回答します。
③PCはWebサーバだと信じていますが、実はWAFに接続しています。
④クラウド事業者のWAFにてセキュリティチェックをします。
⑤本当のA社のサーバに転送します。

以下の過去問(H28秋SC午後Ⅱ問2)では、両者の違いを含み、WAF全般に関する良問ですので、紹介します。上記の流れに関しても、設問があります。
〔WAFによる脆弱性対策〕
 Y脆弱性への対応指示に対して,β製品本部のVチーム員からは,β製品本部機器は,パッチの適用作業に1か月が必要なので,代替策を検討する必要があるとの報告を受けた。Vチームでは,シグネチャによる[ b ]という手法で攻撃を検知できるWebアプリケーションファイアウォール(WAF)が代替策になるかどうか,セキュリテイベンダのG氏に相談することにした。
 G氏によれば,  WAFによる対応は,サーバヘのパッチ適用に比べて, ⑤対策を実施するまでの期間が短いといわれており,  Y脆弱性への対応も既に可能になっているとのことであった。そこで, Q主任は,WAFの導入について,導入形態が異なる表1のような2案を作成した。
a
 β製品本部のY脆弱性がある公開Webサーバには,新製品の発表時などに,購入希望者からのアクセスが通常時の100倍程度まで一時的に増大するものがあり,かつ,次の新製品発表が3週間後に予定されている。このため,Q主任は,案2を選び,⑥クラウト型のWAFを1週間後に導入し,β製品本部でのY脆弱性に対する代替策とする案をP部長に提案した。

設問3 〔WAFによる脆弱性対策〕について. (1)~(4)に答えよ。
(1)本文中の[ b ]に入れるWAFの攻撃検知手法を, 15字以内で答えよ。
(2)本文中の下線⑤について,期間が短い理由を検証作業の観点から40字以内で述べよ。
(3)表1中の[ c ],[ d ]に入れる適切な字句を解答群の中から選び,記号で答えよ。
解答群
ア bash   イ CNAME  ウ DNS エ HINFO
オ MX    カ 公開Web   キ 社内Web  ク メール
(4)本文中の下線⑥について,Q主任がオンプレミス型ではなくグラウト型を選ぶ根拠となったグラウト型の利点を, 50字以内で述べよ。

設問を順に見ていきましょう。

(1)正解は「パターンマッチング」です。ウイルス対策ソフトのシグネチャによるパターンマッチングと同じです。
(2)正解は、「WAFの場合、検証作業の試験項目がパッチ適用のときよりも少なくて済むから」
(3)上で解説した図を参照してください。
 正解:c ウ d イ
(4)正解は「通信量の上限の切替えでWAFの能力変更が随時可能、かつ作業工数やコストの観点から無駄が少ない。」です。問題文にある「購入希望者からのアクセスが通常時の100倍程度まで一時的に増大するものがあり」など、問題文の記述を踏まえて回答を組み立てましょう。

WAFの導入の際には, Webサーバヘの負荷分散にWAFの負荷分散機能を利用することで,利用中のLBをWAFで置き換える方針とした。また,WAFのSSLアクセラレーション機能を利用し、⑥ブラウザからのSSL通信は、WAFで終端されることにした

設問4 本文中の下線⑥について,この措置を行う理由を55字以内で述べよ。(H22秋SC午後1問3)
WAFの設置場所に関する問題である。
後半に書いた図を照らし合わせながら見ていただきたい。
通常は、PC→WAF→Webサーバという並びで構成される。
WAFが無い場合、PCとWebサーバ間でSSL通信をする。ところが、SSLによる暗号化はPCとWAF間にとどめることが多い。これはなぜかという問題である。
d18680c9 
うーん。
難しいですね。
ということは、PCとWebサーバ間でSSL通信をすると何か問題があるということでしょうか。
知っていれば簡単な問題だ。httpsで暗号化されていると、通信をチェックできないからだ。
試験センターの解答例は、「WebサーバまでSSLで暗号化したままだと、WAFがトラフィックの内容を検査してシグネチャと照合できないため」である。
素材3_6_WAFでは、SSL通信をどう対処するか

以下の過去問(H25SC春午前2問4)も見てみよう。
問4 図のような構成と通信サービスのシステムにおいて, Webアプリケーションの脆弱性対策としてネットワークのパケットをキャプチャしてWAFによる検査を行うとき,WAFの設置場所として最も適切な箇所はどこか。ここで,  WAFには通信を暗号化したり,復号したりする機能はないものとする。
情報セキュリティスペシャリストwaf
ア a    イ b   ウ c   工 d
正解はcである。HTTPSの通信は暗号化されているので、WAFが効力を発揮できない。
最近のWAFのほとんどは、SSLを終端して復号化する機能を持っている。しかし、処理性能は高くない。やはり、専用のSSLアクセラレータ(多くはLBとの一体型)を入れるのがいいと思う。

直訳すると「統合された(Unified)脅威(Threat)管理(Management)」という意味。
Firewall機器やIDS/IPS機器,SPAM対策機器、アンチウイルス対策機器などを個別に導入することは運用面でも費用面でも敷居が高い。そこで,それらの機能を1つの筐体に統合(Unified)した製品がUTM。
特に中小企業にとっては,魅力的な製品になっている。
929c854c
UTMってすごい!
一台で何でもやってしまうんですから。
では、SPAM対策機とかURLフィルタの装置はいらないですね。
そうでもない。ファミリーレストランとラーメン専門店ではラーメンの質が違うのと同じで、専門製品にはかなわない。たとえば、SPAM対策機であれば、UTMはドメイン認証をしなかったり、パケットの中身解析をしないなど、機能はかなり落ちる。
だから、UTMを出しているメーカでも、SPAM対策機は別途売っていることもあるよ。


UTMが持つ機能は,過去問(H20年SU午後Ⅰ問1)で出題されているので紹介する。

表 UTMの機能
機能の名称
機能の概要
FW機能アクセス制御ルールに基づいて,パケットの中継及び破棄を行う。
VPN機能暗号技術を用いて,仮想的なプライベートネットワークを実現する。
侵入防止機能シグネチャとのパターンマッチングに基づいて,不正アクセスを遮断する。
バッファオーバフロー攻撃遮断機能入力パケット全体を検査し,バッファオーバフローに結びつくアクセスを遮断する。
(H20年SU午後Ⅰ問1より引用)
これ以外に,アンチスパム機能や,URLフィルタリング機能を持つものがある。

この問には設問があるので、紹介する。
設問2 UTMの機能について,(1),(2)に答えよ。
 (1)侵入防御機能の効果を維持するために,UTM導入後の日常運用として実行すべき事項を, 25字以内で述べよ。
 (2) 既知の攻撃であっても、Web受注アプリへの攻撃を、このUTMだけで検知することはできない理由を,25字以内で述べよ。
設問2(1)の解答は、「シグネチャファイルを常に最新版に更新すること」。導入したら終わりではなく、日常運用業務が必要で、ネットワーク管理者には負担となる。
設問2(2)の解答は、「入力された文字列が暗号化されているから」。SSLによって暗号化されているWebサーバとの通信はデータをチェックすることができないからだ。

このページのトップヘ