セキュリティを気にするなら最低限やっておきたい、不正アクセスを撃退する12の予防策

パスワード攻撃、不正アクセスおよび関連する脅威から防御するには予防策が不可欠だ。先を見越して守りを強化する方法について専門家が要点を解説する。

公開 2018年01月16日 05時01分

著者

（ISC）2

[TechTarget]

印刷する

　パスワード攻撃や不正アクセスを防ぐには、セキュリティ担当者がセキュリティ対策を多数実装する必要がある。また、強力なセキュリティポリシーを厳守することも欠かせない。以下のリストでは、多数のセキュリティ対策を明らかにしている。ただしこれはセキュリティ担当者が利用できる全ての事前対策を載せた包括的なリストではない。この点を認識しておくことは大切だ。

併せて読みたいお薦め記事

不正アクセスの実態

パスワード攻撃に備える

1．システムへの物理アクセスの制御

　セキュリティ担当者は各自の設計で考慮に入れなければならないことがある。それは、攻撃者がコンピュータに対して制限なく物理アクセスできる時点で攻撃者の勝ちだということだ。攻撃者は認証サーバに物理アクセスできるようになったら、大抵の場合、パスワードファイルをごく短時間で盗み出せる。パスワードファイルを盗んだら、オフラインでパスワードをクラッキングできる。このようなパスワード攻撃が発生した後は、全てのパスワードが侵害されていると考える必要がある。ただし、この問題は物理アクセスを制御することで防げる。

2．パスワードファイルへの電子アクセスの制御

　セキュリティ担当者はパスワードファイルへの電子アクセスを厳しく制御、監視する必要がある。エンドユーザーなど、アカウント管理者以外は日常業務でパスワードデータベースファイルにアクセスする必要はない。パスワードデータベースファイルへの権限のないアクセスは直ちに調査すべきだ。

3．パスワードファイルの暗号化

　アクセス制御ベースのパスワード攻撃から保護するには、セキュリティ担当者がセキュリティ対策を多数実装する必要がある。セキュリティ担当者は管理対象のOSで利用できる最も強力な暗号化を使用し、パスワードファイルを暗号化すべきだ。パスワードはプレーンテキストでは保存しない。通常は、一方向暗号（ハッシュ関数）を使用して保存する。また、パスワードデータベースファイルのコピーが格納された全てのメディアを厳重に管理しなければならない。これには、バックアップテープや修復ディスクなどのメディアも含む。さらに、パスワードをネットワーク経由で転送する場合も暗号化が必要だ。

4．強力なパスワードポリシーの作成

　パスワードポリシーでは、プログラムを使用して強力なパスワードの使用を強制する。また、このポリシーで定期的にパスワードを変更するようにユーザーに求めることができる。こうしたことをセキュリティ担当者は理解しておく必要がある。長くて強力なパスワードほど、攻撃での解読により時間がかかる。

　ただし、時間が十分にあれば、どのパスワードも総当たり攻撃などの方法により解読される恐れがある。そのため、セキュリティを確保するにはパスワードを定期的に変更することが求められる。セキュリティ性や機密性が高い環境ほど頻繁にパスワードの変更が必要になる。セキュリティ担当者は、管理者アカウントなどの特権があるアカウントには個別のパスワードポリシーを使用する。そのポリシーでは、より強力なパスワードを使用し、なおかつパスワードを頻繁に変更するように求める。

5．パスワードマスクの使用

　セキュリティ担当者は、アプリケーションでパスワードが平文のまま画面に表示されるようなことが決して起こらないようにする。代わりに、アスタリスク（＊）などの代替文字を表示することで画面上のパスワードをマスキングする。こうすることで、肩越しにパスワードをのぞき見られることが少なくなる。ただし、攻撃者はキーストロークを観察することでパスワードを突き止めることがある。この点をユーザーは認識しておくことが必要だ。

6．多要素認証の導入

　セキュリティ担当者は多要素認証の導入を計画する。例えば、生体認証やトークンデバイスなどを用いる。パスワードがネットワークのセキュリティ保護に使用する唯一の手段になっていなければ、パスワードの侵害が自動的にシステムの侵害につながることはない。

7．アカウントロックアウト制御の使用

　アカウントロックアウト制御はオンラインパスワード攻撃を防ぐのに役立つ。この制御では、事前に定義された回数だけ誤ったパスワードが入力されるとアカウントをロックアウトする。アカウントをロックアウトする前に5回まで誤ったパスワードを入力できるようにするのが一般的だ。大半のFTPサーバなど、アカウントロックアウト制御をサポートしていないシステムやサービスもある。その場合、セキュリティ担当者は拡張ログ機能と侵入検知システムを採用し、パスワード攻撃の痕跡を探す必要がある。

8．最終ログイン通知の使用

　多くのシステムでは、最後に正常にログインされた時刻、日付、場所（コンピュータ名やIPアドレスなど）を記載したメッセージが表示される。ユーザーがこのメッセージに注意を払っていれば、自分のアカウントが他人にアクセスされた場合に気が付く可能性がある。例えば、ユーザーが最後にログインしたのは前の金曜日だったが、メッセージには土曜日にアカウントにアクセスされた事実が示されているとする。その場合、アカウントが侵害されているのは明らかだ。アカウントが攻撃または侵害されているのではないかと感じたユーザーは、そのことをシステム管理者に報告することになる。

9．セキュリティに関するユーザー教育

　パスワード攻撃のリスクを軽減するために、セキュリティ担当者が確実に行わなければならないことがある。セキュリティを確保する必要性と強力なパスワードの使用について、ユーザーに適切なトレーニングを実施することだ。パスワードは決して共有したり書き留めたりしてはならないことをユーザーに周知する。唯一の例外として考えられるのは、管理者アカウントやrootカウントなど、最も機密性が高いアカウントに使用される長くて複雑なパスワードだ。こうしたパスワードは書き留めた上で安全に保管する必要がある。また、セキュリティ担当者は強力なパスワードを作成する方法について、ユーザーにヒントを提供する。肩越しにパスワードをのぞき見られることを防ぐ方法についても同様だ。さらに、同じパスワードを異なるアカウントに使用するリスクについてもユーザーに情報提供すべきだ。例えば、ユーザーが銀行口座とオンラインショッピングのアカウントに同じパスワードを使用しているとしよう。その場合、1つのシステムへの攻撃に成功されたら、全てのアカウントが侵害される恐れがある。また、セキュリティ担当者はソーシャルエンジニアリングの手口についてもユーザーに周知する必要がある。

10．アクセス制御

　セキュリティ担当者のアクセス制御手順を定期的にレビューし、監査することがアクセス制御の有効性を評価するのに役立つ。例えば、監査ではアカウントへのログインの成功と失敗を追跡できる。侵入検知システムではこれらのログを監視し、ログインプロンプトへの攻撃を簡単に特定して管理者に通知することができる。

11．アクティブなアカウント管理

　従業員が退職または休職した場合、セキュリティ担当者はできるだけ早くそのアカウントを無効にする必要がある。停止したアカウントは、もう必要ないと判断した時点で削除する。アクセス状況に応じて定期的にユーザーに権限を付与することで、過剰な権限や権限の削除し忘れを発見できる。

12．脆弱性スキャナーの使用

　脆弱（ぜいじゃく）性スキャナーではアクセス制御に関する脆弱性を検出できる。セキュリティ担当者がこれを定期的に使用すると、組織でアクセス制御に関する脆弱性を軽減するのに役立つ。これにはパスワード攻撃の対象となる領域も含まれる。多くの脆弱性スキャナーにはパスワードクラッキングツールも用意されている。このツールを使用することで貧弱なパスワードが検出される。また、システムがパッチにより最新状態に維持されているかどうかを確認できるツールも搭載されている。

本稿は、アダム・ゴードン氏、CISSP-ISSAP、ISSMP、SSCP編集の『Official (ISC)2 Guide to the CISSP CBK, Fourth Edition』（CISSP CBKの公式（ISC）2ガイド、第4版）からの抜粋だ。ドメイン5のこのセクションは、セキュリティ担当者がパスワード攻撃などのアクセス侵害のリスクを最小限に抑えるために、先回りして取れる対策に重点を置いている。

印刷する