第47章 セキュリティーの概要
ビジネスの実行や個人情報の追跡に役立つ強力なネットワークコンピューターへの依存度が高まるため、業界はネットワークおよびコンピューターのセキュリティーの実践に重点を置いています。企業では、システムを適切に監査し、組織の運用要件を満たすようにソリューションを調整するために、セキュリティーのエキスパートの知識とスキルを確保しています。ほとんどの組織は本質的に動的であるため、企業の IT リソースにローカルおよびリモートからアクセスするワーカーでは、セキュアなコンピューティング環境の必要性がわかりやすくなりました。
残念ながら、ほとんどの組織（個別ユーザーも含む）は、費用、生産性、および予算面の懸念が高まるため、セキュリティーを後で検討するプロセスについて検討しています。多くの場合、適切なセキュリティー実装は、不正な侵入が発生した後、延期された後です。セキュリティーのエキスパートは、インターネットなどの信頼できないネットワークにサイトを接続する前に実施した適切な措置が、侵入でほとんどの試みを阻害する効果的な手段であることに同意します。
47.1. セキュリティーの概要
47.1.1. コンピューターセキュリティーとは
コンピューターセキュリティーは、コンピューティングと情報処理の幅広い分野で使用される一般的な用語です。コンピューターシステムとネットワークに依存して日々のビジネストランザクションを実施し、重要な情報にアクセスする業界は、データをアセット全体の重要な部分と見なします。期間やメトリクスには、毎日のビジネス用語に入りました。たとえば、所有者コスト(contact)や QoS (Quality of Service)など、数々のビジネス用語に入りました。これらのメトリクスでは、計画およびプロセス管理コストの一部として、データの整合性や高可用性などの側面を計算します。電子商取引などの業界では、データの可用性と信頼性は、成功と失敗の違いです。
47.1.1.1. How did Computer Security Come about?
情報セキュリティーは、個人、銀行、およびその他の制限された情報を開示しないパブリックネットワークへの依存度が高まるため、長年にわたって進化しています。Mitnick や Vladimir Levin case など、多くのインスタンスがあり、あらゆる業界で組織を要求して、情報の送信や公開の処理方法を再考します。インターネットの人気は、データセキュリティーの意図的な作業を求める最も重要な開発の 1 つでした。
インターネットが提供するリソースにアクセスするために、個人のコンピューターを使用しているユーザーの数が増えています。調査や情報の取得から電子メールやコマース取引まで、インターネットは 20 位のうちの最も重要な開発の 1 つとして考慮されました。
ただし、インターネットとそれ以前のプロトコルは、信頼ベース のシステムとして開発されました。つまり、インターネットプロトコル自体は保護されるように設計されていません。TCP/IP 通信スタックに組み込まれた承認済みのセキュリティー標準はなく、ネットワーク全体で悪意のあるユーザーやプロセスに開くことができます。現代の開発によりインターネット通信がより安全になりましたが、国内的な注意を集め、完全に安全ではないという事実を警告するインシデントがいくつかあります。
47.1.1.2. Security Today
2000 年 2 月に、DDoS (Distributed Denial of Service)攻撃は、インターネット上で最も負荷の高い複数のサイトに無駄になりました。攻撃は yahoo.com、cnn.com、amazon.com、fbi.gov、およびその他のサイトは完全に到達不能な状態になりました。これは、通常ユーザーに完全に到達不能になります。これは、大きなバイトの ICMP パケット転送でルーターを 1 時間関連付けています( ping フラッド とも呼ばれます)。この攻撃は、脆弱なネットワークサーバーをスキャンし、サーバーに Trojans と呼ばれるクライアントアプリケーションをスキャンして、特殊に作成された未知のプログラムを使用して、未知の攻撃を受けました。また、検出したすべてのサーバーで攻撃に時間をかけ、その攻撃を使用できなくなっていました。パケットの送信先や送信目的に関係なく、ルーターとプロトコルがすべての受信データを受け入れるように構造化されている方法の基本的な欠陥に対する多くの攻撃を緩和します。
現在、約 9.45億人のユーザーがインターネットを使用または使用しているか(Computer Industry Almanac、2004 年)同時に、以下を行います。
コンピューターセキュリティーは、すべての IT 予算の数量で正当な費用になりました。データの整合性と高可用性を必要とする組織は、システム管理者、開発者、エンジニアがシステム、サービス、および情報の 24 時間の信頼性を確保するためのスキルの恩恵を受けています。悪意のあるユーザー、プロセス、またはコーディネート攻撃の違反は、組織の成功に対する直接の脅威です。
残念ながら、システムおよびネットワークのセキュリティーは、組織がどのように情報を使用、使用、操作、送信するかについての詳しい知識を必要とするため、システムおよびネットワークのセキュリティーが困難になる場合があります。組織（および組織を設定するユーザー）がビジネスを行う方法を理解することは、適切なセキュリティー計画を実装するのに最も適しています。
47.1.1.3. セキュリティーの標準化
すべての業界で、米国政府の Association (AMA)、Electrical and Electronics Engineers (IEEE)などの標準によって設定された規制やルールに依存します。情報セキュリティーにも同じことが言えます。多くのセキュリティーコンサルタントやベンダーが 機密性 (Confidentiality)、保全性 (Integrity)、可用性 (Availability) の頭文字をとった CIA として知られる標準セキュリティーモデルを採用しています。この 3 階層モデルは、機密情報のリスク評価やセキュリティー方針の確立において、一般的に採用されているモデルです。以下でこの CIA モデルを説明します。
- 機密性 - 機密情報は、事前に定義された個人だけが利用できるようにする必要があります。許可されていない情報の送信や使用は、制限する必要があります。たとえば、情報に機密性があれば、権限のない個人が顧客情報や財務情報を悪意のある目的 (ID 盗難やクレジット詐欺など) で入手できません。
- 保全性 - 情報は、改ざんして不完全または不正確なものにすべきではありません。承認されていないユーザーが、機密情報を変更したり破壊したりする機能を使用できないように制限する必要があります。
- 可用性 - 情報は、認証されたユーザーが必要な時にいつでもアクセスできるようにする必要があります。可用性は、合意した頻度とタイミングで情報を入手できることを保証します。これは、パーセンテージで表されることが多く、ネットワークサービスプロバイダーやその企業顧客が使用するサービスレベルアグリーメント (SLA) で正式に合意となります。
47.1.2. セキュリティーコントロール
多くの場合、コンピューターセキュリティーは、一般に コントロール と呼ばれる以下の 3 つのマスターカテゴリーに分類されます。
- 物理的
- 技術的
- 管理的
この 3 つのカテゴリーは、セキュリティーの適切な実施における主な目的を定義するものです。このコントロールには、コントロールと、その実装方法を詳細化するサブカテゴリーがあります。
47.1.2.1. 物理的コントロール
物理的コントロールは、機密資料への非認証アクセスの抑止または防止のために、明確な構造でセキュリティー対策を実施します。物理的コントロールの例は以下のとおりです。
- 有線監視カメラ
- 動作または温度の感知アラームシステム
- 警備員
- 写真付き身分証明書
- 施錠された、デッドボルト付きのスチールドア
- バイオメトリクス (本人確認を行うための指紋、声、顔、虹彩、筆跡などの自動認識方法が含まれます)
47.1.2.2. 技術的コントロール
技術的コントロールでは、物理的な構造物やネットワークにおける機密データのアクセスや使用を制御する基盤となる技術を使用します。技術的コントロールは広範囲に及び、以下のような技術も含まれます。
- 暗号化
- スマートカード
- ネットワーク認証
- アクセス制御リスト (ACL)
- ファイルの完全性監査ソフトウェア
47.1.2.3. 管理的コントロール
管理的コントロールは、セキュリティーの人的要素を定義します。これには、組織内のすべてのパーソナルレベルが含まれ、以下のようにどのユーザーがどのリソースや情報にアクセスできるかを決定します。
- トレーニングおよび認識の向上
- 災害準備および復旧計画
- 人員採用と分離の戦略
- 人員登録とアカウンティング
47.1.3. まとめ
セキュリティーの出所、理由、側面について学んだので、Red Hat Enterprise Linux に関する適切なアクションを決めることができます。適切なストラテジーを計画および実装するために、セキュリティーを設定する要素と条件を理解することが重要です。この情報を念頭に置いて、このプロセスを形成でき、セキュリティープロセスの詳細を把握しておくと、パスが明確になります。
