【ネスぺ対策】セキュリティ関連技術

ネットワークスペシャリスト合格に必要となる知識を一問一答形式で確認していきます。

目次

DNS

DNSリフレクタ攻撃の原理を述べよ。またその対策を述べよ。

送信元IPアドレスを偽装してDNSに問い合わせを送信して,ある特定のサーバに大量の応答が返るDDoS攻撃の一種。応答のパケットサイズを大きくしたいため,TXTレコードをDNSサーバにキャッシュさせる。対策としては,外部からの問い合わせに答えるオープンリゾルバの機能を無効にすることや,問い合わせ元の正当性を検証することなどが挙げられる。また,DNSサーバをキャッシュサーバとフルリゾルバに分離し,外部からキャッシュサーバへの問い合わせを禁止する対策も効果的である。

DNSキャッシュポイズニングの対策を三つ述べよ
  • 送信元ポート番号のランダム化
  • 外部DNSサーバをコンテンツサーバとキャッシュサーバに分類し,キャッシュサーバは内部のコンテンツサーバからの応答のみをキャッシュするようにする
  • DNSSEC
C&CサーバのIPアドレスとFQDNを偽装する方法を述べよ
  • IPアドレス:特定のドメインに対するDNSレコードを短時間に変化させるFast Fluxを利用する
  • FQDN:あらゆるホスト名に対してワイルドカードで同一のIPアドレスを指定するDomain Fluxを利用する

メール

OP25Bが適用されない条件を二つ答えよ
  • 固定IPからの送信
  • SMTP-AUTHで認証済みのノードからの送信
SPFを簡単に説明せよ。

SMTPのMAIL FROMコマンドで指定されるエンベロープFromと,DNSサーバのTXTレコードを照合して,送信元の正当性を確認する。ただし,SPFの情報が記載されたTXTレコードを特にSPFレコードと呼ぶことがある。

電子メールのセキュリティリスクとその対策を洗い出せ
  • 全体
    • 本文が暗号化されていない:S/MIME, SMTPS
  • 送信
    • 認証機能がない:POP before SMTP, SMTP AUTH
    • 送信元が詐称される:SPF, DKIM
    • 大量のメールが送信される:OP25B
  • 受信
    • 認証パスワードが暗号化されていない:APOP, POP3S

悪意のある攻撃と脆弱性

クロスサイトリクエストフォージェリを説明せよ

悪意のある人が用意した罠により,利用者が予期しない処理を実行させられてしまう攻撃

IPスプーフィング攻撃の対策例を述べよ

外部から入るパケットの送信元IPアドレスが自ネットワークのものであれば,そのパケットを破棄するという対策。IPスプーフィングは送信元IPアドレスを偽装する攻撃であるため,送信元IPアドレスを調べて不適切なアドレスであれば除外するといったような対策は有効になる。

リフレクタ攻撃で利用されるプロトコルの特徴を述べよ

IPアドレスの偽装が容易であるコネクションレス型のUDPが利用されやすい。例えば,NTP・Memcached・NTPなどが利用されやすい。なお,リフレクタ攻撃とは送信元IPアドレスを攻撃対象に偽装して,大量の応答パケットを送り込むことで過負荷状態に追い込むDDoS攻撃の一種である。

PCをリピータハブ経由で認証を行うスイッチに接続したときのセキュリティ上の問題を指摘せよ

認証されたポート経由で認証されていないPCの接続が許可されてしまうという問題

SYN Flood攻撃を説明せよ

最後のACKパケットを何らかの方法で相手ホストに届かないようにすることで,未完了の接続開始処理を大量に発生させる攻撃

ARPスプーフィングを説明せよ

偽のARP応答とARP要求により,接続先を自分に仕向ける攻撃のことを指す。例えば,クライアントとルータ間の接続で通信制限装置を介在させるケースを考えると,以下のARP要求とARP応答が送られる。なお,下の表にあるフィールドはARPパケットのペイロードに格納されるデータであり,ARPパケットの先頭には別途宛先MACアドレス・送信元MACアドレス・タイプ(ARPは0x0806)が存在する。

クライアントからのARP要求通信制限装置からのARP応答通信制限装置からのARP要求
送信元MACアドレスクライアントのMACアドレス通信制限装置のMACアドレス通信制限装置のMACアドレス
送信元IPアドレスクライアントのIPアドレスルータのIPアドレスクライアントのIPアドレス
宛先MACアドレスブロードキャストクライアントのMACアドレスルータのMACアドレス
宛先IPアドレスルータのIPアドレスクライアントのIPアドレスルータのIPアドレス
ARPスプーフィングの仕組み

対策

代表的なファイアーウォールの種類を三つ述べ,それらを簡単に説明せよ
  • パケットフィルタリング方式:ネットワーク層のレベルで内外の通信を中継する
  • サーキットゲートウェイ方式:トランスポート層のレベルで内外の通信を中継する
  • アプリケーションゲートウェイ方式:アプリケーション層のレベルで内外の通信を中継する
FWの動的フィルタリングを説明せよ

戻りのパケットを設定不要で許可する仕組み

UTMとは

Unified Thread Managementの略称で,FW・IDS/IPS・SPAM対策などの機能を統合する管理手法。

冗長構成にしたFWの副系はどのように主系の故障を検知するのか

定期的に送るHA(High Availability)ケーブル経由のハートビート。なお,主系自体は監視ポートのリンクダウンや特定端末へのポーリング失敗などを通して自身や周辺機器の故障を検知する。

FWとIDS/IPSとWAFの違いを述べよ
  • FW:ヘッダ情報を参照
  • IDS/IPS:データ部を参照
  • WAF:FWでもIDS/IPSでも止められない高度な攻撃を防ぐ
    • Webアプリケーション専用
    • 80番ポートなのでFWは機能せずIDS/IPSも防ぎきれない
IDSの種類と検知方法の種類を述べよ
  • IDSの種類
    • ネットワーク型IDS
    • ホスト型IDS
  • 検知方法
    • シグネチャ型
    • アノマリ型
ソーシャルエンジニアリングを説明せよ

人間の心理性を利用して個人が持つ秘密情報を入手する方法

ping監視で検知できないダウンの特徴を述べよ

ポートが複数あるデバイス。逆にいうとポートが一つのスイッチのダウンは検知することができる。

デバイスの監視方法に関して二つの下位互換方式と一つの上位互換方式を述べよ
  • 下位互換方式:ping+SYSLOG
  • 上位互換方式:SNMP

pingはサーバがダウンしているか・していないか程度しか検知できない。複数のポートがある場合などは対応が不可能。また,SYSLOGはデバイス側から監視サーバへの単方向的な監視に限られてしまう。一方で,SNMPでは監視サーバから能動的にデバイスの情報を取得できるだけでなく,ポートごとの監視も可能になる。

暗号化

WEP/WPA/WPA2/WPA3およびRC4/TKIP/AES/CCMP/GCMP/SAEを整理せよ。

下記記事を参照してください。

WPA2とWPA3の違いを述べよ

WPA2はIEEE802.11iの必須部分を実装したAESベースのプロトコル。パスワードは利用者間で共有する方式で,AESはデータをある一定の長さに分割して置換と並べ替えを繰り返す暗号化アルゴリズムのことを指す。WPA2では,中間者攻撃を用いるKRACKsという攻撃に対して脆弱性が存在する。WPA3では,SAEを利用してパスワードベースの認証を可能にしている。SAEは,楕円曲線暗号を用いた認証および鍵交換の方式を指し,WPA2の脆弱性を克服する。

EAP/RADIUS/SSID/WPA2では暗号化通信の機能が規定されているか
  • EAP:PPPの拡張プロトコルで暗号化通信の機能はない
  • RADIUS:認証と利用ログの記録を行うプロトコルだが暗号化通信の機能はない
  • SSID:APと端末に設定する識別子
  • WPA2:TKIP(Temporal Key Integrity Protocol)を使用して動的に暗号鍵を更新する
CRLを説明せよ

Certificate Revocation Listの略称で,有効期限内に失効したディジタル証明書の「シリアル番号」のリストを表す。有効期限切れになった証明書ではない点と,公開鍵自体のリストではない点に注意。

EAPの代表的な認証方式を二つ述べよ
  • PEAP:サーバ証明書+ID/Password
  • EAP-TLS:サーバ証明書+クライアント証明書

PEAPとEAP-TLSの差分はクライアントの認証方式。前者はユーザ認証を行い,後者は端末認証を行う。

802.1X認証における各層ごとのプロトコルを可視化せよ
IEEE802.1X可視化
IPsecを簡単に説明せよ。

ネットワーク層で動作するプロトコルで,AH/ESP/IKEなどのプロトコルから構成される。

  • AH(Authentication Header)
    • HMACによる改ざん検知を行う。ただし,暗号化はできない。
  • ESP(Encapsulated Security Payload)
    • HMACによる改ざん検知とDES/3DES/AESによる暗号化を行う。
  • IKE(Internet Key Exchage)
    • Oakley鍵交換を行う。

IKEは従来ISAKMP/Oakley鍵交換と呼ばれていたプロトコルであり,Diffie-Hellmanの鍵交換をベースにしたプロトコルになっている。ISAKMPはSISCOによるIKEの別称で,Internet Security Association and Key Management Protocolの略称である。

IKEのプロトコルとポート番号を述べよ。

UDP/500

IKEの二つの動作モードを説明せよ
  • メインモード:IPアドレスも認証情報として利用されるため固定IPアドレスが必要
  • アグレッシブモード:動的IPアドレスでも認証できる
    • XAUTH:IKEの認証拡張機能でRADIUSサーバと連携する
ディジタル署名の目的を三つ述べよ
  • 改ざん防止(完全性)
  • なりすまし防止(真正性)
  • 否認防止(本人が署名を否定できない)
ディジタル証明書は何を証明するものか

公開鍵

WPA2では,暗号化アルゴリズムにAESを採用した何というプロトコルを使用するか。

CCMP(Counter-mode with CBC-MAC Protocol)

WPA(WPA2)のパーソナルモードとエンタープライズモードを説明せよ
  • パーソナルモード:事前共通鍵を利用するPSK認証
  • エンタープライズモード:RADIUSサーバーを用いたユーザー認証を行うIEEE802.1X認証
鍵を生成するための乱数を何と呼ぶか

PMK(Pairwise Master Key)

TLSのバージョンと具体的なハッシュアルゴリズムをまとめよ
  • TLS1.0/TLS1.1:MD5/SHA-1
  • TLS1.2:SHA-256
  • TLS1.3:SHA-256/SHA-384
SSLのハンドシェイクを説明せよ
  • Client Hello:利用可能な暗号化アルゴリズム一覧
  • Server Hello:暗号化アルゴリズムの決定
SSL-VPNの代表的な三方式を説明せよ
  • リバースプロキシ:
    • クライアントがSSL-VPN装置においてユーザ認証をして,80/443番ポートで社内のサーバと通信する。
  • ポートフォワーディング:
    • クライアントが専用モジュールをダウンロードし,SSL-VPN装置と443番ポートでトンネルを作成し,TCP/UDPの任意ポートで社内のサーバと通信する。
  • L2フォワーディング:
    • クライアントがHTTPS通信で専用ソフトをダウンロードし,SSL/TLS接続のトンネルを作成し,任意のプロトコル・任意のポートで社内のサーバと通信する。名前の通り,SSL/TLS接続のトンネルによりL2レベルの通信が可能になることで,仮想的に社内と同一LANに属している状況となる。また,L2フォワーディング方式では,クライアントに仮想IPアドレスを付与することが一般的である。

IPsecがネットワーク層のトンネリング技術であるのに対し,SSL-VPNはセッション層(アプリケーション層)のトンネリング技術である。

SSLを4つのフェーズに分けて具体的なアルゴリズムと共に説明せよ
  • 認証:RSAなどの公開鍵暗号化方式によりサーバ証明書を認証する
  • 鍵交換:RSAなどの公開鍵暗号化方式により共通鍵を交換する
  • 暗号化通信:AESなどの共通鍵暗号化方式でアプリケーション層の暗号化を行う
  • 改ざん検知:SHA-256などのハッシュアルゴリズムでメッセージの改ざんを検知する

他にも,公開鍵暗号化方式・共通鍵暗号化方式・ハッシュ暗号化方式それぞれに対して,以下のようなアルゴリズムが存在する。

  • 公開鍵
    • RSA:素因数分解の困難性を利用
    • ElGamal暗号:離散対数問題を利用
    • 楕円曲線暗号(ECC):楕円曲線上の離散対数問題を利用
  • 共通鍵
    • RC4:データを1bitずつ暗号化していくストリーム暗号
    • DES:一定量のデータをまとめて暗号化するブロック暗号
    • AES:複雑性を増したブロック暗号
  • ハッシュ
    • MD5:128bit
    • SHA-1:160bit
    • SHA-256:256bit
IKEv1とIKEv2の違いを簡単に説明せよ。

IKE v1では,ISAKMP SA(IKE SA)とIPsec SAの二つのSA(論理的な通信路)を作成した。一方,IKE v2ではIKE SA(一つ目のIPsec SA用),Child SA(二つ目以降のIPsec SA用)とIPsec SAを作成する。IKE v1のISAKMP SAでは,認証を行うフェーズ1とIPsec用の鍵交換を行うフェーズ2に分けられており,それぞれで複数回の往復通信が必要になっていたが,IKE v2では認証および鍵交換のプロセスを圧縮した。

CA・ルート証明書・クライアント証明書・サーバ証明書・中間証明書・署名・ハッシュ・公開鍵・秘密鍵の違いを説明せよ。
  • CA:Certification Authorityの略称で,信頼できる認証局
  • ルート証明書:CAの妥当性を示すためにCA自身が署名した公開鍵
  • 中間証明書:ルート証明書を保護するため,サーバ証明書に利用する署名の階層構造を実現する公開鍵
  • サーバ証明書:CAによって署名されたサーバの公開鍵
  • クライアント証明書:CAによって署名されたクライアントの公開鍵

ルート証明書や中間証明書は,サーバ側にもクライアント側にも存在する。相手の認証を行うためには,相手の証明書のルート証明書を事前に「信頼するルート証明書」としてインストールしておく必要がある。

シェアはこちらからお願いします!

コメント

コメントする

※ Please enter your comments in Japanese to distinguish from spam.

目次