情報セキュリティ

情報セキュリティ

• 情報セキュリティ
  • 情報セキュリティとは
    • 機密性
    • 完全性
    • 可用性
  • 情報セキュリティの目的
  • リスクの発生
  • 脅威
  • アクセス制御
    • アクセス制御モデル

• 個人情報保護法
  • 個人情報保護法（個人情報の保護に関する法律）

クライアントPC(Windows)のセキュリティ対策

• ハードウェア設定
  • BIOSやハードディスクにパスワードを設定する。
  • ハードディスクを暗号化する。
• ソフトウェアによる対策
  • ウイルス対策ソフトを導入する。
  • パーソナルファイアウォールを動作させる。
  • 不要なサービス停止する。
• 日々の運用
  • パスワード
    • 桁数*1や文字種を増やす。
    • 定期的に変更する。
    • 離席時の「コンピュータのロック」を徹底する。
    • スクリーンセーバーにパスワード設定し、5分放置で起動させる。
  • Webブラウザ
    • オートコンプリート機能を無効にする。
    • Webブラウザ使用後に一時ファイルや履歴をクリアする。
    • Flash PlayerやAcrobat Readerといったプラグインをこまめに更新する。
• 参考サイト
  • パスワード対策　破られにくいパスワードの作り方と盗用予防　パスワード管理・生成ツール
  • Windows でパスワードの LAN Manager ハッシュが Active Directory とローカル SAM データベースに保存されないようにする方法
  • よりセキュリティを高めるための設定: LM ハッシュを無効にする

Webアプリケーション

• Web Application
  • 注意
  • おすすめサイト
  • チェックポイント
    • OS、Webアプリケーションフレームワーク
    • 入出力
    • ユーザー認証
      • 総当り攻撃(brute force attack)耐性
      • リバースブルートフォース攻撃耐性
      • ユーザID
      • パスワード
      • ユーザ管理
    • セッション管理
      • セッション管理に関連する主な攻撃手法や脆弱性
      • 参考サイト
    • Cookie
      • domain
      • 有効期限
      • secure属性
      • httponly属性
    • メール
      • ユーザのメールアドレス管理
      • スパム踏み台化防止
    • Webブラウザ
  • 脆弱性・攻撃手法
  • 診断手法
    • OWASP
  • 参考
    • Webアプリケーション
      • PHP
    • セキュア開発用ツール

ネットワーク

• Network
  • ネットワーク
    • 暗号化
      • SSL通信
    • プロトコル
      • SNMP (Simple Network Management Protocol)
      • ARP (Address Resolution Protocol)
    • サービス
      • DNS
    • 攻撃手法
      • ARPスプーフィング (ARP spoofing)
      • スマーフ(Smurf)
      • フラグル(Fraggle)
      • ランド(Land)
      • ティアドロップ(Teardrop)
    • 機器

データベース

• Database Security
• Database Scanning Tools - SAMATE
  • 「Tools」といいつつ、具体的なツールの紹介はありません。
• Scan NetSecurity 特別増刊　「5分でわかるデータベース・セキュリティ対策の要点」：第1回 データベースセキュリティに注目が集まる訳
• データベース・セキュリティ・コンソーシアム（DataBase Security Consortium）
  • データベース・セキュリティ・コンソーシアム（DataBase Security Consortium） 成果物

脆弱性報告

• CVE - Common Vulnerabilities and Exposures (CVE)
• National Vulnerability Database
• SecurityFocus
• Japan Vulnerability Notes
• JPCERT

診断ツール

• VulnerabilityAssessmentTools
  • セキュリティ診断ツール検証用Webアプリケーション
    • OWASP Broken Web Applications Project (OWASPBWA)
  • 診断ツールの参考サイト
  • Webアプリケーション
    • 有償
    • 無償
      • 脆弱性カテゴリ別
  • Androidアプリケーション
  • ネットワーク系
    • 有償
    • 無償
  • データベース
    • セキュリティ診断ツール
    • 監視ツール
  • 診断補助ツール
    • Webブラウザ
    • 画面キャプチャ
    • マウス・キーボード操作自動化
  • セキュリティ書房(Amazonインスタントストア)

資格

• Qualification
  • CISSP
    • International Information Systems Security Certification Consortium (ISC)2
  • CISA
  • 情報処理推進機構(IPA:Information-Technology Promotion Agency, Japan)

用語集

• Glossary
  • ア～オ
  • カ～コ
  • サ～ソ
  • ハ～ホ
  • C
  • I
  • J
  • N
  • P