意図的に脆弱なおとりのシステムをDMZ・SIEMと見分ける
情報セキュリティマネジメント試験 平成31年度春期 午前 問30 ／ セキュリティ › セキュリティ実装技術
過去問にチャレンジ
侵入者やマルウェアの挙動を調査するために，意図的に脆弱性をもたせたシステム又はネットワークはどれか。
- ア
DMZ
- イ
SIEM
- ウ
ハニーポット
- エ
ボットネット
会話形式の解説
講師今回はセキュリティ用語を見分ける問題です。手がかりは問題文の「意図的に脆弱性をもたせた」と「挙動を調査する」の2点です。この2つを両方満たすものを探しましょう。
受験者わざと弱くするというのが不思議です。守る側がそんなことをするのでしょうか。
講師します。攻撃者をおびき寄せて、その手口やマルウェアの動きを記録して調べるためです。そのためのおとりのサーバやネットワークをハニーポットといいます。2つの条件の両方に当てはまるので、これが正解です。
受験者DMZも外部からアクセスされる場所なので、迷いました。おとりとは違うのですか。
講師そこが一番の引っかけです。DMZは、外部ネットワークと内部ネットワークの間に設けるネットワーク区画です。Webサーバやメールサーバなど外部に公開するサーバをそこに置いて、社内ネットワークを守ります。正規のサービスを提供する場所なので、わざと弱くした環境ではありません。
受験者SIEMはログを分析する仕組みだったと思います。攻撃を調べるという点では近い気がしますが。
講師よく覚えていますね。SIEMは、さまざまな機器のログを集めて分析し、異常があれば管理者に知らせる仕組みです。攻撃の検知や、問題が起きた後の原因追跡に使います。ただ、ログを分析する仕組みであって、脆弱性をもたせたシステムそのものではありません。
受験者ボットネットは、ボットに感染したコンピュータの集まりなので、攻撃する側のものですね。
講師そのとおりです。攻撃者が支配していて、攻撃やスパム送信に悪用されます。守る側が観察のために用意するおとりとは逆の立場です。
受験者守る側か攻める側か、何のために置くのかで分けると整理できました。守る側が観察のためにわざと弱く作ったおとりがハニーポットで、公開用の区画がDMZ、ログ分析がSIEMですね。
講師その整理で大丈夫です。補足すると、ハニーポットには業務データを置きません。また、乗っ取られて他のシステムへの攻撃の足がかりにされないよう、隔離して通信を制限する必要があります。DMZとの違いは、正規のサービス用の区画か、わざと弱くしたおとりかで見分けてください。
まとめ
侵入者やマルウェアの挙動を調べるために意図的に脆弱性をもたせたシステムやネットワークは、ハニーポットです。DMZは外部と内部の間に設ける公開サーバ用のネットワーク区画で、わざと弱くしたものではありません。SIEMは複数機器のログを集めて分析し、異常を通知する仕組みです。ボットネットは攻撃者が支配する感染コンピュータの集まりで、攻撃する側の資産です。守る側か攻める側か、何の目的で置くかを確かめると選択肢を見分けられます。
解答・解説
正解はウです
この問題のテーマ
セキュリティ用語のうち、わざと攻撃を受けやすくして侵入者やマルウェアの動きを観察する「おとり」の仕組みを見分ける問題です。
解き方の考え方
問題文の手がかりは「意図的に脆弱性をもたせた」と「挙動を調査する」の2点です。それぞれの選択肢について、守る側の仕組みか攻撃する側の仕組みか、また何のために置くものかを確かめます。守る側が観察を目的として、あえて弱く作った環境はどれかを考えると、ハニーポットに絞り込めます。
選択肢ごとの解説
- ×ア DMZDMZは、外部ネットワークと内部ネットワークの間に設けるネットワーク区画です。外部からアクセスされるWebサーバやメールサーバなどをここに置き、社内ネットワークを守ります。わざと脆弱にして攻撃者を観察するためのものではないので、条件に合いません。
- ×イ SIEMSIEM（Security Information and Event Management）は、さまざまな機器のログを集めて分析し、異常があれば管理者に知らせる仕組みです。攻撃の検知や、問題が起きた後の原因追跡に使います。ログを分析する仕組みであって、脆弱性をもたせたシステムそのものではありません。
- ○ウ ハニーポットハニーポットは、わざと侵入されやすくしたおとりのサーバやネットワークです。攻撃者の手口やマルウェアの挙動を記録して調べるために設置します。「意図的に脆弱性をもたせた」「挙動を調査する」という問題文の条件の両方に当てはまります。
- ×エ ボットネットボットネットは、ボットに感染したコンピュータの集まりで、攻撃者が支配しています。攻撃やスパム送信に悪用される、攻撃する側の資産です。守る側が観察のために用意するおとり環境ではありません。
補足
ハニーポットに業務データは置きません。また、乗っ取られて他のシステムへの攻撃の足がかりにされないよう、隔離して通信を制限する必要があります。DMZも「外部からアクセスされる場所」なので混同しやすいですが、DMZは正規のサービスを提供するための区画です。わざと弱くしたおとりではない、という違いで見分けてください。
POINT
- ハニーポットは、侵入者やマルウェアを観察するために、わざと脆弱にして置くおとりのシステムやネットワークです。
- DMZは、公開サーバを置くために外部と内部の間に設けるネットワーク区画です。
- SIEMは、複数の機器のログを集めて分析し、異常を通知する仕組みです。
- ボットネットは、攻撃者が支配する感染コンピュータの集まりで、守る側の仕組みではありません。