ハニーポットを似たセキュリティ技術と見分けるには
情報セキュリティマネジメント試験 令和元年度秋期 午前 問29 ／ セキュリティ › セキュリティ実装技術
過去問にチャレンジ
ハニーポットの説明はどれか。
- ア
サーバやネットワークを実際の攻撃に近い手法で検査することによって，もし実際に攻撃があった場合の被害の範囲を予測する。
- イ
社内ネットワークに接続しようとするPCを，事前に検査専用のネットワークに接続させ，セキュリティ状態を検査することによって，安全ではないPCの接続を防ぐ。
- ウ
保護された領域で，検査対象のプログラムを動作させることによって，その挙動からマルウェアを検出して，隔離及び駆除を行う。
- エ
わざと侵入しやすいように設定した機器やシステムをインターネット上に配置することによって，攻撃手法やマルウェアの振る舞いなどの調査と研究に利用する。
会話形式の解説
講師今回はハニーポットの定義を問う問題です。選択肢には、名前や仕組みが似ていて混同しやすいセキュリティ技術の説明が並んでいます。それぞれの説明がどの技術に当たるかを考えると、答えが絞りやすくなります。
受験者ハニーポットは「はちみつの壺」なので、攻撃者を引き寄せるおとりのようなものだと覚えています。ただ、保護された領域でプログラムを動かす説明も、隔離して観察するという点で近い気がして迷いました。
講師その説明はサンドボックスのものです。機能やファイル操作、通信が制限された領域で検査対象のプログラムを動かし、その挙動からマルウェアを見つけます。調べる対象は検査したいプログラムで、外部の攻撃者を呼び込むことはしません。
受験者なるほど。攻撃者を外から誘い込むかどうかが、ハニーポットとの違いということですね。
講師そのとおりです。では、実際の攻撃に近い手法でサーバやネットワークを検査し、被害の範囲を予測するという説明はどうでしょうか。
受験者攻撃に近い手法という部分がおとりと関係しそうに見えますが、自分たちのシステムをあえて攻撃して確かめる話なので、別の技術だと思います。
講師はい、それはペネトレーションテストです。疑似的に攻撃して侵入できるかを確かめ、脆弱性や被害の範囲を評価します。おとりを置くわけではありません。また、接続前のPCを検査専用のネットワークでチェックし、安全でない端末をつながせないようにするのは検疫ネットワークです。目的は社内への感染の持ち込みを防ぐことです。
受験者そうすると、残るのは、わざと侵入しやすく設定した機器をインターネット上に置いて、攻撃手法やマルウェアの振る舞いを調べるという説明ですね。これがハニーポットだと分かりました。
講師正解です。ハニーポットは攻撃を防ぐための機器ではなく、攻撃者を誘い込んで観察し、調査や研究の情報を集めることが主な目的です。「防御の仕組み」と思い込むと迷いやすいので気を付けてください。
講師補足すると、ハニーポットを運用するときは、乗っ取られたハニーポットがほかへの攻撃の踏み台にならないよう、隔離と監視が欠かせません。サンドボックスとは「隔離」や「挙動の観察」という言葉が共通するので、誰の何を観察するのかで見分けるようにしましょう。
まとめ
ハニーポットは、わざと侵入されやすく設定したおとりの機器やシステムを置き、攻撃者を誘い込んで攻撃手法やマルウェアの振る舞いを観察・研究する仕組みです。主な目的は防御ではなく情報収集です。実際の攻撃に近い手法で検査するのはペネトレーションテスト、接続前の端末を検査するのは検疫ネットワーク、機能やファイル操作、通信が制限された領域でプログラムを動かして挙動を調べるのはサンドボックスです。サンドボックスとハニーポットは、攻撃者を外から誘い込むかどうかで見分けられます。
解答・解説
正解はエです
この問題のテーマ
ハニーポットの定義を問う問題です。あわせて、ペネトレーションテスト、検疫ネットワーク、サンドボックスといった、名前や仕組みが似ていて混同しやすいセキュリティ技術と見分けられるかを確かめています。
解き方の考え方
まず、ハニーポットは「攻撃者を誘い込むおとり」だという中心のイメージを思い出します。次に、各選択肢が説明している仕組みに当てはまる技術名を考えます。疑似攻撃による検査、接続前の端末検査、隔離した環境でのプログラム実行は、どれも別の名前が付いた技術です。残るのは「わざと侵入されやすくして攻撃を観察する」という説明で、これがハニーポットにあたります。
選択肢ごとの解説
- ×ア サーバやネットワークを実際の攻撃に近い手法で検査することによって，もし実際に攻撃があった場合の被害の範囲を予測する。実際の攻撃に近い手法でサーバやネットワークを検査するという説明は、ペネトレーションテストのものです。疑似的に攻撃して侵入できるかを確かめ、脆弱性や被害の範囲を評価します。攻撃者を誘い込むおとりを置くわけではないので、ハニーポットとは違います。
- ×イ 社内ネットワークに接続しようとするPCを，事前に検査専用のネットワークに接続させ，セキュリティ状態を検査することによって，安全ではないPCの接続を防ぐ。社内ネットワークに接続する前のPCを検査専用のネットワークでチェックし、安全でない端末をつながせないようにするという説明は、検疫ネットワークのものです。目的は内部への感染持ち込みを防ぐことで、攻撃の観察や研究ではありません。
- ×ウ 保護された領域で，検査対象のプログラムを動作させることによって，その挙動からマルウェアを検出して，隔離及び駆除を行う。保護された領域で検査対象のプログラムを動かし、その挙動からマルウェアを見つけるという説明は、サンドボックスのものです。手元にあるプログラムを隔離して調べる仕組みで、外部の攻撃者を呼び込むことはしません。この点がハニーポットとの違いです。
- ○エ わざと侵入しやすいように設定した機器やシステムをインターネット上に配置することによって，攻撃手法やマルウェアの振る舞いなどの調査と研究に利用する。わざと侵入されやすく設定した機器やシステムを置き、攻撃手法やマルウェアの振る舞いを調べたり研究したりするという説明は、ハニーポットの定義に合っています。ハニーポットは攻撃を防ぐための機器ではなく、攻撃者を誘って観察し、情報を集めることが主な目的です。
補足
サンドボックスとハニーポットは、どちらも「隔離」や「挙動の観察」に関わるので混同されがちです。見分けるポイントは、攻撃者を外から誘い込むかどうかです。また、ハニーポットを運用するときは、乗っ取られたハニーポットがほかへの攻撃の踏み台にならないよう、隔離と監視が欠かせません。
POINT
- ハニーポットは、意図的に侵入されやすく設定したおとりのシステムで、攻撃者を誘い込みます。
- ハニーポットの主な目的は防御ではなく、攻撃手法やマルウェアの挙動を観察し、調査・研究することです。
- 実際の攻撃に近い手法で検査するのはペネトレーションテスト、接続前の端末を検査するのは検疫ネットワークです。
- 隔離された環境でプログラムを動かして挙動を調べるのはサンドボックスです。外部の攻撃者を誘い込まない点がハニーポットと違います。