3.情報セキュリティにおける脆弱性

3.1 ネットワークにおける脆弱性対策

セキュリティレベルに応じた適切なセグメント分割およびアクセス制御
- 各セグメント間は適切にファイアウォールやスイッチルータを用いて制御
- 公開サーバはDMZに設置する
- 物によっては物理的にネットワークを切り離す
インターネット接続口の集約化
無線LANアクセスポイントの撤廃もしくはセキュリティ対策の強化
スイッチの使用
- リピータをなるべく使わない
- ブロードキャストフレームの転送先を制御するためにVLANを構築する
ハブ本体の物理的保護および空きポートのロック

発信源アドレス偽装への対策
- TCP/IPは仕様が公開されていることもあり、悪用されやすく、IPv4では発信源アドレスを容易に偽装可能
- 偽装自体を防ぐことは不可能だが、明らかに偽装されている発信源からのパケットはルータやファイアウォールで遮断する
- 発信源IPアドレスにプラーベートアドレスや特別な用途に使用するアドレスが設定されたインバウンドパケット
- プライベートアドレスを使用しているセグメントにおいて、発信源IPアドレスにグローバルアドレスが設定されたアウトバウンドパケット

発信源メールアドレスの制限
- 自分のサイトのドメイン名が発信元・宛先の双方に含まれない場合は配送しない
SMTP-Authによる送信者認証
Outbound Port25 Blockingによるメール送信制限
- メールサーバを経由せずにインターネット方向に出ていく25番ポートあてのパケットを遮断
Inbound Port25 Blockingによるメール送信制限
- 他社ISPのネットワーク内の動的IPアドレスから、自社ISP内のメールサーバへのSMTP通信を遮断
IPアドレス・ディジタル署名による送信ドメイン認証
- どちらも確認しているのは送信元のSMTPサーバ
SMTP over TLSによるメールの暗号化およびユーザ認証
- 暗号化されるのはMUAから発信元のメールサーバまでで、インターネット上ではPlain
- ポートは465/TCPポートが使用される
STARTTLSコマンドによるメールの暗号化
- 送信側のメールサーバがSTARTTLSコマンドを発行することで暗号化通信が行われる
- 25/TCPポートが使用される

APOPによるユーザ認証情報の秘匿化
- メールサーバとMUAとの認証時にチャレンジレスポンス方式でユーザ認証を行う
- 認証プロセスの暗号化であり、メール自体はPlain
POP3 over TLSによる認証情報およびメールの暗号化
- POP3サーバからクライアント間の通信を暗号化
- 995/TCPポートを使用
SSHのポートフォーワーディング機能による認証情報およびメールの暗号化
- 暗号化機能を備えていないアプリの通信をSSHが中継することで暗号化
- 22/TCPポートを使用

DNSの送信元ポート番号のランダム化（ソースポートランダマイゼーション）
DNSSEC
- 名前解決要求に対して応答を返すDNSサーバが自身の秘密鍵を用いて応答レコードにディジタル署名を付加して送信する。応答を受け取った側は、応答を返したDNSサーバの公開鍵を用いてディジタル署名を検証することで、応答レコードの正当化、完全性を確認する。
外部向けゾーン情報と内部向けゾーン情報を分離
コンテンツサーバとキャッシュサーバを分離
外部からのゾーン転送要求を受け付ける必要のない場合には、53/TCPポートをファイアウォールでフィルタリングする
キャッシュサーバを使用可能なドメインを指定（組織のホストのみなど）