JNSA 情報セキュリティ対策マップ検討WG

第一版【添付資料１】 対策オブジェクトモデルに基づくIPA標的型攻撃の機能要素による表現

2013年6月7日

IPA提唱の「新しいタイプの攻撃」への対策 （出口対策）
通番 大区分

小区分

WG検討結果対策

機能対策の全体像（１） ～ (1) システムへの入口と経路で □ ファイアウォール
1
入口対策～の防御
2□ 最新のウイルス対策ソフト （ネットワーク、サーバー、クライアント）
3
4
5
6
789

バリエーション

ファイアウォール（狭義）

ルールに基づくパケットフィルタ機能（必要な通信のみ通す、「すべてを拒否」）
動的パケットフィルタ機能（セッションと紐付け）

ステートフルインスペクション
ゲートウェイアンチウイルス
ゲートウェイアンチウイルス

HTTPのマルウェアスキャン

ゲートウェイアンチウイルスHTTPSのマルウェアスキャン

ゲートウェイアンチウイルス

POP3Sのマルウェアスキャン

ゲートウェイアンチウイルス

IMAPSのマルウェアスキャン

ゲートウェイアンチウイルス

SMTPSのマルウェアスキャン

ゲートウェイアンチウイルス

メールウイルスゲートウェイ□ 侵入検知システム／防止システム

IPS（狭義）

シグネチャあるいは挙動判断による不正／異常パケットの遮断・防御機能（パケット破棄、アラート、リセットパケット送信によるコネクション切断）
Webサーバ、DBサーバ間において特定のルールに基づきDBMSへの通信を遮断する機能
シグネチャによる不正／異常パケットの検知機能
異常検知による不正／異常パケットの検知機能
挙動判断による不正／異常パケットの検知機能
静的データが不正に改ざん・削除されないようコンテンツの整合性を確保する機能
ネットワークアドレス変換（NAT）機能

11
データベースファイアウォール

12

シグネチャ型IDS
アノマリ型IDS
振る舞い検知型IDS
コンテンツ整合性の確保

13
14
15
1617(2) 脆弱性対策

19□ ネットワーク構造／設計 （重要なサーバーに対 動的NATによるフィルタリングするルート制御やネットからの隔離）□ OSやサーバーソフトウェアの定期的な脆弱性診 脆弱性スキャン
断
疑似攻撃

OSやサーバソフトウェアの脆弱性を検出する機能
OSやサーバソフトウェアの脆弱性を疑似的に攻撃する機能□ ウェブサイトで使用しているOSやサーバーソフトウェアに関する脆弱性情報の、時期を逸しない収集とパッチの反映

20
21

仮想パッチ

IPS技術を利用して仮想的にセキュリティパッチを実現する機能

ソースコードチェッカー

Webアプリケーションの脆弱性をソースコードから検出する機能
Webアプリケーションの脆弱性を検出する機能
アプリケーション単位での通信制御□ ウェブアプリケーションへの脆弱性の作り込みの回避

22
2324

□ ウェブアプリケーションファイアウォール（WAF）

25
26
27
2829

ネットワークトラフィックを監視し、シグネチャあるいは挙動判断によりウイルスやスパイウェアを検知、そして、または遮断する機能
Webサイトのコンテンツに含まれているマルウェアを検知し除去する機能
HTTPSの通信に含まれているマルウェアなどを検知し除去する機能
POP3Sの通信に含まれているマルウェアなどを検知し除去する機能
IMAPSの通信に含まれているマルウェアなどを検知し除去する機能
SMTPSの通信に含まれているマルウェアなどを検知し除去する機能
メールに添付されているマルウェアなどを検知し除去する機能

アンチスパイウェア（上記全部に対してのバリエーション）

1018

機能要素表現(3) 標的型攻撃ルートでの対策 □ スパムフィルター□ URLフィルター30□ 外部メディア利用規則、強制利用抑止

31
32

Webアプリケーション脆弱性スキャン
アプリケーション（L7）ファイアウォール

アプリケーション（L7）ファイアウォール Web アプリケーションファイアウォール Web通信においてルールに基づきアプリケーションに有害な通信を遮断する機能－－
Web通信においてルールに基づきアプリケーションに有害な通信をクラウドで遮断する機能
スパムフィルタ
迷惑メールをフィルタリングする機能
コンテンツフィルタ
URLベースでアクセスできるWebサイトの制限機能
コンテンツフィルタ
アンチフィッシング
レーティングに従い危険なサイトへのアクセスを防止する機能PC外部メディア利用抑止
PCに接続される外部メディアの利用を抑止する機能
PC外部メディア利用抑止
記憶メディアPCに接続される外部記憶メディアの利用を抑止する機能対策の全体像（２） ～ (4) ウイルス活動の阻害および □ 端末間、他部署間のネットワーク通信の制限 （ウ出口対策、情報保護 抑止 (出口対策)
イルスの組織内蔓延抑止）～□ 組織の端末からの外部通信はプロキシを経由さ プロキシ
34
せる等の経路制御
プロキシ
35
33

プロキシ機能HTTPプロキシ

HTTPのプロキシ機能

36

プロキシ

SOCKSプロキシ

SOCKSによるプロキシ機能

37

プロキシ

認証プロキシ認証プロキシ機能□ 組織内ネットワーク量の監視 （異常さを早期に検 トラフィックモニター知し、ウイルスの蔓延を早期に発見）

38
39
40
41

(5) アクセス制御42□ 知財等のある重要なサーバーはインターネットか ファイアウォールら隐離□ ユーザ認証
ワンタイムパスワード
パスワード認証
生体認証

43
44

ネットワークのトラフィック量をモニタリングする機能

SSO認証

カード認証
カード認証

接触型ICカード認証

カード認証

非接触型ICカード認証

45
USBキー認証46

電子証明書認証□ アクセスするプログラムの特定（ホワイトリスト化） 起動可能プログラム制限機能

47
48
49
50
51
52
53
54
55
56
57
58 対策の全体像（３）～監視、管理統制～
59(6) 情報の暗号化(7) システム監視、ログ分析

60
61
62

(8) 管理統制およびコンテン
ジェンシープラン(事前準備・事後対応)□ 通信路の暗号化（Virtual Private Networkなどの VPN利用）
VPN
VPN
VPN
VPN
□ ファイルの暗号化
ファイル暗号化機能
ディスク暗号機能□ 暗号鍵管理
暗号鍵管理機能
暗号鍵管理機能□ ネットワークログ取得・分析（メソッドとして処理）□ サーバログ取得・分析（メソッドとして処理）□ アクセスログの監査（DB監査ツールなど含む）（メソッドとして処理）□ セキュリティポリシー（ルール）

人間の身体的特徴（生体器官）や行動的特徴（癖）の情報を用いて行う個人認証技術
ICカードを利用した認証技術
情報の読み書きを金属端子などの物理的接触で行うICカー
ドを利用した認証
カードの内部にアンテナを持ち、外部の端末が発信する弱い電波を利用してデータを送受信するICカードを利用した認証技術
USBメモリ内にPINコードを保有し、OSログオンパスワードの代わりにPINコードを利用する認証方式
電子証明書を利用する認証
起動可能なプログラムを制限する機能
カプセリング技術によるパケットの暗号化機能

SSL-VPN
IPSec-VPN
PPTP-VPNSoftEther-VPN

HSM□ 海外を含むグループ会社間でのセキュリティガバ （ルール）
ナンス□ 危機対応体制の整備
デジタルフォレンジック

63
バックアップ64

Copyright (c) 2000-2013 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

SSLによる伝送路暗号化機能
IPSecによる伝送路暗号化機能
PPTPによる伝送路暗号化機能
ファイルを暗号化する機能
HDDを暗号化する機能
暗号鍵を管理する機能
ハードウェアにより暗号鍵を管理する機能
ネットワーク（LAN）上を流れるパケットをキャプチャすること
多種・多様なログを同一筐体にて管理し、、集積・検索・レポーティング等のログ運用を統合的に行うこと

不正アクセスや機密情報漏洩などコンピュータに関する犯罪や法的紛争が生じた際に、原因究明や捜査に必要な機器やデータ、電子的記録を収集・分析し、その法的な証拠性を明らかにする手段や技術の総称
データやシステムのバックアップとは、複製（コピー）をあらかじめ作成し、たとえ問題が起きてもデータを復旧できるよ
うに備えておくこと

JNSA 情報セキュリティ対策マップ検討WG

オブジェクト指向の手法を使ったアクティビティ図

Copyright (c) 2000-2013 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会