セキュリティ技術評価

ねらい

セキュリティの良し悪しを客観的に測る方法を学びます。このレッスンを終えると、製品を評価する国際基準、脆弱性の深刻度を数値化する仕組み、実際に攻撃して確かめるテストの手法を説明できるようになります。

製品を評価する基準と制度

情報システムやIT製品のセキュリティレベルを評価する国際的な評価基準がISO/IEC 15408で、コモンクライテリアと呼ばれます。製品が備えるべき機能を定めるセキュリティ機能要件と、その実装がどれだけ信頼できるかを定めるセキュリティ保証要件からなり、評価の深さは保証レベルで表されます。

日本には、この基準に基づいてIT製品を評価・認証するJISEC（ITセキュリティ評価及び認証制度）と、暗号装置を対象とするJCMVP（暗号モジュール試験及び認証制度）があります。政府調達では、IT製品の調達におけるセキュリティ要件リストが参照されます。

脆弱性を評価する仕組み

発見された脆弱性の深刻度を共通の基準で数値化する仕組みがCVSS（共通脆弱性評価システム）です。攻撃のしやすさや影響の大きさから点数を付けるため、組織や製品が違っても「どれほど危険か」を同じ物差しで比べられ、対応の優先順位付けに使えます。

システムに脆弱性が潜んでいないかを調べる活動には、2つの段階があります。

1. 脆弱性診断は、既知の脆弱性がないかを網羅的に検査します。
2. ペネトレーションテストは、実際に攻撃者の手法で侵入を試み、どこまで到達できるかを確かめます。防御側の視点の点検が脆弱性診断、攻撃者の視点の実証がペネトレーションテストという対比です。

耐タンパ性：機器そのものの守り

ICカードや暗号装置のように、攻撃者の手元に渡りうる機器では、内部の解析や改ざんのされにくさが重要になります。この性質を耐タンパ性といいます。分解すると内容が消える、電力の変化から鍵を推測されにくいといった工夫で、機器そのものを守ります。

例題

次の問いに答えてください。

問1 発見された脆弱性の深刻度を共通の基準で数値化する仕組みを何といいますか。

問2 攻撃者の手法で実際にシステムへの侵入を試み、防御の有効性を確かめるテストを何といいますか。

解答と解説

問1の答えはCVSS（共通脆弱性評価システム）です。深刻度が共通の数値で示されるため、対応の優先順位を客観的に決められます。

問2の答えはペネトレーションテストです。既知の脆弱性を網羅的に洗い出す脆弱性診断と、実際に攻めて確かめるペネトレーションテストは、目的が異なる補完関係にあります。

応用

本試験を意識した問題を解いてみましょう。

問 ICカードなどの機器について、内部の情報の解析や改ざんがされにくい性質を表す用語はどれでしょうか。次の中から選んでください。

1. 耐タンパ性
2. 保証レベル
3. 脆弱性診断
4. CVSS

解答と解説

答えは1の耐タンパ性です。タンパは「不正にいじる」という意味で、分解や解析に対する物理的・技術的な耐性を指します。2の保証レベルは、ISO/IEC 15408の評価の深さを表す指標であり、機器の性質そのものではありません。3の脆弱性診断は既知の脆弱性を検査する活動の名前です。4のCVSSは脆弱性の深刻度を数値化する評価の仕組みであり、機器の解析されにくさを表す用語ではありません。