今回から、CCNAの学習でも残っていた大きな分野のひとつ、Security Fundamentals に入っていきます。
ネットワークの学習というと、これまではVLANやOSPF、ACLのように「どうつなぐか」「どう制御するか」を考えることが多かったのですが、これからはそこに 「どう守るか」 という視点も加わってきます。
セキュリティという言葉は少し身構えてしまいがちですが、最初に押さえるべきことは意外とシンプルです。
何が危険なのか、どこが弱いのか、どう守るのか。
今回は、この基本の考え方を整理する回として、まずは用語の意味と全体像をまとめていきます。
threat・vulnerability・exploit・mitigation の違い
最初に整理しておきたいのが、セキュリティでよく出てくる4つの用語です。
threat（スレット） は、悪影響を与える可能性のあるものです。
vulnerability（バルナラビリティ） は、攻撃される弱点です。
exploit（エクスプロイト） は、その弱点を突く行為や手法です。
そして mitigation（ミティゲーション） は、被害を減らすための対策です。 キャプチャ1
この4つは、バラバラに覚えるよりも、流れで見るとかなり分かりやすくなります。
まず危険になり得るものがあり、そこに弱点が見つかり、その弱点を突かれることで被害が起きる。だからこそ、その前後で被害を抑える対策が必要になる、という考え方です。
要するに、セキュリティは
「何が危険か」
「どこが弱いか」
「どう守るか」
を順番に考えることが大切、ということです。
CIA はセキュリティの基本イメージ
セキュリティの基本として、もうひとつ押さえておきたいのが CIA です。
CIA は
Confidentiality（機密性）
Integrity（完全性）
Availability（可用性）
の3つを表しています。
機密性 は、見てはいけない人に情報を見せないこと。
完全性 は、情報が勝手に書き換えられたり壊されたりしていないこと。
可用性 は、必要なときにちゃんと使えることです。
たとえば、パスワード情報が外部に漏れたら機密性の問題ですし、設定ファイルが勝手に書き換えられたら完全性の問題です。
さらに、サーバやネットワークが止まって必要なときに使えなければ、それは可用性の問題になります。
セキュリティというと「攻撃を防ぐこと」だけをイメージしがちですが、実際には 情報を守る・正しく保つ・必要なときに使えるようにする という3つの視点で考えることが大切なのだと分かります。
技術だけでなく、人と物理面もセキュリティに含まれる
セキュリティというと、ファイアウォールやアクセス制御のような技術的な対策を思い浮かべがちですが、実際にはそれだけではありません。
今回のキャプチャでは、user awareness、training、physical access control という3つも重要な要素として整理されています。
user awareness は、日常的に「怪しいメールを開かない」「不用意に情報を渡さない」といった意識を持つこと。
training は、そうした行動を知識だけでなく実際に身につけるための訓練です。
そして physical access control は、装置や設備に勝手に触れられないようにする管理のことです。
このあたりは、ネットワークの設定だけを学んでいると見落としがちですが、実際の現場ではかなり大事な視点だと思います。
どれだけ設定を固めても、使う人の意識が低かったり、機器に誰でも触れられる状態だったりすれば、そこが弱点になってしまうからです。
強いパスワードと MFA が重要な理由
認証の基本として、まず出てくるのが password（パスワード） です。
ただし、パスワードだけに頼るのは危険です。短いパスワードや使い回しのパスワードは破られやすく、ひとつ漏れると他のアカウントまで影響が広がることがあります。
そこで重要になるのが MFA（多要素認証） です。
MFA は、パスワードに加えて、スマホのコード入力や生体認証など、別の要素でも本人確認を行う仕組みです。
もしパスワードが漏れてしまっても、追加の確認があることで突破されにくくなるのが大きな強みです。
今回の学習ポイントとしては、
弱いパスワードは危険
MFAを組み合わせると守りが強くなる
この2つをまず押さえておけば十分だと思います。
まとめ
今回は、Security Fundamentals の第1回として、セキュリティの基本概念を整理しました。
特に大事なのは、
threat・vulnerability・exploit・mitigation の違い を流れで理解すること、
CIA（機密性・完全性・可用性） をセキュリティの基本イメージとして押さえること、
そして セキュリティは技術だけでなく、人の意識や物理的な管理も含めて考えるもの だと理解することです。
さらに、認証の基本では 強いパスワード と MFA が重要であり、「ひとつの対策だけではなく、複数の守りを重ねること」が大切だと分かりました。
セキュリティ分野は横文字も多くて最初は少しとっつきにくいですが、意味をひとつずつ整理していけば、そこまで難しすぎる内容ではないと感じます。
まずは今回のように、危険・弱点・攻撃・対策 という流れと、CIA の3要素をしっかり押さえて、次につなげていきたいと思います。
コメント