入口対策 †
- パソコンやスマートフォンにマルウェアが侵入したり不正アクセスが行われるのを阻止する等の対策
出口対策 †
- 個人情報データ等の重要なデータが外部に流出することを防止（遮断）するための対策
- 外向けパケットの精査と阻止が可能なファイアウォール等の設置
- システムが正常に動作しているかを常に監視し、その記録（ログ）を保存しておく等の措置により、トレーサビリティ（追跡可能性）を確保
DLP(Data Loss/Leakage Prevertion) †
内部対策 †
- ユーザの管理
- 重要ファイル等の暗号化・バックアップ等
PCのストレージ暗号化 †
Windows †
macOS †
組織・人的対策 †
社内教育 †
物理的対策 †
入退出管理 †
サーバルームなどの保護 †
クリアデスク・クリアスクリーン †
インシデント対応 †
＊＊インシデント管理ツール
運用 †
- 不要なポート、サービスの無効化
- 不要なアカウントの無効化
- インターネット側からの telnet, ftp の接続不可
CSRF (Cross Site Request Forgeries) †
Directory Traversal †
- 利用者が供給した入力ファイル名のセキュリティ検証/無害化が不十分であるため、ファイルAPIに対して「親ディレクトリへの横断 (traverse)」を示すような文字がすり抜けて渡されてしまうことにより、サーバ内部の情報（例えば /etc/passwd）が見られてしまう
HTTPヘッダインジェクション †
- 対策
- APIの利用有無にかかわらず，Cookie値やURLなどの改行コード・チェックを行い，改行があればエラー
- CookieをAPIにて発行する場合は，URLエンコードされていることを確認
- HTTPレスポンス・ヘッダーは，できるだけアプリケーションから直接送出せず，高機能のAPIやライブラリを利用
- アプリケーションから直接Set-Cookieレスポンス・ヘッダーを送出する場合は，Cookie値のURLエンコードを実施
メールの第3者中継 †
ソフトウェア †
ハードウェア †
UTM †
不正アクセス対策 †
![[PukiWiki]](image/pukiwiki.png "[PukiWiki]")
