ネットワークセキュリティ学習 (2)
ネットワーク セキュリティ アーキテクチャ
オープン システム相互接続のセキュリティ アーキテクチャに関する ISO 7498-2 標準を参照すると、その中心的な内容は次のとおりです。セキュリティ サービスとセキュリティ メカニズムの関係、および ISO 参照モデルにおけるセキュリティ サービスとセキュリティ メカニズムの構成について説明します。
(1) セキュリティ サービス: セキュリティ要件の表現として理解できます。
(2) セキュリティ メカニズム: 1 つまたは複数のセキュリティ サービスを提供でき、特定の実装方法とは関係なく、一般に細分化できないセキュリティ技術の抽象的な表現。セキュリティ メカニズムは、一般に「アトミック」レベルであり、クロスオーバーはほとんどありません。
(3) セキュリティ製品: 1 つまたは複数のセキュリティ メカニズムの具体的な実現。
セキュリティー・サービス
識別
認証サービスは、通信におけるピア エンティティとデータ ソースの識別です。
エンティティ認証: 通信におけるピア エンティティが必要なエンティティであることを確認します. このサービスは、接続を確立するとき、またはデータ転送フェーズ中に、接続されたエンティティの身元を確認するために提供されます. このタイプのサービスは、エンティティが試行していないことを保証します.別のエンティティになりすますこと。
データの特定：本質的には、データの出所を確認する必要があります。
アクセス制御
アクセス制御は、権限のないエンティティがシステム内のリソースにアクセスするのを防ぐために、どのエンティティがどのリソースにアクセスできるかを決定します。
ここで「アクセス」とは、通信資源、情報資源の読み取り、書き込み、削除などのさまざまな資源への異なるアクセスを含む広義の意味です。
データの整合性
データ整合性サービスは、情報リソースを破壊または改ざんしようとするアクティブな脅威に対処し、改ざんなどの情報リソースへの損害を防止または検出するために使用されます。
データの機密性
データ機密性サービスは、データを不正な開示から保護することです。これには、ユーザー データの暗号化や、攻撃者が通信トラフィックの観察から推測できない機密情報の使用が含まれます。
否認防止
否認防止 (否認防止とも呼ばれます) は、主に次の 2 つの形式で現れます
。AがBに手紙を送った場合、その後、Aはその手紙が彼から送られたものであることを否定することはできません.
受信の否認防止: データの受信者は、後でデータの受信を拒否することはできません。A が B に手紙を送った場合、B はその後メッセージを受け取ったことを否定できません。
セキュリティメカニズム
暗号化メカニズム
暗号化は、データの機密性を提供するだけでなく、通信トラフィック フロー情報の機密性も提供します。
デジタル署名メカニズム
デジタル署名の仕組みは、署名プロセスと署名検証プロセスの2つのプロセスに分かれており、
署名プロセスでは、署名者の秘密情報を使用して署名の一意性を保証します。署名の検証に使用される手順と情報は公開されるため、誰もが署名を検証できますが、署名から署名者の個人情報を推測することはできません。
アクセス制御メカニズム
アクセス制御はサービスであり、特定のメカニズムでもあります。エンティティがアクセス権を持っているかどうかを判断するために、アクセス制御メカニズムはエンティティの識別された ID (システムにログインした後の ID など) をアクセス制御に使用できます。
アクセス制御は、次の手段に基づいています: アクセス制御リスト、試行されたアクセスの期間、識別情報、試行されたアクセスのアドレス、試行されたアクセスの時間。
データ整合性メカニズム
データの完全性は 2 つの側面に分けられます。1 つはデータ ユニットの完全性であり、もう 1 つはデータ フローの完全性です。
データ ユニットの整合性: 2 つのプロセスが関係します。1 つは送信エンティティで、もう 1 つは受信エンティティです。送信側の実験では、金額 (通常はハッシュ値) をデータ ユニットに添付します。この金額自体は暗号化できます。受信エンティティは、データ ユニットに従って対応する金額を生成し、それを送信側の金額と比較して、 amount sent データユニットが改ざんされているかどうか。
データフローの完全性: シーケンス番号、タイムスタンプ、暗号化チェーンなどの手段を採用できます。
認証交換メカニズム
認証交換は、通信プロセス中に一方の当事者が他方の当事者の ID を認証するプロセスです。
一般的な実装方法には、
パスワード認証、データ暗号化の確認、通信における「ハンドシェイク」プロトコル、公証機関によるデジタル署名と識別、およびエンティティの特性 (言語、指紋など) を使用した識別が含まれます。
通信サービス充填メカニズム
通信サービス充填メカニズムとは、通常の通信フローに冗長な情報を追加することを指し、通信サービスの分析に抵抗する可能性があります。このメカニズムは、多くの場合、通信サービスの機密性サービスを提供します。
ルーティング制御メカニズム
ルーティングは、物理的に安全なサブネットワーク、中継局、またはリンクに対して動的に設定できます。使用中は、セキュリティ属性に基づいて、特定の属性のデータが特定のサブネットワーク、中継局、またはリンクを通過することを禁止して、これらの通信ネットワークのセキュリティを確保できます。
公証メカニズム
公証メカニズムとは、一方当事者と他方当事者がお互いを信頼していないため、双方が信頼できる第三者を見つけ、第三者を通じて一方当事者と他方当事者の間に信頼を確立することを意味します。ネットワークでは、データの完全性、送信者の身元、時間、および宛先の身元はすべて、公証メカニズムによって保証されます。
セキュリティ製品
セキュリティ製品には、ファイアウォール、侵入検知システム、悪意のあるコード保護などが含まれます。