V.S.A. III

こんにちは，五十嵐です．運用セキュリティ・シリーズ4回目です．最初にお断りしておきますが，運用者＝｛オペレータ，ファシリティ提供者｝という意味で使用しています．運用フェーズの保守などは含んでいません．狭義の「運用」です．

さて，日々の作業を行う運用者は脆弱性情報のハンドリングなどからは切り離された立場にあります．にもかかわらず，情報漏えいなどが起きた場合には，もっとも疑われやすい立場にもあります．この点から，運用のセキュリティは，自分たちを守るという視点で考えなければなりません．

前回は触れるデータを極力減らすということを書きましたが，これは通常，コンソールなどからログインし，アプリケーションなどの作業を行うことを想定しています．OS へのログインと，アプリケーションのログインと，両方で権限を最小にするようにしなければなりません．

このとき，最低でも二人以上で作業を行います．操作を間違えないように確認する意味もありますが，不正な操作が行われないように一人以上が監視するという意味もあります．行った操作はすべて記録します．ソフトウェア側で自動的に記録されるようになっていればなお確実です．この記録は不正が行われていないことを運営者が監査するために使用しますが，逆に，事故に対して運用者が疑われないためにも必要です．また，指定されていないオペレーションを行った場合にアラートが通知されるような仕組みを組み込んでおくことも大切です．

リアルタイムに間違い操作に気づくためにはアラートの仕組みを使用し，事後に確認するために操作ログ＝監査ログを使用します．この点もシステムの仕様設計の段階から要求しておくべき事項です．ログを詳細にとると，システムのパフォーマンスが低下することから，嫌われる場合もありますが，昨今の法制度や社会的な要請から，ログを採ることが当然という風潮にありますので，この機会にログのあり方などを運営者と運用者の間で，しっかりと検討しておくべきだと思います．

運用者が疑われないためにすべきことはまだまだありますが，それは次回以降に．

カテゴリ：情報セキュリティ

<< TGIF: おてんばローズ | Main | 封緘 - 運用セキュリティ #5 >>