CISSPに出てくるセキュリティモデルとアクセス制御モデルをまとめてみた

４７回 初心者のためのセキュリティ勉強会（オンライン開催）の発表資料です。
https://sfb.connpass.com/event/332870/

Transcript

1. CISSPに出てくるセキュリティモデルとアクセス制御モデルをまと めてみた kuzushiki
2. 自己紹介 kuzushiki - セキュリティエンジニア5年目 - コーポレートITのセキュリティ担当 今月のニュース - CISSPトレーニングを受講した
3. 背景 今月CISSPトレーニングを受講した ↓ あまり理解できない部分があった ↓ ドメイン3に出てくる「セキュリティモデル」と「アクセス制御モデル」についてまとめてみた
4. CISSPとは？
5. CISSPとは？ ・国際的に最も権威あるセキュリティ プロフェッショナル認証資格 ・最も広範囲な知識レベルを必要とする資格で、セキュリティ業務従事者から管理職者 が対象 ・全世界で152,000名以上、日本では3,300名以上（2022年1月現在）が取得 https://www.nri-secure.co.jp/service/learning/cissp_overview から抜粋 これがあれば年収1000万円もらえるらしい!?
6. CISSPの出題範囲 1. セキュリティとリスクマネジメント 2. 資産のセキュリティ 3. セキュリティアーキテクチャとエンジニアリング 4. 通信とネットワークのセキュリティ 5. アイデンティティおよびアクセス管理 6. セキュリティの評価とテスト 7. セキュリティの運用 8. ソフトウェア開発セキュリティ
7. セキュリティモデルとは？
8. セキュリティモデルとは？ 会社の情報に対して、社員が好き勝手にアクセスできてはいけない。ちゃんとしたルー ルを作るべき →「どんなルールが安全か」を研究者が厳密に定義したのがセキュリティモデル
9. CISSPに出てくるセキュリティモデル ・BLP（Bell-LaPadula） ・Biba ・Brewer-Nash ・Clark-Wilson ・Graham-Denning ・HRU（Harrison, Ruzzo, Ullman）
10. BLP（Bell-LaPadula） 機密性を扱うモデル 機密度が高い情報 機密度が中程度の情報 機密度が低い情報 read write
11. Biba 完全性を扱うモデル 信頼度が高い情報 信頼度が中程度の情報 信頼度が低い情報 write read
12. Brewer-Nash 競合がいることを想定したモデル A社 B社 コンサル Cさん
13. Clark-Wilson Bibaモデルの改良。他者の変更を評価できるように 信頼度が高い情報 信頼度が中程度の情報 信頼度が低い情報 write read 勝手に変更
14. Graham-Denning アクセス制御に関する8つのルールを定めた 1. アクセス権を譲渡 2. アクセス権を付与 3. アクセス権の削除 4. アクセス権の確認 5. オブジェクトの削除 6. オブジェクトの作成 7. サブジェクトの削除 8. サブジェクトの作成
15. HRU（Harrison, Ruzzo, Ullman） Graham-Denningのモデルと似ているが、アクセス制御マトリクス に操作が集約されて いる 1. アクセス権を譲渡 2. アクセス権を付与 3. アクセス権の削除 4. アクセス権の確認 5. オブジェクトの削除 6. オブジェクトの作成 7. サブジェクトの削除 8. サブジェクトの作成 1. アクセス制御マトリクスの追記 2. アクセス制御マトリクスの削除 ユーザA ユーザB 読み出し 〇 〇 実行 〇 削除 〇
16. アクセス制御モデルとは？
17. アクセス制御モデルとは？ NIST SP 800-192の説明 > アクセス制御システムによって執行されるセキュリティポリシーの正式な提示であり、 システムの理論的限界を証明するのに有用である セキュリティモデルは理論的なものであり、そのまま実装するのは難しい →実装とのギャップを埋めるのがアクセス制御モデル
18. CISSPに出てくるアクセス制御モデル ・強制アクセス制御（Mandatory Access Control: MAC） ・任意アクセス制御（Discretionary Access Control: DAC） ・非任意アクセス制御（Non-discretionary Access Control: NDAC） ・ロールベースアクセス制御（Role-Based Access Control: RBAC） ・ルールベースアクセス制御（RuBAC） ・属性ベースアクセス制御（ABAC） ・リスクベースアクセス制御
19. 強制・任意・非任意アクセス制御の違い 強制 任意 非任意 アクセス権の決定 システム管理者 ユーザ システム管理者 対応するモデル すべて すべて ロールベース 具体例 軍事セキュリティ WindowsなどのOS 企業システム
20. ロールベースアクセス制御（Role-Based Access Control: RBAC） 職務などに応じたロールを設定し、それをもとにアクセス制御を行う 人事 Aさん 情シス Bさん
21. ルールベースアクセス制御（RuBAC） あらかじめアクセス制御のルールを定義しておく ・社内のIPアドレスからのみアクセス可能 ・平日の業務時間帯のみアクセス可能 ・勤務地からのみアクセス可能
22. 属性ベースアクセス制御（ABAC） 属性の組み合わせをもとにアクセス制御を行う RuBACをよりシンプルにしたもの ・〇〇県から□時にアクセスがあったら許可（場所と時刻の属性） ・IPアドレス××から△△部の人のアクセスがあったら許可（IPとユーザの属性）
23. リスクベースアクセス制御 リスクによるアクセス制御。しきい値を調整できる ・ユーザが普段と違うふるまいをしたらアクセスを拒否 or 多要素認証の要求 　・普段と違う場所 　・普段と違う端末 　・ありえない移動
24. おわりに 「最も広範囲な知識レベルを必要とする資格」とあるように、CISSPは覚えることが多くて 大変... 引き続き勉強頑張ります