Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
第4回 ITパスポート社内勉強会 セキュリティ
Search
PharmaX(旧YOJO Technologies)開発チーム
December 27, 2021
Technology
0
320
第4回 ITパスポート社内勉強会 セキュリティ
第4回 ITパスポート社内勉強会の資料です。
【コーポレートサイト】
https://yojo.co.jp/
【採用情報】
https://herp.careers/v1/yojo
PharmaX(旧YOJO Technologies)開発チーム
December 27, 2021
Tweet
Share
More Decks by PharmaX(旧YOJO Technologies)開発チーム
See All by PharmaX(旧YOJO Technologies)開発チーム
PharmaX 弱者の広報戦略を振り返る
pharma_x_tech
0
61
しくじり先生、PharmaXのLLMアプリケーション開発の失敗を語る
pharma_x_tech
0
170
LLMアプリケーションの実験管理・評価の工夫を紹介
pharma_x_tech
8
900
LLMアプリケーションの改善プロセスの構築
pharma_x_tech
0
250
チーム再編を伴う2年半のプラダクト開発から学ぶソフトウェアアーキテクチャ運用のコツ
pharma_x_tech
0
1.7k
LLMにサジェストさせたチャットの評価方法について
pharma_x_tech
0
650
薬剤師のチャットサジェストの評価と実験管理の本番運用
pharma_x_tech
1
300
新しいJSランタイムのDenoとBunに入門してみた
pharma_x_tech
0
70
2024.02.16_LLMを活用してオンライン薬局のオペレーションを自動化した話
pharma_x_tech
4
1.8k
Other Decks in Technology
See All in Technology
TypescriptでのContextualな構造化ロギングと社内全体への導入
leveragestech
3
600
SLOいつ決めましょう?
abnoumaru
3
800
Blazor WASM × Code-first gRPC で始める C# ⼤統⼀理論
sansantech
PRO
1
830
テストコードを書きながらCompose Multiplatformを乗りこなす
subroh0508
0
150
TDD - Test Driven Drupal
opdavies
0
3k
グイグイ系QAエンジニアでやっていくよ!
____rina____
0
780
【リラン】AIの光と闇?失敗しないために知っておきたいAIリスクとその対応 ①政府の動き編
tkhresk
0
140
サービス開発におけるVue3とTypeScriptの親和性について
tsukuha
10
1.8k
Security Hubのセキュリティスコアはどうやって計算されるか
toru_kubota
0
100
Prisma ORMを2年運用して培ったノウハウを共有する
tockn
19
5.1k
スクラムに出会って「できた」を実感できるようになってきた話 / Scrum makes me feel like I can do it
yayoi_dd
2
110
1Q86
kawaguti
PRO
2
190
Featured
See All Featured
CSS Pre-Processors: Stylus, Less & Sass
bermonpainter
352
28k
Reflections from 52 weeks, 52 projects
jeffersonlam
345
19k
Product Roadmaps are Hard
iamctodd
45
9.8k
The Invisible Side of Design
smashingmag
294
49k
Docker and Python
trallard
35
2.7k
Design by the Numbers
sachag
274
18k
Teambox: Starting and Learning
jrom
128
8.4k
Building Adaptive Systems
keathley
32
1.9k
How GitHub (no longer) Works
holman
305
140k
Testing 201, or: Great Expectations
jmmastey
30
6.4k
GraphQLとの向き合い方2022年版
quramy
33
13k
The Language of Interfaces
destraynor
151
23k
Transcript
ITパスポート勉強会 ~セキュリティ~
勉強会の予定 ・第1回 デジタルデータ 12/ 6 ・第2回 データベース 12/13 ・第3回 ネットワーク
12/27 ・第4回 セキュリティ 1/10 目次 ・毎週月曜日全4回
今日の予定 目次 • セキュリティマネジメント • 不正アクセス • コンピューターウイルス • 暗号化技術
セキュリティ
逆にいえば、世界中の悪い人からもアクセス可能に なったとも言えます ネットワークによって世界中の機器につながるようになりました セキュリティ 企業の持つ情報資産を守るため、情報セキュリティが重要です!
セキュリティを高めることは重要です! セキュリティ Ex) ゾンビや鍵のかかったドアがこれだけあれば侵入は防げそうですね でも、、、 この家は「生活利用できない」ですよね セキュリティが高くなればなるほど 普段の利用が大変になります!
セキュリティを考える際には、安全性と利便性のバランスが重要です セキュリティ セキュリティマネジメントの3要素 機密性 完全性 可用性 不正なアクセスをされない データを改ざんされない データを取得しやすい これらの要素のバランスを取る必要があります!
セキュリティ 問1 問2 A. イ 動作しない=使えないので可用性 情報が漏洩=他の人に見られたので機密性 誤ったデータ=データが完全でないので完全性 bの「管理規定を定めずに~」dの「全顧客の住所録 をあらかじめ預けている」が適切ではありません。
A. ウ
最近はユーザーID・パスワードでの認証+他の認証のパターンが多いですね! アクセスする人を制限するためにユーザー認証があります セキュリティ ユーザーIDとパスワードで認証する ユーザーID、パスワード バイオメトリクス認証 ワンタイムパスワード認証 コールバック認証 生体情報(指紋、声、虹彩)で認証する 短時間で更新され続けるパスワードで認証する
登録した電話番号に出ることで認証する
人のミスによる情報漏洩にも気を付ける必要があります! システムでいくらセキュリティを高めても結局使うのは人間です セキュリティ ショルダーハッキング スカベンジング 1人1人のセキュリティ意識も大切です!
不正アクセスには様々な手法があります! セキュリティ YOJOのデータベースも不正アクセスしようとしているのが確認されてます、、、 有名な不正アクセスについて解説していきます!
ブルートフォース セキュリティ パスワードを総当たりで試していく攻撃です! 0~9の10パターンが三つなので10³パターン試せば網羅できますね よくある対策としてはパスワードを何回か試すとアカウントがロックされるなどがあります!
ブルートフォースの対策としてアカウントのロックがありますが、 セキュリティ パスワードは固定で、ユーザーIDを総当たりで探します。 それを突破する手法が「リバースブルートフォース」です! これだと1アカウント当たりの失敗が1回なので攻撃を検知できません、、
SQLインジェクション セキュリティ SQL文 このようなサイトにSQL文を直接入力することで、 SQLとは? データベースにアクセスするための命令文 実行結果 不正なSQL文が作られ全ユーザーの情報が漏洩したりします、、、
DNSキャッシュポイズニング セキュリティ DNSサーバーは「https://yojo.co.jp」にアクセスされた際に、 実際のサーバーが存在するIPアドレスを探して返します このIPアドレスは短期間でころころ変わらないので、DNSサーバー が調べた際に一定期間記憶(キャッシュ)してくれます。 IPアドレスのキャッシュを改ざんし、間違ったIPアドレスにユーザー を誘導することをDNSキャッシュポイズニングといいます!
セキュリティ 問1 問2 問3 A. ア A. ア A. エ
セキュリティ コンピューターウイルスとは? ウイルスのような性質を持つプログラムです! 自己伝染 潜伏 発病 自分をコピーして他のPCに感染する 感染後しばらくはおとなしくする PCを破壊したり、情報を盗む 入り込んで、潜伏しながら増殖し、発病して別の場所に入り込む
まさにウイルスの動きですね!
セキュリティ ウイルスに対して、「予防」「検査」「修復」を行ってくれるのがウイルス対策ソフトです! これらはPCに入ってくるデータを事前に検査し、 ウイルスかどうかをチェックしてくれます!
セキュリティ 既知のウイルスの場合 ウイルスの検出方法には2つあります! これらによってウイルス対策ソフトはPCを守ってくれます! 未知のウイルスの場合 ウイルス定義ファイルによって検出します ビヘイビア法によって検出します ビヘイビア(behavior)= 振る舞い 既知のウイルスなので、定義ファイルと
一致したら削除します プログラムの挙動を見てウイルスを検出 します。
セキュリティ 問1 問2 A. エ A. ア ファイルを開いたことが原因なので外部から の直接攻撃ではなく、文書ファイルにウイル スが潜んでいたということですね!
感染経路はUSBメモリなどの外部記憶装置や メールやwebサイトからのファイルダウン ロードが考えられます! また、感染したPCはネットワークに接続しな いようにしましょう!
セキュリティ 前回ネットワークはパケットでのやりとりをしているといいました! そこで、データは見られてもいい形に暗号化します! パケットは複数のネットワークを経由してバケツリレーのように運んでいるため、 途中で盗み見られる危険性があります、、、 この図のように共通した「鍵」で暗号化し、 送った先で復号する方式を「共通鍵方式」と いいます!
セキュリティ さっきの共通鍵暗号方式には難点があります これを解決するのが「公開鍵暗号方式」です! 鍵はそもそもどうやって安全に通信相手に配るのでしょう? 2種類の鍵を用意します 公開鍵 ・配布用 秘密鍵 ・自分用 公開鍵で暗号化したデータは秘密鍵のみで復号できます
・暗号化用 ・復号用 公開鍵が漏洩してもデータを見ることはできません! 自分宛てのデータは自分の公開鍵を配って暗号化してもらいます
セキュリティ 公開鍵暗号方式を応用すると、データの機密性・完全性が保証できます! その人から送られたデータが、その人の公開鍵で復号出来た その人の公開鍵で復号できるのは、その人の秘密鍵で暗号化された証拠なので、 その人から送られてきたことが保証されます!
セキュリティ データを送る際には送信者の秘密鍵で暗号された「デジタル署名」を添付します! デジタル署名 送るデータを変換(ハッシュ化)し、秘密鍵 で暗号化したもの 受信者は送られたデータをハッシュ化し、公 開鍵で復号したデジタル署名と比較します! 送られたデータが改ざんされていないか、誰から送られたかを証明することができますね!
セキュリティ 今までは鍵によってデータの安全性が保証されるという話でした 鍵自体が本当に正しいかどうかは認証局が管理しています! 認証局(CA)が公開鍵の正当性を保証するための デジタル証明書を発行してくれます!
セキュリティ 問1 問2 A. ウ A. ア 公開鍵方式は秘密鍵と公開鍵のセットで成り 立っています。 認証局の役割は鍵の正当性(送信者)を保証
することです。
セキュリティ ITパスポート勉強会は以上になります! 勉強会にお付き合いいただきありがとうございました!!