ハニーポット
ハニーポットの説明として，適切なものはどれか。
- アインターネットに公開するサーバを，内部ネットワークとは別のファイアウォールで区切られたセグメントに設置し，侵害されても内部ネットワークへの被害の拡大を防ぐ。
- イ攻撃者にとって魅力的に見えるおとりのシステムを意図的に設置して攻撃を誘い込み，侵入の手口や攻撃後の挙動を観測して分析する。
- ウ社内ネットワークに接続しようとする PC について，修正プログラムの適用状況やマルウェア対策ソフトの状態を検査し，基準を満たさない場合は隔離したセグメントに接続させる。
- エネットワークを流れるパケットを既知の攻撃パターンと照合し，一致する通信を検知した場合に管理者に警告する。
正解と解説を見る
正解 イ
この問題の基礎知識
- ハニーポットは，攻撃者をおびき寄せるために意図的に設置するおとりのシステムであり，本来の業務に使わないので，そこへのアクセスは攻撃や探索とみなせる。
- DMZ は公開サーバを内部ネットワークから分離して設置するセグメント，検疫ネットワークは接続前に端末のセキュリティ状態を検査し基準を満たさない端末を隔離する仕組み，シグネチャ型 IDS は通信を既知の攻撃パターンと照合して検知する仕組みである。
- サンドボックスは，不審なプログラムを隔離された環境で実行して挙動を観察する仕組みであり，攻撃者を誘い込むハニーポットとは目的が異なる。
アインターネットに公開するサーバを，内部ネットワークとは別のファイアウォールで区切られたセグメントに設置し，侵害されても内部ネットワークへの被害の拡大を防ぐ。
公開サーバを内部ネットワークから分離したセグメントに設置するのは，DMZ の説明である。攻撃者をおびき寄せて観測することを目的としたものではない。
イ攻撃者にとって魅力的に見えるおとりのシステムを意図的に設置して攻撃を誘い込み，侵入の手口や攻撃後の挙動を観測して分析する。正解
ハニーポットは，本来の業務には使わないおとりのシステムである。正規の利用者がアクセスしないので，そこへのアクセスは攻撃や探索とみなせ，攻撃手法やマルウェアの挙動などの情報を収集できる。
ウ社内ネットワークに接続しようとする PC について，修正プログラムの適用状況やマルウェア対策ソフトの状態を検査し，基準を満たさない場合は隔離したセグメントに接続させる。
接続前に端末のセキュリティ状態を検査し，基準を満たさない端末を隔離するのは，検疫ネットワークの説明である。攻撃者を誘い込んで観測する仕組みではない。
エネットワークを流れるパケットを既知の攻撃パターンと照合し，一致する通信を検知した場合に管理者に警告する。
パケットを既知の攻撃パターン（シグネチャ）と照合して警告するのは，シグネチャ型 IDS の説明である。おとりのシステムを設置して攻撃を誘い込むものではない。
検証用の出典出典照合済み
RFC 4949 Internet Security Glossary, Version 2照合の根拠（5 件）
- イ（正解）: 攻撃者にとって魅力的に見えるよう設計されたおとりのシステム
A system (e.g., a web server) or system resource (e.g., a file on a server) that is designed to be attractive to potential crackers and intruders, like honey is attractive to bears.
RFC 4949 · honey pot（新しいタブで開きます） - イ（正解）: 意図的に仕掛けて侵入の試みを検知する（honey pot を参照）
"The deliberate planting of apparent flaws in a system for the purpose of detecting attempted penetrations or confusing an intruder about which flaws to exploit."
RFC 4949 · entrapment（新しいタブで開きます） - ア（誤り）: 内部と公開ネットワークの間に分離したセグメントを置くのは DMZ（buffer zone）
To connect a private network to the Internet or some other relatively public network, one could construct a small, separate, isolated LAN and connect it to both the private network and the public network;
RFC 4949 · buffer zone（新しいタブで開きます） - ウ（誤り）: 端末のヘルスチェック結果で接続可否を決めるのは検疫ネットワーク（NAC）
A feature provided by some firewalls that allows access based on a user’s credentials and the results of health checks performed on the telework client device.
NIST CSRC Glossary · network access control（新しいタブで開きます） - エ（誤り）: 既知パターンとの照合で検知するのはシグネチャ型（不正検出型）IDS
An intrusion detection method that is based on rules that specify system events, sequences of events, or observable properties of a system that are believed to be symptomatic of security incidents.
RFC 4949 · misuse detection（新しいタブで開きます）