脅威分析、要素技術（ネットワーク、データベース、暗号、認証、フィルタリング、ロギング）
この領域で問われること
脅威の種類と、それを防ぐ要素技術を対応づけて理解する領域である。ネットワーク、データベース、暗号、認証、フィルタリング、ロギングの各技術が、どの攻撃に効くかを説明できるかが問われる。
主な脅威
標的型攻撃、ランサムウェア、フィッシング、SQLインジェクション、クロスサイトスクリプティング、CSRF、OSコマンドインジェクション、DoS/DDoS、ブルートフォース、パスワードリスト攻撃、内部不正、サプライチェーン攻撃がある。
要素技術
- ネットワークではFWのパケットフィルタ、DMZ、IDS（検知）とIPS（遮断）、WAF、VPN、VLANを使う。
- データベースでは最小権限のアクセス制御、プレースホルダ、暗号化、監査ログを組み合わせる。
- 認証は知識・所持・生体の3要素で考え、多要素認証、SSO、OAuth 2.0（認可）、OpenID Connect（認証）、SAMLを使い分ける。
- フィルタリングはパケット、URL、コンテンツ、メール（SPF、DKIM、DMARC）の各層で行う。
- ロギングでは取得対象、時刻同期、改ざん防止、保管期間、監視体制を定める。
例題で確認
ログイン画面へのパスワードリスト攻撃を想定する。対策は一定回数失敗でのアカウントロック、CAPTCHA、多要素認証、漏えいパスワードとの照合、レート制限である。WAFのシグネチャだけでは不十分で、認証ログに失敗回数と送信元を記録し、NTPで時刻を同期して相関分析する。
失点しやすい点
IDSとIPSを混同する。WAFがあればSQLインジェクションの根本対策は不要と考える。OAuth 2.0とOpenID Connectを混同する。ログを取得するだけで監視しない。