[linux-users:77131] Re: 一番簡単なセキュリティー対策方法

[Tatsuya BIZENN <bizenn _at_ xxxxxxxxx>]

備前です。またまた割込み。

At Tue, 5 Dec 2000 10:35:00 +0900,
MATSUDA Yoh-ichi / 松田陽一 <matsuda _at_ palnet.or.jp> wrote:

> 「典型的な」セキュリティー対策方法?
> 「基礎的な」セキュリティー対策方法?

「インターネットサーバのセキュリティ対策の原則は?」とか。

   - 必要最小限のサービスのみを提供する。
   - セキュリティパッチは必ず当てる。

というのは、原則に過ぎません。それが目的に合致するかしないかを検証しな
いまま対策とは言えないのです。とはいえ、たいていの場合はこの原則の上に
対策を組み立てていくのですが。

> 例えば、ダイヤルアップサーバにおいて、全てのポートを閉めて、尚且つ
> IPマスカレードを用いて、 web 閲覧、 ftp アクセス、メール取り込み程
> 度のことができれば十分、という要求を満たすにはどうしたら良いのか、
> とか。

そこまで具体的にやってること、やりたいことが提示されているのなら、具体
策を提示することも可能になりますね。元の方のメッセージには、そういう情
報はなかったように思います。

> # サーバ関係のソフトは各々の対策があるでしょうから、それは次のステッ
> # プになるのではないかと思います。

もちろんそうなんですが、そのステップをクリアしないと、セキュリティ対策
なんて言えやしないでしょう。あえて言い切ってしまうと、いくらセキュリティ
対策をしてるつもりでも、破られてしまったら何の言い訳にもならないんです。
だから、「とりあえず今はこのステップまで」なんて考え方はナンセンスだと
思います。

> 一連の議論をずっと見ていて思ったのですが、具体的な方策が示されない
> ので、初心者である私は歯がゆい思いで読んでいました。

具体的な目的や守りたいものや状況が説明されない限り、方策を示すのは不可
能でしょう。前述した「原則」は示せますが、そんなものは Web や書籍にい
くらでも転がってる情報ですよね?

> ポリシー云々の話から色々取り沙汰されていますが、概念を明確に示すよ
> うな具体例が示されないと、私のような者には理解できません。

前提がクリアされないと進まない事柄だってあるってことです。

> そもそも、ポリシーってそんなに多種多様にあるのでしょうか?

目的×状況×実装者(設計者)の数だけあります。少なくともわたしはそう信じ
てます。


-- 備前 達矢
   *.doc/*.xls/*.ppt/*.mdb/HTMLメールは読まずに捨てます
   メールアドレスが bizenn _at_ visha.org に変わりました