Huney

応用情報（AP） / セキュリティ

情報セキュリティ実装技術とは？TLS・ファイアウォール・WAF・IDS・EDR・VPNをやさしく解説

応用情報技術者試験の情報セキュリティ実装技術を初心者向けに解説。SSL/TLSの通信とハンドシェイク、サーバ認証・クライアント認証、ファイアウォール、プロキシサーバ、WAF、IDS・IPS、EDR、ハニーポット、VPNの仕組みと違いを学びます。

読了時間：約32分
  • #情報セキュリティ
  • #応用情報技術者試験
  • #TLS
  • #SSL
  • #HTTPS
  • #ファイアウォール
  • #プロキシサーバ
  • #WAF
  • #IDS
  • #IPS
  • #EDR
  • #ハニーポット
  • #VPN

はじめに

インターネットは、私たちの生活や仕事に欠かせない存在です。

ネットショップで商品を購入したり、会社のシステムにアクセスしたり、離れた場所から社内ネットワークに接続したりと、さまざまな場面で利用されています。

しかし、インターネットには次のような危険があります。

  • 通信内容を盗み見られる
  • 通信データを改ざんされる
  • 不正なアクセスを受ける
  • Webサイトの脆弱性を悪用される
  • パソコンがマルウェアに感染する

こうした危険からシステムを守るために利用されるのが、情報セキュリティ実装技術です。

今回は、はちみつ屋さんがオンラインショップを運営する場面を例に、通信とネットワークを守る技術を学びましょう。

1. 情報セキュリティ実装技術とは

情報セキュリティ実装技術とは、システムやネットワークを脅威から守るために、実際に導入する技術や仕組みのことです。

例えば、次のようなものがあります。

技術 主な役割
TLS 通信の暗号化・完全性保護・相手の認証
ファイアウォール 通信の許可・拒否
プロキシサーバ 通信の中継・制御
WAF Webアプリケーションへの攻撃対策
IDS 不審な通信や活動の検知
IPS 不審な通信の検知・防御
EDR 端末上の不審な活動の検知・対応
ハニーポット 攻撃者の行動の観測・分析
VPN ネットワーク間や端末間の安全な通信経路の構築

これらは、すべて同じ役割を持つわけではありません。

何を守る技術なのか、どのように守るのかを理解することが重要です。

2. SSL/TLSとは

2-1. SSL/TLSの基本

**SSL（Secure Sockets Layer）とTLS（Transport Layer Security）**は、ネットワーク通信を保護するためのプロトコルです。

TLSはSSLの後継として開発されました。

現在では、SSLは安全性の問題から使用すべきではなく、TLSが利用されています。

「SSL証明書」という呼び方が残っていますが、現在のHTTPS通信ではTLSが使用されています。

2-2. TLSの目的

TLSには、主に次の3つの目的があります。

目的 内容
機密性 通信内容を第三者に読まれないようにする
完全性 通信データの不正な改ざんを検知する
認証 通信相手の正当性を確認する

例えば、はちみつ屋さんのネットショップで、お客様が住所や注文内容を入力するとします。

TLSを利用することで、通信経路上で情報を盗み見られたり、改ざんされたりするリスクを低減できます。

3. HTTPとHTTPSの違い

3-1. HTTPとは

**HTTP（Hypertext Transfer Protocol）**とは、WebブラウザとWebサーバの間で情報をやり取りするためのプロトコルです。

HTTP自体には、通信内容を暗号化する仕組みがありません。

3-2. HTTPSとは

**HTTPS（Hypertext Transfer Protocol Secure）**とは、HTTP通信をTLSなどで保護する仕組みです。

一般的なHTTPS通信では、TLSを利用します。

項目 HTTP HTTPS
通信の暗号化 なし あり
通信の完全性保護 HTTP自体にはなし TLSで保護
サーバ認証 HTTP自体にはなし TLSの証明書などで実施
代表的なポート番号 TCP 80 TCP 443

※HTTP/3では、UDP上のQUICを利用します。QUICにはTLS 1.3に基づくセキュリティ機能が組み込まれています。

4. TLS通信の全体像

TLS通信では、最初からアプリケーションデータを送信するわけではありません。

まず、通信相手との間で安全な通信に必要な情報を交換します。

この処理をTLSハンドシェイクと呼びます。

【クライアント】              【Webサーバ】
       │                           │
       │ ① TCP接続などを確立      │
       ├──────────────────────────→│
       │                           │
       │ ② TLSハンドシェイク      │
       │←─────────────────────────→│
       │                           │
       │ ③ 暗号鍵を確立           │
       │                           │
       │ ④ 暗号化通信             │
       │←─────────────────────────→│

TLSでは、公開鍵暗号技術や共通鍵暗号方式などを組み合わせて通信を保護します。

5. TLSハンドシェイクとは

5-1. ハンドシェイクの基本

**TLSハンドシェイク（TLS Handshake）**とは、安全な通信を開始するために、クライアントとサーバが必要な情報を交換する処理です。

主な目的は次のとおりです。

  1. 使用するTLSのバージョンや暗号方式を決定する
  2. サーバの正当性を確認する
  3. 通信に使用する鍵を確立する
  4. 安全な通信を開始する

ここでは、現在のTLSを理解するためにTLS 1.3の代表的な流れを解説します。

6. TLS 1.3のハンドシェイク

6-1. ClientHello

最初に、クライアントがサーバへClientHelloを送信します。

ClientHelloには、例えば次の情報が含まれます。

  • 対応するTLSバージョン
  • 利用可能な暗号スイート
  • ランダム値
  • 鍵共有に必要な情報

6-2. ServerHello

サーバは、ServerHelloを返します。

ServerHelloでは、使用する暗号スイートなどを決定し、鍵共有に必要な情報を送信します。

TLS 1.3では、一般にECDHEなどの鍵共有方式が利用されます。

6-3. デジタル証明書の送信

サーバは、必要に応じて自身のデジタル証明書を送信します。

クライアントは、その証明書を検証します。

確認する内容には、例えば次のものがあります。

  • 信頼できる認証局から発行されているか
  • 証明書の有効期間内か
  • 接続先のホスト名と一致しているか
  • 証明書チェーンが正しいか
  • 証明書の失効状態に問題がないか

6-4. サーバの署名を検証

TLS 1.3では、サーバがCertificateVerifyメッセージなどを利用して、証明書に対応する秘密鍵を保持していることを証明します。

クライアントは、サーバの公開鍵を利用して署名を検証します。

6-5. Finishedメッセージ

ハンドシェイクの最後には、Finishedメッセージなどを交換します。

これにより、ハンドシェイクが正しく行われたことを確認します。

6-6. TLS 1.3の通信イメージ

【クライアント】                  【サーバ】
       │                             │
       │ ClientHello                 │
       ├────────────────────────────→│
       │                             │
       │ ServerHello                 │
       │←────────────────────────────┤
       │                             │
       │ 暗号鍵を導出                │
       │                             │
       │ 暗号化された拡張情報など    │
       │←────────────────────────────┤
       │                             │
       │ Certificate                 │
       │←────────────────────────────┤
       │                             │
       │ CertificateVerify           │
       │←────────────────────────────┤
       │                             │
       │ Finished                    │
       │←────────────────────────────┤
       │                             │
       │ Finished                    │
       ├────────────────────────────→│
       │                             │
       │ 暗号化されたデータ通信      │
       │←───────────────────────────→│

※これはサーバ証明書を利用する、代表的なフルハンドシェイクを簡略化したものです。セッション再開やクライアント認証などでは流れが異なります。

7. TLSで利用する暗号技術

TLSでは、複数の暗号技術を組み合わせます。

技術 主な用途
公開鍵暗号技術 認証・鍵共有など
共通鍵暗号方式 アプリケーションデータの暗号化
ハッシュ関数 鍵導出や署名など
デジタル署名 通信相手の認証
デジタル証明書 公開鍵の所有者の確認

TLS 1.3では、一般にECDHEなどによって共有秘密を確立し、そこから通信に使用する共通鍵を導出します。

そのため、TLS 1.3では、サーバの公開鍵で共通鍵を暗号化して送るわけではありません。

ここは、古いTLSの説明と混同しないようにしましょう。

8. TLSでのデータ伝送

8-1. ハンドシェイク後の通信

TLSハンドシェイクが完了すると、クライアントとサーバは暗号化されたアプリケーションデータを送受信します。

この処理を担うのが、**TLSレコードプロトコル（TLS Record Protocol）**です。

8-2. TLSレコードプロトコル

TLSレコードプロトコルは、アプリケーションデータなどをレコードとして扱い、必要に応じて暗号化・完全性保護を行います。

【アプリケーションデータ】
             │
             ▼
      TLSレコード処理
             │
             ▼
      暗号化・認証処理
             │
             ▼
      TLSレコードとして送信
             │
             ▼
          ネットワーク

TLS 1.3では、主に**AEAD（Authenticated Encryption with Associated Data：認証付き暗号）**が利用されます。

9. AEADとは

9-1. AEADの基本

AEADとは、データの暗号化と完全性・真正性の保護を組み合わせた暗号方式です。

代表例には、次のものがあります。

  • AES-GCM
  • ChaCha20-Poly1305

AEADを利用することで、暗号化されたデータが不正に改ざんされていないかを確認できます。

9-2. TLSで共通鍵暗号方式を使う理由

共通鍵暗号方式は、公開鍵暗号方式と比較して、大量のデータを高速に処理できます。

そのため、TLSではハンドシェイクで鍵を確立した後、アプリケーションデータの暗号化に共通鍵暗号方式を利用します。

🍯 はちみつ屋さんで例えると

はちみつ屋さんがお客様に商品情報を送る場面を考えます。

最初に、お互いが安全に通信するための準備をします。

その後は、共通の秘密情報から作られた鍵を使って、大量の商品情報や注文データを高速にやり取りします。

10. サーバ認証とは

10-1. サーバ認証の基本

**サーバ認証（Server Authentication）**とは、クライアントが接続先のサーバの正当性を確認することです。

HTTPSでは、通常、サーバがデジタル証明書を提示します。

クライアントは証明書や署名などを検証して、接続先が正当なサーバであることを確認します。

10-2. サーバ認証の流れ

【クライアント】
       │
       │ HTTPS接続要求
       ▼
【Webサーバ】
       │
       │ サーバ証明書を提示
       ▼
【クライアント】
       │
       ├─ 証明書の署名を検証
       ├─ 有効期間を確認
       ├─ ホスト名を確認
       └─ 証明書チェーンを確認
       │
       ▼
   サーバ認証成功

11. クライアント認証とは

11-1. クライアント認証の基本

**クライアント認証（Client Authentication）**とは、サーバが接続してきたクライアントの正当性を確認することです。

TLSでは、クライアント証明書を利用して認証する場合があります。

11-2. クライアント証明書による認証

クライアント証明書を使用する場合、サーバはクライアントに証明書の提示を要求します。

クライアントは証明書を提示し、対応する秘密鍵を保持していることを証明します。

サーバは、証明書や署名などを検証します。

12. 相互TLS認証

12-1. mTLSとは

**mTLS（Mutual TLS）**とは、サーバとクライアントの双方が証明書などを利用して認証し合う構成です。

【クライアント】               【サーバ】
       │                          │
       │ サーバ証明書を確認       │
       │←─────────────────────────┤
       │                          │
       │ クライアント証明書を提示 │
       ├─────────────────────────→│
       │                          │
       │      相互認証成功        │
       │                          │
       │←──── 暗号化通信 ────────→│

mTLSは、企業システムやAPI間通信などで利用されます。

12-2. サーバ認証とクライアント認証の比較

項目 サーバ認証 クライアント認証
認証する側 クライアント サーバ
認証される側 サーバ クライアント
主な証明書 サーバ証明書 クライアント証明書
主な用途 HTTPS 企業システム、mTLSなど

13. ネットワークセキュリティとは

ここからは、ネットワークへの不正アクセスや攻撃を防ぐための技術を学びます。

ネットワークセキュリティでは、複数の対策を組み合わせることが重要です。

例えば、はちみつ屋さんのオンラインショップでは、次のような構成が考えられます。

        インターネット
              │
              ▼
        ファイアウォール
              │
              ▼
             WAF
              │
              ▼
          Webサーバ
              │
              ▼
       アプリケーション
              │
              ▼
        データベース

それぞれの機器や技術が異なる役割を担っています。

14. ファイアウォールとは

14-1. ファイアウォールの基本

**ファイアウォール（Firewall）**とは、あらかじめ設定したルールに基づいて、ネットワーク通信を許可・拒否する仕組みです。

外部ネットワークと内部ネットワークの境界などに設置されます。

【インターネット】
        │
        ▼
【ファイアウォール】
        │
        ├─ 許可された通信 → 通過
        │
        └─ 禁止された通信 → 遮断
        │
        ▼
【社内ネットワーク】

15. ファイアウォールの種類

15-1. パケットフィルタリング型

パケットフィルタリング型とは、パケットのヘッダ情報などをもとに通信を制御する方式です。

代表的な判断材料には、次のものがあります。

  • 送信元IPアドレス
  • 宛先IPアドレス
  • 送信元ポート番号
  • 宛先ポート番号
  • プロトコル

15-2. ステートフルインスペクション型

**ステートフルインスペクション（Stateful Inspection）**とは、通信の状態を管理しながら通信を制御する方式です。

例えば、内部ネットワークから開始した通信に対する戻りの通信を、状態情報に基づいて許可できます。

【社内PC】
    │
    │ ① Webサイトへ接続
    ▼
【ファイアウォール】
    │
    │ 通信状態を記録
    ▼
【Webサーバ】
    │
    │ ② 応答
    ▼
【ファイアウォール】
    │
    │ 記録した通信状態を確認
    ▼
【社内PC】

15-3. アプリケーションゲートウェイ型

アプリケーションゲートウェイ型とは、アプリケーション層の通信を中継し、内容に応じた制御を行う方式です。

HTTPなどのアプリケーションプロトコルを理解して通信を制御できる場合があります。

16. フィルタリングの例

16-1. フィルタリングルール

例えば、はちみつ屋さんのWebサーバを公開するとします。

WebサーバのIPアドレスを 192.0.2.10 とします。

次のようなルールを設定できます。

送信元 宛先 プロトコル 宛先ポート 動作
任意 192.0.2.10 TCP 443 許可
任意 192.0.2.10 TCP 22 拒否
任意 192.0.2.10 TCP 3389 拒否

※192.0.2.10 は説明用のIPアドレスです。

16-2. ルールの意味

TCP 443を許可

HTTPS通信を許可します。

TCP 22を拒否

外部からのSSH接続を拒否します。

TCP 3389を拒否

外部からのRDP接続を拒否します。

16-3. デフォルト拒否

ファイアウォールでは、必要な通信だけを許可し、それ以外を拒否するという考え方が重要です。

これを、デフォルト拒否やホワイトリスト方式などと呼びます。

ただし、実際の設定では業務上必要な通信を整理し、通信方向や戻り通信も考慮する必要があります。

17. プロキシサーバとは

17-1. プロキシサーバの基本

**プロキシサーバ（Proxy Server）**とは、クライアントとサーバの間で通信を中継するサーバです。

プロキシには、大きく次の2つがあります。

  1. フォワードプロキシ
  2. リバースプロキシ

18. フォワードプロキシとは

18-1. フォワードプロキシの基本

**フォワードプロキシ（Forward Proxy）**とは、クライアントの代わりに外部サーバへアクセスする仕組みです。

主に、社内ネットワークからインターネットへアクセスする際などに利用されます。

18-2. フォワードプロキシの構成

【社内PC】
     │
     │ Webアクセス要求
     ▼
【フォワードプロキシ】
     │
     │ 代理でアクセス
     ▼
【インターネット】
     │
     ▼
【Webサーバ】

18-3. フォワードプロキシの主な機能

  • Webアクセスの制御
  • URLフィルタリング
  • アクセスログの記録
  • キャッシュによる通信効率化
  • マルウェア対策との連携

19. リバースプロキシとは

19-1. リバースプロキシの基本

**リバースプロキシ（Reverse Proxy）**とは、サーバの代わりにクライアントからのアクセスを受け付ける仕組みです。

主に、Webサーバの前段に配置されます。

19-2. リバースプロキシの構成

【インターネット】
       │
       ▼
【リバースプロキシ】
       │
       ├─────────────┐
       ▼             ▼
【WebサーバA】   【WebサーバB】

19-3. リバースプロキシの主な機能

  • 負荷分散
  • TLS終端
  • キャッシュ
  • アクセス制御
  • バックエンドサーバの構成を外部から隠す
  • WAFなどとの連携

20. フォワードプロキシとリバースプロキシの違い

項目 フォワードプロキシ リバースプロキシ
代理する対象 クライアント側 サーバ側
主な配置場所 社内ネットワークの出口 Webサーバの前段
主な用途 Webアクセス制御 負荷分散・Webサーバ保護
利用者から見た役割 外部アクセスを代行 サービスへの入口

🍯 はちみつ屋さんで例えると

フォワードプロキシ

従業員の代わりに、外部のお店へ買い物に行く担当者。

リバースプロキシ

お客様からの注文を受け付け、店舗内の担当者へ振り分ける受付係。

試験でのポイント

フォワード＝利用者側の代理

リバース＝サーバ側の代理

21. WAFとは

21-1. WAFの基本

**WAF（Web Application Firewall）**とは、Webアプリケーションへの攻撃を検知・防御するための仕組みです。

一般的なファイアウォールとは異なり、HTTPなどのWeb通信の内容を検査します。

21-2. WAFが対象とする攻撃

代表的な攻撃には、次のものがあります。

  • SQLインジェクション
  • クロスサイトスクリプティング（XSS）
  • ディレクトリトラバーサル
  • 不正なHTTPリクエスト

21-3. WAFの構成

【利用者・攻撃者】
        │
        ▼
      【WAF】
        │
        ├─ 正常なリクエスト → 許可
        │
        └─ 不審なリクエスト → 遮断
        │
        ▼
【Webアプリケーション】

WAFは、Webアプリケーションの脆弱性を修正する代わりになるものではありません。

アプリケーション自体の安全な設計・実装と組み合わせる必要があります。

22. ファイアウォールとWAFの違い

項目 ファイアウォール WAF
主な保護対象 ネットワーク通信 Webアプリケーション
主な判断材料 IPアドレス・ポート番号・通信状態など HTTPリクエストなどの内容
主な目的 不要な通信の遮断 Webアプリケーション攻撃の検知・防御
代表的な対策 不要ポートへの接続制限 SQLインジェクション対策など

試験でのポイント

ファイアウォール＝通信経路の制御

WAF＝Webアプリケーションへの攻撃対策

23. セキュリティ対策製品

ネットワークやシステムを守るためには、ファイアウォールやWAF以外にもさまざまな製品が利用されます。

代表的なものを整理しましょう。

技術 主な役割
IDS 不審な通信や活動を検知
IPS 不審な通信を検知・遮断
EDR 端末上の不審な活動を検知・対応
NDR ネットワーク上の不審な活動を検知・分析
SIEM ログを集約・分析
UTM 複数のセキュリティ機能を統合
NGFW アプリケーション識別など高度な制御を行うファイアウォール

24. IDSとは

24-1. IDSの基本

**IDS（Intrusion Detection System：侵入検知システム）**とは、ネットワークやシステムの不審な活動を検知する仕組みです。

IDSは、攻撃や異常を検知した際に、管理者へ通知したりログを記録したりします。

24-2. IDSの種類

NIDS

**NIDS（Network-based IDS）**とは、ネットワーク通信を監視するIDSです。

HIDS

**HIDS（Host-based IDS）**とは、サーバや端末などのホスト上の活動を監視するIDSです。

24-3. IDSの特徴

IDSは、基本的に検知と通知を主な役割とします。

そのため、IDSだけで攻撃通信を自動的に遮断するとは限りません。

25. IPSとは

25-1. IPSの基本

**IPS（Intrusion Prevention System：侵入防止システム）**とは、不審な通信を検知し、必要に応じて遮断する仕組みです。

IDSが主に検知を行うのに対し、IPSは防御まで行う点が特徴です。

25-2. IPSの構成

【インターネット】
        │
        ▼
       【IPS】
        │
        ├─ 正常な通信 → 通過
        │
        └─ 不審な通信 → 遮断
        │
        ▼
【社内ネットワーク】

IPSは通信経路上に配置されることが多く、検知した通信をその場で遮断できます。

26. IDSとIPSの違い

項目 IDS IPS
正式名称 Intrusion Detection System Intrusion Prevention System
日本語 侵入検知システム 侵入防止システム
主な役割 検知・通知 検知・遮断
通信経路への配置 ミラーリングなどでも利用可能 通信経路上に配置されることが多い
注意点 検知後の対応が必要 誤検知による通信遮断の可能性

試験でのポイント

IDS＝Detect（検知）

IPS＝Prevent（防止）

27. IDS・IPSの検知方式

27-1. シグネチャ型

シグネチャ型とは、既知の攻撃パターンと通信内容などを照合して検知する方式です。

メリット

既知の攻撃を効率的に検知できます。

デメリット

未知の攻撃や、既存パターンと異なる攻撃を検知できない場合があります。

27-2. アノマリ型

**アノマリ型（異常検知型）**とは、通常の通信や動作からの逸脱を検知する方式です。

メリット

未知の攻撃や異常な活動を検知できる可能性があります。

デメリット

正常な通信を異常と判断する誤検知が発生する場合があります。

28. EDRとは

28-1. EDRの基本

**EDR（Endpoint Detection and Response）**とは、パソコンやサーバなどの端末上で発生する不審な活動を検知・調査し、対応を支援する仕組みです。

エンドポイントとは、例えば次のような機器です。

  • パソコン
  • サーバ
  • ノートPC
  • その他の管理対象端末

28-2. EDRの主な機能

  • 端末上の動作ログの収集
  • 不審なプロセスの検知
  • 攻撃の調査
  • 不審なファイルの隔離
  • 端末のネットワーク隔離
  • インシデント対応の支援

28-3. EDRの仕組み

【パソコン・サーバ】
         │
         │ 動作情報を収集
         ▼
       【EDR】
         │
         ├─ 不審な活動を検知
         │
         ├─ 管理者へ通知
         │
         ├─ 攻撃を調査
         │
         └─ 端末隔離などの対応

29. EDRと従来型アンチウイルスの違い

項目 従来型アンチウイルス EDR
主な目的 マルウェアの検知・防止 侵入後の活動も含めた検知・調査・対応
主な監視対象 ファイルやプログラムなど プロセス、通信、操作など
調査機能 製品による 重要な機能の1つ
インシデント対応 製品による 端末隔離などを支援

EDRはアンチウイルスを完全に置き換えるとは限りません。

実際の製品では、両方の機能が統合されている場合もあります。

30. ハニーポットとは

30-1. ハニーポットの基本

**ハニーポット（Honeypot）**とは、攻撃者を誘引し、その行動を観測・分析するために設置するシステムや環境です。

攻撃者にとって魅力的に見えるサービスなどを用意し、不正なアクセスを観測します。

30-2. ハニーポットの仕組み

【攻撃者】
    │
    │ 不正アクセス
    ▼
【ハニーポット】
    │
    ├─ アクセス元を記録
    ├─ 攻撃手法を記録
    ├─ 実行された操作を記録
    └─ 攻撃傾向を分析

30-3. ハニーポットの目的

  • 攻撃手法の調査
  • 攻撃者の行動分析
  • 新たな脅威の発見
  • セキュリティ対策の改善

ただし、ハニーポットは通常の業務システムを直接保護する装置ではありません。

また、攻撃者に悪用されないよう、ネットワークの分離や監視などが必要です。

30-4. 🍯 はちみつ屋さんで例えると

はちみつ屋さんが、偽物の倉庫を用意したとします。

その倉庫には、実際の商品や重要な情報は置いていません。

不審者が倉庫に侵入すると、その行動が記録されます。

この記録を分析することで、どのような手口で侵入しようとしたのかを調べられます。

これがハニーポットの考え方です。

31. VPNとは

31-1. VPNの基本

**VPN（Virtual Private Network：仮想プライベートネットワーク）**とは、共有ネットワークなどの上に、論理的な専用ネットワークを構築する技術です。

VPNは、拠点間通信やリモートアクセスなどで利用されます。

31-2. VPNの利用例

例えば、はちみつ屋さんに本店と支店があるとします。

本店と支店の間で、在庫情報や売上情報を安全にやり取りしたい場合があります。

【本店】
   │
   ▼
【VPN装置】
   │
   │ インターネット
   │
   ▼
【VPN装置】
   │
   ▼
【支店】

VPNによって、離れたネットワーク同士を論理的につなぐことができます。

32. VPNの種類

VPNは、利用形態によって大きく次のように分類できます。

種類 内容
拠点間VPN 本社と支社などのネットワークを接続
リモートアクセスVPN 個人の端末から社内ネットワークへ接続

また、利用する技術によって、IPsec VPNやTLSベースのVPNなどがあります。

33. IPsec VPNとは

33-1. IPsecの基本

**IPsec（Internet Protocol Security）**とは、IP層で通信を保護するためのプロトコル群です。

IPsecは、拠点間VPNなどで広く利用されています。

33-2. IPsecの主な構成要素

技術 役割
AH IPパケットの認証・完全性保護
ESP 暗号化や認証・完全性保護
IKE セキュリティアソシエーションや鍵の確立

33-3. AHとは

**AH（Authentication Header）**とは、IPパケットの認証や完全性保護を提供する仕組みです。

AH自体には暗号化機能がありません。

33-4. ESPとは

**ESP（Encapsulating Security Payload）**とは、IPパケットのデータを保護する仕組みです。

ESPでは、暗号化や完全性保護などを提供できます。

実際のVPNでは、ESPが広く利用されています。

34. IPsecのトランスポートモードとトンネルモード

34-1. トランスポートモード

トランスポートモードとは、元のIPヘッダを基本的に維持し、主に上位層のデータを保護する方式です。

【元のIPパケット】

IPヘッダ | データ


【IPsecトランスポートモード】

IPヘッダ | ESP関連情報 | 保護されたデータ

34-2. トンネルモード

トンネルモードとは、元のIPパケット全体を保護対象として、新しい外側のIPヘッダを付ける方式です。

【元のIPパケット】

IPヘッダ | データ


【IPsecトンネルモード】

新IPヘッダ | ESP関連情報 | 元のIPパケット

34-3. 2つのモードの比較

項目 トランスポートモード トンネルモード
主な保護対象 IPペイロード 元のIPパケット全体
外側のIPヘッダ 通常は追加しない 追加する
主な用途 ホスト間通信など 拠点間VPNなど

35. TLSベースのVPNとは

TLSベースのVPNとは、TLSを利用してリモートアクセスなどの通信を保護するVPNです。

一般に「SSL-VPN」と呼ばれることもあります。

ただし、現在はSSLではなくTLSを使用する構成が一般的です。

TLSベースのVPNには、製品によって次のような利用形態があります。

  • Webブラウザから利用する方式
  • 専用クライアントを利用する方式

36. IPsec VPNとTLSベースのVPNの比較

項目 IPsec VPN TLSベースのVPN
主な技術 IPsec TLS
主な用途 拠点間接続、リモートアクセス リモートアクセスなど
動作する層 IP層 TLSを利用する上位層の仕組み
特徴 IPパケットを保護できる Web技術との親和性が高い

※実際の利用形態や接続可能なアプリケーションは、VPN製品や設定によって異なります。

37. VPNを利用する際の注意点

VPNを利用すれば、すべてのセキュリティ問題が解決するわけではありません。

例えば、次のような対策も必要です。

  • 利用者認証の強化
  • 多要素認証の導入
  • VPN装置の脆弱性対策
  • 接続端末のセキュリティ対策
  • アクセス権限の適切な設定
  • ログの監視

また、VPNには暗号化を伴わない方式もあります。

そのため、VPNという名称だけで通信が暗号化されていると判断しないことが重要です。

38. セキュリティ技術の全体比較

技術 主な保護対象 主な役割
TLS 通信データ 暗号化・完全性保護・認証
ファイアウォール ネットワーク通信 通信の許可・拒否
フォワードプロキシ クライアントの外部通信 通信の中継・制御
リバースプロキシ サーバへの通信 中継・負荷分散・保護
WAF Webアプリケーション Web攻撃の検知・防御
IDS ネットワーク・ホスト 不審な活動の検知
IPS ネットワーク通信 不審な通信の遮断
EDR 端末 不審な活動の検知・対応
ハニーポット 観測用システム 攻撃者の行動分析
VPN ネットワーク間・端末間通信 論理的な専用通信経路の構築

39. 応用情報技術者試験の重要ポイント

用語 覚えるポイント
SSL TLSの前身。現在は使用非推奨
TLS 通信の暗号化・完全性保護・認証
TLSハンドシェイク 通信開始前に暗号方式や鍵などを確立
ClientHello クライアントが対応方式などを提示
ServerHello サーバが使用方式などを決定
TLSレコードプロトコル データの暗号化・完全性保護
サーバ認証 クライアントがサーバを確認
クライアント認証 サーバがクライアントを確認
mTLS 双方が証明書などで認証
ファイアウォール 通信の許可・拒否
パケットフィルタリング IPアドレスやポート番号などで制御
ステートフルインスペクション 通信状態を管理して制御
フォワードプロキシ クライアント側の代理
リバースプロキシ サーバ側の代理
WAF Webアプリケーションへの攻撃対策
IDS 侵入検知
IPS 侵入防止
EDR 端末の検知・調査・対応
ハニーポット 攻撃者の行動を観測
VPN 仮想プライベートネットワーク
IPsec IP層で通信を保護
AH 認証・完全性保護
ESP 暗号化・完全性保護など
IKE 鍵やセキュリティアソシエーションの確立

40. 練習問題

問題1：TLS

TLSの主な目的として、最も適切なものはどれでしょうか。

A. IPアドレスを自動割り当てする
B. 通信の機密性や完全性を保護する
C. データを圧縮する
D. ネットワーク経路を決定する

解答

正解：B

TLSは、通信の機密性・完全性の保護や認証に利用されます。

問題2：TLSハンドシェイク

TLSハンドシェイクの主な目的はどれでしょうか。

A. Webページを表示する
B. 暗号方式や通信鍵などを確立する
C. IPアドレスを変換する
D. DNSレコードを更新する

解答

正解：B

TLSハンドシェイクでは、安全な通信に必要な情報を交換します。

問題3：サーバ認証

HTTPSにおけるサーバ認証の説明として、最も適切なものはどれでしょうか。

A. サーバが利用者のパスワードを確認する
B. クライアントが接続先サーバの正当性を確認する
C. サーバがIPアドレスを割り当てる
D. クライアントが通信経路を選択する

解答

正解：B

サーバ認証では、クライアントが接続先サーバの正当性を確認します。

問題4：ファイアウォール

パケットフィルタリングで主に利用する情報はどれでしょうか。

A. IPアドレスやポート番号
B. ファイルの作成日時のみ
C. データベースのテーブル名
D. 画面の解像度

解答

正解：A

パケットフィルタリングでは、IPアドレスやポート番号などを利用します。

問題5：プロキシサーバ

社内PCの代わりに外部Webサーバへアクセスする仕組みはどれでしょうか。

A. リバースプロキシ
B. フォワードプロキシ
C. IDS
D. EDR

解答

正解：B

フォワードプロキシは、クライアント側の代理として動作します。

問題6：WAF

SQLインジェクションなどのWebアプリケーション攻撃への対策として適切なものはどれでしょうか。

A. WAF
B. DHCP
C. DNS
D. ARP

解答

正解：A

WAFは、Webアプリケーションへの攻撃を検知・防御するための仕組みです。

問題7：IDSとIPS

不審な通信を検知し、必要に応じて遮断する仕組みはどれでしょうか。

A. IDS
B. IPS
C. DNS
D. NTP

解答

正解：B

IPSは、不審な通信の検知と遮断を行います。

問題8：EDR

EDRの主な役割はどれでしょうか。

A. IPアドレスの自動設定
B. 端末上の不審な活動の検知・調査・対応
C. Webページのキャッシュ
D. ドメイン名の名前解決

解答

正解：B

EDRは、端末のセキュリティ監視とインシデント対応を支援します。

問題9：ハニーポット

ハニーポットの主な目的はどれでしょうか。

A. 通信速度を向上させる
B. 攻撃者の行動を観測・分析する
C. IPアドレスを変換する
D. データを圧縮する

解答

正解：B

ハニーポットは、攻撃手法や攻撃者の行動を調査するために利用されます。

問題10：IPsec

IPsecにおいて、暗号化や完全性保護などを提供する仕組みはどれでしょうか。

A. AH
B. ESP
C. DHCP
D. DNS

解答

正解：B

ESPは、暗号化や完全性保護などを提供します。

まとめ

今回は、TLSとネットワークセキュリティ技術について学びました。

特に重要なのは、次のポイントです。

  1. TLS：通信の機密性・完全性を保護し、通信相手を認証する
  2. TLSハンドシェイク：安全な通信に必要な鍵などを確立する
  3. ファイアウォール：通信を許可・拒否する
  4. フォワードプロキシ：クライアント側の代理として通信する
  5. リバースプロキシ：サーバ側の代理として通信する
  6. WAF：Webアプリケーションへの攻撃を防ぐ
  7. IDS：不審な活動を検知する
  8. IPS：不審な通信を検知・遮断する
  9. EDR：端末上の不審な活動を検知・調査・対応する
  10. ハニーポット：攻撃者の行動を観測する
  11. VPN：離れたネットワークや端末を論理的につなぐ

🍯 はちみつメモ

情報セキュリティ実装技術は「はちみつ屋さんを守る、さまざまな警備の仕組み」！

TLS

→ お客様とのやり取りを、第三者に読まれないようにする秘密の通信路。

ファイアウォール

→ 店舗の入口で、通してよい人を確認する門番。

フォワードプロキシ

→ 従業員の代わりに外へ買い物に行く担当者。

リバースプロキシ

→ お客様からの注文を受け付け、担当者へ振り分ける受付係。

WAF

→ 不正な注文内容や怪しい要求をチェックする専門の警備員。

IDS

→ 不審者を見つけて警報を鳴らす監視員。

IPS

→ 不審者を見つけ、侵入を防ぐ警備員。

EDR

→ 店舗内の機器の異常を監視し、問題が起きたときに調査・対応する担当者。

ハニーポット

→ 不審者の行動を調べるための偽物の倉庫。

VPN

→ 本店と支店をつなぐ、専用通路のような仕組み。

応用情報技術者試験では、**「TLSの通信手順」「ファイアウォールとWAF」「IDSとIPS」「フォワードとリバースプロキシ」「IPsecのAHとESP」**の違いを重点的に覚えておこう！