[plamo:18517] Re: セキュリティ

[KATOH Yasufumi]

加藤泰文です．

この辺りはいつも議論になる話で難しい所ですね．

>>> On Tue, 22 Apr 2003 23:25:13 +0900
    in message   "[plamo:18505] Re: セキュリティ"
                  KAMOSAWA, Masao-san wrote:

> > 勉強し理解できるまで、常時接続は止めましょう。
> こんなこと言ってたらいつまで経っても理解出来ないでしょ。

この「勉強し理解」のレヴェルによると思うんですよね．ある所まで「理解」
が深まったら，あとは実地で勉強というのが一番早道ですけど，そのレヴェル
まで達しないのにいきなり実地でやりだすと何をやって良いかわからないし，
何かやっても「たまたま動いた」というレヴェルでしかなくて，勉強にすらな
らない．

> とりあえず
> ・TCP/IP におけるポートの概念
> ・フィルタリング
> あたりがわかれば、自分の責任とあきらかに言える穴は無くなるはず。

そういう意味では，上記のレヴェルに達するまで「勉強して」，その結果「理
解」できたら繋いだらいいんじゃない，と言えるわけですよね．

サーバの設定という観点からすると，例えば
  - 基本的なサーバの操作ができる
    →質問をして「〇×のサービスは動いていますか? 」「どうやって確認し
      たら良いかわかりません」では困りますね．
  - 自分のやった設定はどういう意味を持つのか? をきちんと理解する
    →よくウェブで検索してその設定をそのまま写したレヴェルで質問してく
      る人がいますよね? (ひどいのになると仕事でやっているにもかかわら
      ず!!) 「このサイトの設定をそのまま書いたんですが動きません」問題
      外です．
  - セキュリティの基本的な対策を言われて理解出来る
    →例えば「必要なサービスだけ起動しましょう」と言われて「何が必要な
      んですか?」なんて質問をするようではダメですよね．先日紹介したIPA
      のセキュリティ対策の文書なんか参考になるでしょう．
  - 何かあったときに対策出来る
    →「即サービスを落としてください」「どうやったらサービスが落とせる
      のでしょう?」なんてのは問題外ですね (サーバを落とすという手もあ
      るので良いですが) 例えば攻撃を受けて，その報告を受けた場合に何を
      すべきでどうやれば良いか? が分かっていないとダメですね．
というレヴェルとか．ほかにもあると思います．

要は必要なサービスのみが起動して，必要な通信先のみと通信出来て，目的の
動作以外の動作を行わない設定ができるか，もしくはそうできない場合でも
「この設定だったら問題ないだろう」なんて判断がある程度 (*)出来れば良い
わけですよね．

(*)この判断って実はすごく難しいですから，これも徐々に勉強していくので
しょうけど，とりあえずサーバを動作させるのに最低限の判断ってありますよ
ね．うまく言えませんが．

-- 
==============================================
((((    加藤泰文
○-○                karma @ prog.club.ne.jp
==============================================
(Web Page) http://www.ae.wakwak.com/%7Ekarma/
==============================================
    中南米の音楽のページを更新 (April 20)