セクション: アクセス制御
説明/参照:
Kerberos は、MIT の Project Athena のもとで開発された、信頼できるサードパーティ認証プロトコルです。
Kerberos はネットワーク認証プロトコルです。これは、秘密キー暗号化を使用してクライアント/サーバー アプリケーションに強力な認証を提供するように設計されています。このプロトコルの無料実装は、マサチューセッツ工科大学から入手できます。Kerberos は多くの商用製品でも利用できます。
インターネットは安全ではない場所です。インターネットで使用されるプロトコルの多くは、セキュリティを提供しません。ネットワークからパスワードを「盗聴」するツールは、システム クラッカーによって一般的に使用されています。したがって、暗号化されていないパスワードをネットワーク経由で送信するアプリケーションは非常に脆弱になります。さらに悪いことに、他のクライアント/サーバー アプリケーションは、クライアント プログラムを使用しているユーザーの身元について「正直」であることに依存しています。他のアプリケーションはクライアントに依存して、そのアクティビティを許可されているアクティビティに制限し、サーバーによる他の強制は行われません。
一部のサイトでは、ネットワーク セキュリティの問題を解決するためにファイアウォールを使用しようとしています。残念ながら、ファイアウォールは「悪者」が外部にいると想定していますが、これは多くの場合非常に悪い想定です。実際に被害をもたらすコンピュータ犯罪のほとんどは、内部関係者によって実行されます。ファイアウォールには、ユーザーのインターネットの使用方法が制限されるという重大な欠点もあります。(結局のところ、ファイアウォールは、ネットワークに接続されておらず、電源がオフになっているコンピューターほど安全なものはないという格言の極端ではない例にすぎません。) 多くの場所で、これらの制限は単に非現実的であり、受け入れられません。
Kerberos は、これらのネットワーク セキュリティ問題の解決策として MIT によって作成されました。Kerberos プロトコルは強力な暗号化を使用するため、安全でないネットワーク接続を介してクライアントがサーバーに対して自分の ID を証明できます (逆も同様)。クライアントとサーバーは、Kerberos を使用して身元を証明した後、すべての通信を暗号化して、業務を遂行する際のプライバシーとデータの整合性を確保することもできます。
Kerberos は、BSD オペレーティングおよび X11 ウィンドウ システムで使用されているものと非常によく似た著作権許可通知に基づいて、MIT から無料で入手できます。MIT は Kerberos をソース形式で提供しているため、Kerberos を使用したい人は誰でも自分でコードを調べて、そのコードが信頼できるものであることを確認できます。さらに、専門家がサポートする製品を信頼したい人のために、Kerberos はさまざまなベンダーから製品として入手できます。
要約すると、Kerberos はネットワーク セキュリティの問題に対する解決策です。ネットワーク上で認証と強力な暗号化のツールを提供し、企業全体で情報システムを保護するのに役立ちます。Kerberos が私たちにとってこれまでと同様に便利であると感じていただければ幸いです。MIT では、Kerberos は情報/テクノロジー アーキテクチャにとって非常に貴重な存在です。
KryptoKnight は、IBM の NetSP 製品に組み込まれたピアツーピア認証プロトコルです。
SESAME は認証およびアクセス制御プロトコルであり、通信の機密性と整合性もサポートします。対称キー暗号化を使用する Kerberos スタイルの認証とともに、公開キー ベースの認証を提供します。Sesame は Kerberos プロトコルをサポートし、公開キーベースの認証や ECMA スタイルの特権属性サービスなどのセキュリティ拡張機能を追加します。完全な Sesame プロトコルは 2 段階のプロセスです。最初のステップでは、クライアントは認証サーバーに対して自身の認証に成功し、特権属性サーバーに提示できるチケットを取得します。2 番目のステップでは、開始者は自分のアクセス権の証明を特権属性証明書 (PAC) の形式で取得します。
PAC は、ECMA-219 文書で定義されている特定の形式のアクセス コントロール証明書です。このドキュメントでは、Sesame で採用されている公開キーベースの認証のための Kerberos の拡張機能について説明します。
SESAME、KryptoKnight、NetSP は普及せず、これらのプロトコルは現在では一般的に使用されていません。
参考文献:
http://www.cmf.nrl.navy.mil/CCS/people/kenh/kerberos-faq.html#whatis
そして
出典: KRUTZ、Ronald L. & VINES、Russel D.、『CISSP Prep Guide: Mastering the Ten Domains of Computer Security』、2001 年、John Wiley & Sons、40 ページ。

予防/技術制御は論理制御とも呼ばれ、オペレーティング システムに組み込むことも、ソフトウェア アプリケーションにすることも、補助的なハードウェア/ソフトウェア ユニットにすることもできます。出典: KRUTZ、Ronald L. & VINES、Russel D.、『CISSP Prep Guide: Mastering the Ten Domains of Computer Security』、2001 年、John Wiley & Sons、34 ページ。

識別と認証は、ほとんどのアクセス制御システムの要です。識別により、システム上のアクションに対するユーザーの責任が確立されます。
制御環境を確立して、システム上の識別、認証、認可、特権の使用に関するアクティビティをログに記録できます。これは、エラーの発生、不正なアクションの実行の試みを検出したり、提供された資格情報がいつ実行されたかを検証したりするために使用できます。探偵デバイスとしてのロギング システムは、許可されたユーザーによって実行されたアクション (成功と失敗の両方) とタスクの証拠を提供します。
ユーザー ID または同様の値によって個人が識別されると、その個人は認証される必要があります。つまり、本人であることを証明する必要があります。認証には、人が知っていること、人が持っていること、人そのものという 3 つの一般的な要素を使用できます。これらは、一般に、知識による認証、所有権による認証、特性による認証とも呼ばれます。
ユーザーがリソースにアクセスできるようにするには、まず自分が本人であること、必要な資格情報を持っていること、要求しているアクションを実行するために必要な権利または特権が与えられていることを証明する必要があります。これらの手順が正常に完了すると、ユーザーはネットワーク リソースにアクセスして使用できるようになります。ただし、ユーザーのアクティビティを追跡し、ユーザーの行動に対する責任を強制する必要があります。
識別は、サブジェクト (ユーザー、プログラム、またはプロセス) が主張するエンティティであることを確認する方法を説明します。ユーザー名またはアカウント番号を使用して識別を行うことができます。適切に認証されるために、サブジェクトは通常、資格情報セットに 2 番目の部分を提供する必要があります。この部分は、パスワード、パスフレーズ、暗号キー、個人識別番号 (PIN)、解剖学的属性、またはトークンである可能性があります。
これら 2 つの資格情報アイテムは、このサブジェクトに関して以前に保存された情報と比較されます。これらの資格情報が保存されている情報と一致する場合、サブジェクトは認証されます。しかし、まだ終わっていません。サブジェクトが資格情報を提供し、適切に識別されると、アクセスしようとしているシステムは、要求されたアクションを実行するために必要な権利と特権がこのサブジェクトに与えられているかどうかを判断する必要があります。システムは、ある種のアクセス制御マトリックスを調べるか、セキュリティ ラベルを比較して、このサブジェクトが実際に要求されたリソースにアクセスし、試行しているアクションを実行できるかどうかを確認します。サブジェクトがリソースにアクセスできるとシステムが判断した場合、システムはサブジェクトを許可します。
識別、認証、認可、説明責任には密接で補完的な定義がありますが、それぞれにはアクセス制御のプロセスで特定の要件を満たす異なる機能があります。ユーザーはネットワークに対して適切に識別および認証されている場合がありますが、ファイル サーバー上のファイルにアクセスする権限を持っていない可能性があります。一方、ユーザーはファイル サーバー上のファイルへのアクセスを許可されている場合がありますが、ユーザーが適切に識別および認証されるまで、それらのリソースにはアクセスできません。
この質問に使用された参考文献:
シュナイター、アンドリュー (2013-04-15)。CISSP CBK の公式 (ISC)2 ガイド、第 3 版: アクセス制御 ((ISC)2 Press) (Kindle の場所 889-892)。アウアーバッハ出版物。キンドル版。とハリス、ション (2012-10-25)。CISSP オールインワン試験ガイド、第 6 版 (Kindle の場所 3875-3878)。マグロウヒル。キンドル版。とハリス、ション (2012-10-25)。CISSP オールインワン試験ガイド、第 6 版 (Kindle の場所 3833-3848)。マグロウヒル。キンドル版。出典: KRUTZ、Ronald L. & VINES、Russel D.、『CISSP Prep Guide: Mastering the Ten Domains of Computer Security』、2001 年、John Wiley & Sons、36 ページ。

説明/参照:
テープ アレイは、RAID テクノロジに基づく大規模なハードウェア/ソフトウェア バックアップ システムです。
RAID はディスクでのみ使用できるという誤解があります。
HP、EMC、Compaq に至るすべての大手ストレージ ベンダーは、自社が提供する RAID テクノロジに基づいたテープ アレイを備えています。
これは、手頃な価格で非常に一般的なタイプのストレージです。
したがって、RAID は DISKS 専用ではありません。多くの場合、これはテープ ライブラリまたは単に RAIT と呼ばれます。
RAIT (独立テープの冗長アレイ) は RAID に似ていますが、ディスク ドライブの代わりにテープ ドライブを使用します。
テープ ストレージは、非常に大量のデータを扱うための最も低コストのオプションですが、ディスク ストレージと比較すると非常に低速です。RAID 1 ストライピングと同様に、RAIT では、冗長パリティ ドライブの有無にかかわらず、データが複数のテープ ドライブに並行してストライピングされます。これにより、通常よりも高いテープ データ転送速度とオプションのデータ整合性を備えた、テープ ストレージに典型的な低コストでの大容量が提供されます。
参考文献:
KRUTZ、Ronald L. & VINES、Russel D.、『CISSP Prep Guide: Mastering the Ten Domains of Computer Security』、2001 年、John Wiley & Sons、70 ページ。
そして
ハリス、ション (2012-10-18)。CISSP オールインワン試験ガイド、第 6 版 (p. 1271)。マグロウヒル。キンドル版。