勉強日記

チラ裏

CCNA試験対策 下巻ch4: Security Architectures

CCNA ネットワーク 勉強メモ

https://www.ciscopress.com/store/ccna-200-301-official-cert-guide-volume-2-9781587147135www.ciscopress.com

Security Terminology

  • セキュリティの必要性
    • 閉じている系でさえ問題がおきる
      • 機密を盗んだり
    • 開いている系ではなおさら
      • ワイヤレスAP
      • 物理出社
      • インターネット接続
      • ビジネスパートナーのネットワーク接続
  • 言葉の定義
    • vulnerability
      • 例: ドア
        • たとえ鍵がかかっていても
    • exploit
      • 例: 鍵以外の、不正にドアを開ける道具 -- ピッキング道具など
        • 特定のvulnerability以外には有効でないことが多い
    • threat
    • mitigation techniques
      • 例: ドアを頑丈にする、侵入検知アラームをつけるなど

Common Security Threats

Attacks That Spoof Addresses

Denial-of-Service Attacks

  • SYN-flood attackが有名

Reflection and Amplification Attacks

  • 送信元アドレスを攻撃対象のものにspoofして間接的にパケットを送りつけるやつ
  • amplification attack
    • リフレクターでデータを増幅して攻撃対象に送りつけ、帯域を枯渇させる
    • DNS amp
      • exploit: DNSの「問い合わせよりも応答のほうが必ず大きい」という性質
    • NTP amp
      • exploit: monlistの、200バイト程度のリクエストに対して100倍以上のレスポンスパケットが返る性質

Man-in-the-Middle Attacks

  • トラフィックを盗聴・改ざんする
  • ARPのMITM
    • ARP応答をspoofingしてL2機器のARPテーブルを汚染し
  • DNSのMITM -- DNSキャッシュポイズニング
    • 権威サーバーからフルリゾルバーへのDNS応答をspoofingしてDNSキャッシュを汚染する

Reconnaissance Attacks

Buffer Overflow Attacks

  • 任意のコードが実行されたりしてこわいやつ

Malware

Trojan Horse Virus Worm
他のソフトウェアにこっそり同梱される yes no no
寄生する no yes no
増殖する no yes yes

Human Vulnerabilities

  • social engineering
  • phishing
    • 政府などの大物狙いはwhalingとも
  • pharming
    • 偽装サイトに誘導する点ではphishingと同じだが、やり口が異なる
    • よりdrasticなやり方
      • DNSキャッシュポイズニングや/etc/hostsの改変など
  • watering hole attack

Password Vulnerabilities

Password Alternatives

  • パスワードはSYK (Something You Know)
  • 多要素認証 -- SYH (Something You Have) や SYA (Something You Are)と組み合わせる
  • SYHの例
    • 短時間しか使えないトークン
    • 証明書
      • 期限がある
      • revokeできる
  • SYAの例

Controlling and Monitoring User Access

  • AAA
    • Authentication
      • 誰？
    • Authorization
      • 誰かはわかった。何を許可する？
    • Accounting
      • 何をした？
  • 小規模ならばネットワーク機器自体に認証機能がある
  • スケールするにはAAAサーバーを立てる
  • AAAクライアントロールのSwitchはNAD(Network Access Device)またはNAS(Network Access Server)とよばれる

Developing a Security Program to Educate Users

  • 盛り込むべき要素
    • user awareness
    • user training
    • physical access control
      • アクセスバッジはスケーラブルで、記録が残るので監査でも役立つ

英語

  • pester
    • 困らせる
  • eavesdrop
    • 盗聴する
  • unwitting accomplice
    • 無自覚の共犯者
      • リフレクターとして加害者になってしまう側を指している
  • reconnaissance
    • 偵察
  • disguised
    • 偽装された
  • watering hole