ガード（情報セキュリティ）

情報セキュリティにおいて、ガードとは、設定された制約の下で、本来は別々のネットワーク上にあるコンピュータ間の通信を可能にするデバイスまたはシステムです。多くの点でガードはファイアウォールに似ており、ゲートウェイと同様の機能を持つ場合があります。

ファイアウォールは特定のサービスへのトラフィックを制限するように設計されていますが、ガードはネットワーク通信がビジネスレベルでサポートしている情報交換を制御することを目的としています。さらに、ファイアウォールとは異なり、ガードは攻撃や障害発生時においても、この制御が効果的に機能することを保証します。

ガードは通常、保護されたネットワークと外部ネットワークの間に配置され、保護されたネットワークが外部ネットワークによってもたらされる脅威や外部ネットワークへの機密情報の漏洩から安全であることを確認します。

ガードは通常デュアルホームですが、2つ以上のネットワークに接続でき、完全なアプリケーション層プロキシとして機能し、各インターフェースで個別の通信を行います。ガードは、プロトコルによって伝送されるビジネス情報のみを、必要な保護を提供する設定済みのチェックに合格した場合にのみ、あるネットワークから別のネットワークに渡します。

歴史

ガードの開発は1970年代後半に始まり、複数の「セキュア通信プロセッサ」と「ガード」アプリケーションが開発されました。セキュア通信プロセッサは、パケットネットワーク暗号化デバイスによる制御された平文バイパスをサポートするために開発された、信頼性の高いオペレーティングシステムとセキュリティカーネルでした。ガードアプリケーションは、機密システムからエクスポートされるデータをサニタイズし、機密情報を除去するように設計されました。

ハネウェル社のセキュア通信プロセッサ（SCOMP）[1]は初期のセキュリティ対策プラットフォームであり、国防総省コンピュータセキュリティセンターのオレンジブック評価基準（レベルA1）に基づいて評価されました。

RSREセキュアユーザー環境（SUE）はPDP-11/34上で動作しました。これは、英国マルバーンにある王立信号レーダー研究所（RSRE）のT4部門によって設計・構築された、非常にシンプルな分離カーネルでした。[2] [3]

高度なコマンドおよび制御アーキテクチャテストベッド（ACCAT）ガードは、機密システムから人間によるレビュー段階を経て電子メールをエクスポートするために開発されました。[4]

その後のガードの開発では、機密システムからエクスポートされた情報が自動的に「ダウングレード」されるという問題に対処しました。セキュアネットワークサーバー（SNS）メールガード（SMG）は、送信元/宛先アドレスのホワイトリスト、セキュリティラベルのチェック、添付ファイルタイプのフィルタリング、デジタル署名を適用することで、機密情報の漏洩を防止しました[5]。

ファイアウォールは後発の開発であり、1987年頃に登場しました。[6]時が経つにつれ、ファイアウォールの機能は拡張され、ガードと同等の機能を提供するようになりました。残る主な違いは、ガードはネットワークとそれ自体を効果的に保護することを保証するように構築されていることです。

SWIPSYファイアウォールツールキットは、防衛評価研究局（DEAR）によって、汎用的なGuardプラットフォームとして機能するように開発されました。SWIPSYはTrusted Solaris 8上に構築されました。

機能性

ガードは当初、機密システムからの情報流出を制御し、保護対象システムで取り扱われる機密情報の機密性を保護するために設計されました。その後、ガードの適用範囲はデータのインポート制御にも拡大され、保護対象ネットワークにおける情報の完全性とサービスの可用性を保護するようになりました。

ガードは一般に次の機能を提供します。

  • 送信元アドレスと宛先アドレスの認証
  • 送信元アドレスと宛先アドレスのホワイトリスト
  • 送信元と送信先のクリアランスに対するセキュリティラベルのチェック
  • データ形式のホワイトリスト
  • データ形式の一貫性と妥当性チェック
  • 既知のマルウェアのデータをスキャンする
  • デジタル署名の検証
  • 暗号化されたコンテンツの検査
  • フレーズのブラックリストとテキストを照合する
  • 冗長データの削除
  • セキュリティ関連イベントを記録するログの生成
  • 自己テストメカニズム

保証

ガードは、 DMZネットワーク内に配置されたアプリケーションプロキシとして機能する要塞ホストと機能的に同等です。このプロキシは、交換されるデータに対して必要な制御を課し、外部の脅威や内部からの漏洩から保護します。しかし、両者は構成方法によって区別できます。DMZネットワークは、外側のパケットフィルタリングファイアウォールを利用して、要塞ホストへのトラフィックをルーティングします。ファイアウォールが正しく機能しないと、トラフィックが要塞ホストを通過せずにDMZを通過してしまう可能性があり、プロキシによるチェックがバイパスされます。また、要塞ホストのネットワークスタックが正しく動作しないと、トラフィックがプロキシを通過せずにDMZを通過する可能性があります。

ガードは、正しく機能するために必要なソフトウェアが最小限に抑えられ、第三者への検証に必要な作業も最小限に抑えられるように構築されます。つまり、ガードは適切なチェックが適用されていることを保証するように設計されているのです。[7]

ガードは、信頼できるオペレーティングシステムを使用することで、セキュリティ上重要なチェッカーコンポーネントと、それほど重要でないプロトコル処理コンポーネントを分離することができます。これにより、プロトコル処理コンポーネントの障害によってデータがチェッカーをバイパスすることがなくなります。[8]例えば、Nexorガード[9]ではSecurity-Enhanced Linuxが使用され、Radiant MercuryとISSEガード[10] 、そしてDeep-SecureではTrusted Extensionsを備えたSolaris 10が使用されています。LOCKオペレーティングシステム[11]用に開発された型強制制御は、 Sidewinder [12]で使用されました。

警備員は、重要なコンポーネントがバイパスされないように、物理的に分離されたコンピュータを使用することもできます。[13]

製品

政府既製品:

市販の既製品:

参照

参考文献

  1. ^ スティーブン・パディラとテリー・ベンゼル、SCOMP最終評価報告書、CSC-EPL-85/001、1985
  2. ^ John Rushby (1981). 「セキュアシステムの設計と検証」(PDF) . ACMオペレーティングシステムレビュー. 15 (5). SRI国際コンピュータサイエンス研究所: 12–21 . doi :10.1145/1067627.806586.
  3. ^ DH Barnes、「セキュア通信プロセッサの研究」、第7回DoDNBSコンピュータセキュリティイニシアチブ会議議事録、1984年
  4. ^ Woodward, John PL (1979). 「マルチレベルセキュアオペレーティングシステムへの応用」. 1979 International Workshop on Management Requirements Knowledge (MARK) . pp.  319– 328. doi :10.1109/MARK.1979.8817315. ISBN 978-1-5090-3181-8。
  5. ^ RESmith 高信頼性メールガードの構築 Archived 2012-06-17 at the Wayback Machine 1984
  6. ^ Ingham, K. および Forrest SA 著「ネットワークファイアウォールの歴史と調査」
  7. ^ Charles Maney データが情報ドメインを通過する際のセキュリティ問題: ガードは問題を効果的に解決するか?
  8. ^ リック・スミス「マルチレベルセキュリティの課題」、Blackhat、2003年10月
  9. ^ 「Nexor Sentinel 3E フィルタリングシステム コモンクライテリア セキュリティターゲット」
  10. ^ Cheryl Gerber Dot-Connecting Across Domains Archived 2016-01-31 at the Wayback Machine、Military Information Technology Vol 14 Issue 1Feb 2010
  11. ^ リチャード・スミス [1] 2009年1月6日アーカイブWayback Machine インターネットサーバーソフトウェアの強制保護
  12. ^ Saydjari, Sami (1989年5月). 「LOCK Trek: 未知の空間を航行する」. Procs. IEEE Symp Security and Privacy .
  13. ^ NAP.eduの「Computers at Risk: Safe Computing in the Information Age」1991年版を参照。doi : 10.17226 /1581。ISBN 978-0-309-04388-5。
  14. ^ 「輝く水星」（PDF） .
  15. ^ 「イメージサポートサーバー環境（ISSE）ガード」。
  16. ^ 「ロックウェル・コリンズ・ハイ・アシュアランス・ガード」.
  17. ^ “Mail Guard”. 2012年7月21日時点のオリジナルよりアーカイブ。2012年8月6日閲覧。
  18. ^ 「クロスドメインソリューション」。
  19. ^ 「メトロガード」.
  20. ^ 「SDoT セキュリティ ゲートウェイ」。
  21. ^ Focke, Michel. 「SAGE標準自動ガード環境技術概要」CiteSeerX 10.1.1.133.4225 .  {{cite web}}:欠落または空|url=(ヘルプ)
  22. ^ 「セキュアなクロスドメインソリューション：SyBard」。2012年5月28日時点のオリジナルよりアーカイブ。2012年7月23日閲覧。
Retrieved from "https://en.wikipedia.org/w/index.php?title=Guard_(information_security)&oldid=1292086143"