- 追加された行はこの色です。
- 削除された行はこの色です。
#author("2019-11-09T13:05:24+09:00","","")
#author("2019-11-15T09:46:08+09:00","","")
#norelated
*IPA セキュリティ検討プロジェクトチームとは [#r200f72f]
セキュリティ検討プロジェクトチームは[[IPA社会基盤センター モデル取引・契約書見直し検討部会:https://www.ipa.go.jp/ikc/about/committee-01.html]] WG1:民法改正対応モデル契約見直し検討WG の配下に設置されています。~
このプロジェクトチームは、次の成果を得て、WG1と部会に新たなセキュリティ検討のための指針を提示することが目的です。
-IT取引におけるユーザーとベンダーがセキュリティ仕様を策定するためにあるべきプロセス
-具体的なセキュリティ仕様を検討するためのたたき台
-クラウドやサプライチェーンでのセキュリティの在り方
-これらを包含したIT取引のためのセキュリティガイドライン
*ISAC専用セキュリティガイドライン [#r2c3d759]
*IPAセキュリティプロジェクトチーム [#pc034fc2]
**設定対策 [#k6f43eef]
ガイドラインは最終的に2種類となります。
-[[IPA一般公開用]]~
IPA一般公開用は、[[MITRE]] ATT&CK[[(リンク）]]の緩和策とSTIGの監査関連設定をガイドラインとします。
-[[''ISAC共有用''>設定対策]]~
ISAC共有用は、IPA一般公開用に加えて、STIGの監査関連以外の設定をガイドラインとします。これは、STIGの検証がすべて完了していないことに加え、既存のアプリケーションの動作停止や、不具合発生を抑えるためです。そのためにISACで成功情報やデグレ情報を共有し、検証を得て、一般公開用に追記をしていきます。
-[[IPAセキュリティPT評価版]]~
**設定対策の重みづけ [#jcba7180]
このセキュリティガイドラインは、LAC社の[[緊急対応サービス「サイバー119」:https://www.lac.co.jp/service/consulting/cyber119.html]] で検出された実際に発生した脅威情報と、同社のペネトレーションテスターの方々の攻撃のしやすさを、それぞれ3段階に評価し、それぞれが3（高評価）であったものを、対策すべき重要脅威としています。~
これによって、低コストで実践的な防御対策を講じることができ、攻撃ベクトルの中での効果的な封じ込めが実現可能となります。
ただし、未知の攻撃や隠れた脆弱性に対しては、当然、手当てができません。必要とされる監査（ログ）設定や、アンチウイルス、侵入検知などは重要です。
*参照ガイドライン [#h6966d32]
**MITRE ATT@CK [#ufabcd94]
[[MITRE:https://www.mitre.org/]]は[[NIST（米国国立標準技術研究所）:https://www.nist.gov/]]の委託を受け、[[CVE:https://www.ipa.go.jp/security/vuln/CVE.html]]の採番を行っているNPOです。世界中の脆弱性情報を管理しており、この脆弱性情報をもとに戦術とテクニックをマトリクスにしたのが[[ATT@CK:https://attack.mitre.org/]]で、あらゆる脅威と実績、緩和策などが分析されています。
**DoD Security Technical Implementation Guides (STIGs) [#w6edda15]
STIGは米国国防総省国防情報システム局がベンダーと策定したセキュリティ技術の実装ガイドで、~
個別製品のセキュリティ設定やコンプライアンスを記述したもので、Zipファイルで提供されています。~
**STIGに関する詳しい情報 [#ae4f6949]
[[STIGカテゴリー]] STIGの脆弱性カテゴリーの解説
[[国防総省STIGsドキュメントライブラリ:https://public.cyber.mil/stigs/downloads/]]から各製品のSTIGが入手可能です。~
以下に、一部分のリンクがあります。
***Windows [#teac03c9]
[[Active DirectoryドメインSTIG-バージョン2、リリース12:https://dl.dod.cyber.mil/wp-content/uploads/stigs/zip/U_Active_Directory_Domain_V2R12_STIG.zip]]~
[[Microsoft Windows 10 STIG-バージョン1、リリース18:https://dl.dod.cyber.mil/wp-content/uploads/stigs/zip/U_MS_Windows_10_V1R18_STIG.zip]]~
[[Microsoft Windows Server 2016 STIG-バージョン1、リリース9:https://dl.dod.cyber.mil/wp-content/uploads/stigs/zip/U_MS_Windows_Server_2016_V1R9_STIG.zip]]~
***LINUX [#m36b6bfb]
[[Red Hat Enterprise Linux 7 STIG-バージョン2、リリース4:https://dl.dod.cyber.mil/wp-content/uploads/stigs/zip/U_Red_Hat_Enterprise_Linux_7_V2R4_STIG.zip]]~
[[SUSE Enterprise Linux 12 STIG-Ver 1、Rel 2:https://dl.dod.cyber.mil/wp-content/uploads/stigs/zip/U_SLES_12_V1R2_STIG.zip]]
***ミドルウェア [#c0285ca0]
[[Adobe ColdFusion 11 STIG-Ver 1、Rel 4:https://dl.dod.cyber.mil/wp-content/uploads/stigs/zip/U_Adobe_ColdFusion_11_V1R4_STIG.zip]]~
[[Apache Server 2.4 UNIX STIG:https://dl.dod.cyber.mil/wp-content/uploads/stigs/zip/U_Apache_Server_2-4_UNIX_STIG.zip]]~
[[Microsoft Exchange 2016 STIG Ver 1リリースメモ:https://dl.dod.cyber.mil/wp-content/uploads/stigs/pdf/U_MS_Exchange_2016_STIG_Ver1_memo_signed.pdf]]~
[[Oracle WebLogic Server 12c STIG-Ver 1、Rel 6:https://dl.dod.cyber.mil/wp-content/uploads/stigs/zip/U_Oracle_WebLogic_Server_12c_V1R6_STIG.zip]]
