[情報SEC]第24回 Trusted OS

第24回　Trusted OS

なぜかここだけ英語だ。
他と同じくカタカナにすればいいのに。
ちなみにこれは「とらすてっど　おーえす」と読みます。

直訳すると「信頼されたOS」となる。(過去分詞だな。)
これは米国国防総省が定めたセキュリティ評価基準のTCSECの...
どうでもいいか。(めんどくさくなった。)

要するに、とある基準がABCDとあり、そのうちのB以上の基準をクリアしたものを指す。
ちなみDは人間ががんばる。という一番お手軽かつ一番安直なパターン。
確かWindowsも(設定次第で)この基準クリアすることもできたと思うけど...正確なところは不明。

売り物だけど、Trusted OSの説明はこのページの方が分かりやすいので、見といてください。
簡単に言うと、管理を分散して、一番えらいユーザ(root,Administrator)の権限を制約するもの。
ただ、これやるとOSがお手軽でなくなるので、必要ないところにまでやると管理がめんどーです。

[情報SEC]第23回 アクセスコントロール

第23回　アクセスコントロール

アクセスコントロールとは、その名の通りアクセスを制御することだ。
つまり、思い通りにする。思い通りの方法以外ではアクセスできなくする。
というもの。

その範囲も広く、物理的なもの、論理的なもの、いろいろある。
この本(翔泳社)では次の四つに分けている。

１．物理環境におけるアクセスコントロール
　　物理環境は、情報のある場所(部屋)に認証なしでは入れなくするもの。
　　認証と言えば指紋認証やカード認証を思い浮かべるが、昔ながらの
　　守衛さんもアクセスコントロールの一つ。

２．ネットワーク環境におけるアクセスコントロール
　　いわゆるファイアウォールはこれにあたる。
　　専用機でなくても、スイッチやルータなどでも制御可能。(な部分もある。)
　　たぶんあとで詳しく出てくると思います。

３．ホストやアプリケーションシステムに対するアクセスコントロール
　　ユーザID、パスワードなどの認証を用いてアクセスを制御する。
　　さっきも書いたけど、指紋認証やカード認証を使うものもある。
　　あまりにふつーなので(Webでよくやってるはず)書くことないです。

４．システムリソースに対するアクセスコントロール
　　この間書いたけどOS側でユーザやグループによってアクセスできる
　　ファイルやディレクトリを制限するもの。

これらもてきとーにやっていてはセキュリティレベルにばらつきが出て、
一番弱いところをやられるので、一定の基準が必要。
基準というか規定か。文書だな。ぼくはきらいですが。

簡単に書いとくと(きらいなので)、
１．方針の明確化
　　どのレベルまで守るのか。
　　例によって、コスト/パフォーマンスで決める。

２．実装方法の明確化
　　てきとーにやるのではなく、どのようにやるかきちんと文書で決める。
　　もちろん、運用ルールもここできめる。

３．実装
　　実装する。
　　あと、テストもここでやる。

４．適切性評価
　　運用が始まったあと、きちんと規定通り動作しているか検査する。

５．見直し
　　適切性評価を元に、必要なら設定などを見直す。
　　重要なのは、その見直しをきちんと文書に残すこと。
　　めんどくさいけど、残すこと。

キミが選んだ大学へ

こんばんは。
水神です。
内の温もりと外の冷嵐。

ずっと部屋にいると、人間がダメになる気がする。
そんなことに気づいた、春のひととき。
しかしさむー。

みなさんは明日は休みなんでしょうか。(いわゆる有給)
水神はふつーに仕事です。
明日は会社は静かそうですが。

進研ゼミのCMが流れてた。(for 鉄腕ダッシュ)
キミが選んだ大学へ。だそうだ。
...大学ではなくて、学部だと思うのだが。

何を勉強したいか。ではないのか？
その前に何になりたいか。だけど。
まあ、当時の自分を振り返っても、そんなこと言われても理解不能なのも分かる。

とりあえず、大学は行っておけば、その後の進路は三年後に決めればいいや。
そして、三年経っても、見つからず。
自分探しの旅が始まる。

...遅いって。そんなん、高校生の内にやっとき。
言っても無駄だろうけど、言っとく。
そんなん高校生の内にやっとき。勉強は大学入ってからでいいから。