未知の攻撃から守る必須レベルの保護を実現する3つのセキュリティ技術とは？

未知の攻撃に対する多層防御の中核技術

未知の攻撃からシステムを守るには、単一の防御策だけでは不十分です。本記事では、必須レベルの保護を支える3つの中核技術――「ソフトウェアフォルトアイソレーション（SFI）」「プログラム分析による侵入検知」「きめ細かなアクセス制御」について解説します。

これらの技術に共通するのは、プログラムの正常な動作に依存しないという点です。むしろ、万一プログラムが侵入され改ざんされた場合に備えて、第二の防御層として機能します。攻撃が成立するには、アプリケーション本体と二次保護機構の両方が同時に突破される必要があります。脆弱性は継続的に修正されていくため、重複する複数の脆弱性が同時に存在し、かつ既知となる可能性は、単一の脆弱性が悪用される可能性よりもはるかに低いのです。

ソフトウェアフォルトアイソレーション（SFI）とは

Software Fault Isolation（SFI）は、言語に依存しない形で、動的にロードされる任意のプログラムに対し、Javaのようなサンドボックス環境を構築する手法です。その目的は、ホストプログラムが潜在的に危険なコードを、自身のアドレス空間内で安全に実行できるようにすることにあります。

SFIのアプローチは、大きく2つの要素で構成されます。第一に、信頼されていないモジュールを書き換え、サンドボックス外のメモリ領域へのアクセスを防ぎます。第二に、モジュールをメモリにロードする前にプログラムを検証します。この段階で、前工程の書き換えが正しく反映され、コードとしても論理的に妥当であることが確認されます。

プログラム分析による侵入検知

侵入検知システム（IDS）は、潜在的なセキュリティ脅威や違反行為を発見するうえで重要な役割を担います。主な機能は、コンピュータやネットワークシステムを継続的に監視し、不正侵入の兆候を検出することであり、多層防御（ディフェンス・イン・デプス）のセキュリティ思想において不可欠な要素とされています。

一般に、侵入検知システムは、データソース、検出手法、導入形態、配備ソフトウェア、異常の種類、防御構造などによって分類されます。ネットワーク異常検知システム（NADS）は異常ベースのIDSの一種で、機械学習（ML）や人工知能（AI）の技術をネットワークトラフィックに適用し、正常な通信と異常な通信を判別する方法を学習します。

きめ細かなアクセス制御（Fine-grained Access Control）

きめ細かなアクセス制御とは、リソースやデータといった重要資産へのアクセスを、複数の条件や個々のデータリソースごとの権限に基づいて許可または拒否できる仕組みです。

この制御により、組織は特定のユーザー、チーム、ロールが、データの列や行などどの範囲にアクセスできるかを精密に管理できます。粒度の高い制御によって、業務に必要なアクセス権を持つユーザーの作業を妨げることなく、機密性や重要度の高いデータを保護することが可能になります。ポリシーを自動化して定義し、適切に調整することで、組織はビジネス価値の創出へリソースを集中できるのです。