INSec/2015

Links †

• 前年度講義Log
• シラバス検索
• 講義用Googleグループサイト：情報セキュリティ(INSec-G)
  • グループメールアドレス(メーリングリスト)：insec-g@googlegroups.com
  • グループ内RWスプレッドシート：INSec-RW
  • グループ内Rスプレッドシート：INSec-R
  • リスクアセスメント(R)スプレッドシート：RiskAssessment
• JPCERT/CC：日本における情報セキュリティ対策活動組織
• IPA：情報処理推進機構(情報処理技術者試験)

講義アンケート †

講義Plan＆Log †

第1回(2015/04/15)：ガイダンス(情報システムの定義) †

1. 講義資料は Web & PDF & FreeMind で開示
2. 情報システムとは？
   • IT用語辞典
     • 　情報を適切に保存・管理・流通するための仕組み。通常、コンピュータとネットワーク、およびそれを制御するソフトウェア、その運用体制までを含んだものを指す。コンピュータを用いない「情報システム」は、言葉の意味として矛盾しているわけではないが、現代ではほとんどの場合、情報システムは「コンピュータシステム」と同義として用いられる。
   • Wikipedia
     • 　情報システムは、多様な要素がそれぞれに結びつくことで情報の活用を可能とする仕組みのことである。一般にはコンピュータによる情報処理によって、情報の高速な処理（変換・蓄積・共有など）が可能とされたもの（情報処理システム）を指すことが多い。
3. 情報に関する試験から
   • 情報処理技術者試験制度の概要：IPA>情報処理技術者試験>情報処理技術者試験制度>制度の概要
4. 情報システム管理 → ITサービス・マネージメント
5. 講義用Googleグループ：情報セキュリティ(INSec-G)へ必ず参加すること！
   • 必ずgmailのアカウントで！
   • Google利用規約：PDF
6. 講義資料
   1. 琉球大学ICT戦略：PDF
   2. 流行りのスパムメール：PDF
   3. 早急なアンチ・マルウェア対策：PDF & freemind
   4. 情報システム管理：PDF & freemind

第2回(2015/04/22)：インターネット社会の安全対策 †

1. グループ分け作業と課題
   • 1グループは、2名以上6名以内、12グループ以内とします。
   • 情報セキュリティ(INSec-G)グループに参加できていれば、INSec-RWを編集することができます。
   • PW(Personal Works)#0：INSec-RWの自分のユーザIDの行に、グループ名(英大文字)、Gmailアドレス、授業への要望等を書き込んでください。
2. 明快に表現する言葉の要素 … ITサービスを見極めるために！
   • 5W1H
     • What(なにを)？
     • Why(なぜ)？
     • When(いつ)？　…　Who(だれが)？　…　Where(どこで)？
     • How(どうやって)？
   • 6W5H
     • What　…　Why　…　When　…　Who　…　Where　…　Whom
     • How　…　How much　…　How many　…　How long　…　How in the future
3. 講義資料
   1. 講義の全体構成：PDF & freemind
   2. 2012・2013年版10大脅威：PDF & freemind
   3. 2012・2013・2014・2015年版10大脅威：freemind
      1. 「情報セキュリティ10大脅威 2015」
   4. インターネット社会の安全対策：freemind

休：昭和の日(2015/04/29) †

休：振替休日(2015/05/06) †

第3回(2015/05/13)：情報とシステムへの脅威とリスク †

1. 脅威：インシデント
   • システム又は組織に危害を与える事故の潜在的原因
     1. 物理インシデント
     2. セキュリティ・インシデント
     3. コンテンツ・インシデント
2. 脆弱性
   • 脅威によって影響を受ける内在する弱さ
3. リスク
   • ある脅威が脆弱性を利用して損害を与える可能性
   • リスクの受容！
4. Group Works #1
   • 身近なリスクについて各グループ毎にディスカッションし、リスク回避のための具体的な方策5項目以上を箇条書きにまとめ、「INSec-RW」のGW#1のシートに書き込みなさい。
5. 講義資料
   1. 情報とシステムへの脅威とリスク：PDF & freemind

Personal Works #0…7/28(Tue)まで †

• 脅威(インシデント)、情報、コンピュータ、ネットワーク、管理・開発・運用の5分野で、各分野1門計5問の4択問題を作成しなさい。
  1. 分野に各分野名、難易度はA・B・Cの三段階、問題の最後に「By ユーザID」、解説と解答１〜４を記述すること。
  2. 解説には解答番号を記述しないこと。解答はランダムに並べ替えられます。
  3. 作成したExcelファイル名にユーザIDを付け、e-larningシステム：WebClassの本講義コースで提出すること。
  4. 例：-サンプルExcelファイル

第4回(2015/05/20)：情報資産のリスク管理プロセス †

1. 2001年：危機管理 → リスクマネジメント
   • 1995年(平成7年)1月17日(火)：阪神・淡路大震災
     • Wikipedia：危機管理
   • 「Crisis（危機）」
     • 既に起きた事故や事件に対して、そこから受けるダメージをなるべく減らそうという発想からの体制
   • 「Risk（リスク）」
     • これから起きるかもしれない危険に対して、事前に対応しておこうという行動
2. リスクアセスメントとは
   1. JIS規格
   2. リスクアセスメント
   • リスクアセスメント(R)スプレッドシート：RiskAssessment
3. Personal Works #1…今日中！
   1. 各自リスクアセスメント表を作成しなさい。
   2. 作成したExcelファイル名にユーザIDを付け、e-larningシステム：WebClassの本講義コースで提出すること。

第5回(2015/05/27)：脅威(攻撃の対象・手法)〜システムへの攻撃〜 †

1. 対象システム
   1. ネットワーク
   2. OS & アプリケーション(サーバ系)
   3. ユーザアプリケーション
2. Group Works #2
   • システム管理者としての留意事項で重要を思われる点を各グループでディスカッションし、5項目以上を箇条書きにまとめなさい。「INSec-RW」のGW#2のシートに書き込むこと！
3. 講義資料
   1. 攻撃の対象と手法〜システムへの攻撃〜　〜マルウェアによる攻撃 & 人や組織への攻撃〜
      • PDF1/2 & PDF2/2 & freemind

第6回(2015/06/03)：脅威(攻撃の対象・手法)〜マルウェアによる攻撃 & 人や組織への攻撃〜 †

1. マルウェア(Malware)
   • 悪意のあるソフトウェア、悪質なコード
   1. ウイルス対策ソフト(中身はマルウェア対策ソフト)
   2. スパム(Spam)
      • メールや掲示板、SNS等を使った無差別、大量メッセージ
2. 人や組織へ
   1. 標的型攻撃
      • 特定の国、組織、地域、人
   2. フィッシング(Phishing) → オンライン詐欺対策
      • Web、メール等を使った詐欺
3. マルウェア感染防止と駆除
   • サイバークリーンセンター（Cyber Clean Center、略称: CCC）-2014年3月閉鎖
   • マルウェア対策プロジェクト：「ACTIVE」
   • Kaspersky Virus Removal Tool
4. Group Works #3
   • Web・SNSを介したマルウェアの現状を調査し、各グループでディスカッションした後、知り得た事項を箇条書きにまとめなさい。「INSec-RW」のGW#3のシートに書き込むこと！

第7回(2015/06/10)：脅威(日本年金機構問題) †

1. 6/7(Sun)付ニュース：富山大学　不正アクセス
2. 日本年金機構問題
   • 6/1(Mon)：基礎年金番号など約125万件の“年金”情報漏えい
     • 沖縄県は74万件流出…県内加入者・受給者の約6割
     • 標的型攻撃-ブルーターマイト(青いシロアリ)攻撃：APT攻撃…カスペルスキーにより命名
     • ATP攻撃：サイバー攻撃の一種。Advancedは先進的あるいは高度、Persistentは執拗、しつこい、あるいは頑迷、Threatは目標あるいは標的を意味する。
     • ウイルスが含まれた添付ファイル-遠隔操作ウイルスの「EMDIVI（エムディヴィ）」に感染
   • 6/6(Sat)15:40：日本年金機構ホームページ閉鎖
3. 2014年、1年間に発生したマルウェア感染の92%が、Oracle Java、ブラウザ、Atobe Readerの脆弱性に起因！
4. 講義リンク
   1. 個人情報保護法構成：個人情報保護法
   2. 個人情報・個人番号：個人情報・個人番号
   3. 社会保障・税番号制度＜マイナンバー＞：マイナンバー
5. Personal Works #2…今日中！
   • 今日の講義メモをFreemindを用いて作成しなさい。
   • 作成した講義メモをファイル名にユーザIDを付け、PDFにエクスポートしなさい。
   • 作成したPDFを、e-larningシステム：WebClassの本講義コースで提出すること。

第8回(2015/06/17)：情報の防御(暗号) †

1. 頭の体操
   • 以下の鍵は？　何をしているtr？

     tr A-Za-z N-ZA-Mn-za-m < Infile > Outfile

2. 暗号化と復号
   • 公開鍵暗号…現代暗号
   • 共通鍵暗号…古典的暗号
   • IDベース暗号
3. グループワーク#4
   • サルにもわかるRSA暗号
   • 「サルにもわかるRSA暗号」を熟読し、知り得た事項を各グループでディスカッションした後、そのポイントを箇条書きにまとめなさい。「INSec-RW」のGW#4のシートに書き込むこと！
4. 講義資料
   • 暗号：freemind
   • 暗号：PDF

第9回(2015/06/24)：情報の防御(認証、デジタル署名、PKI) †

1. 情報理論-暗号
   1. ガロア体(Galois field)
      • 整数を素数で除算した余りの集合
   2. フェルマーの小定理
      • p を素数とし、a を p の倍数でない整数（a と p は互いに素）とするとき、a を p - 1 乗したものを p で割ったあまりは 1 になるというもの。
   3. 離散対数問題
      • 素数pと定数gが与えられたとき、y=g^x mod pをxから計算することは容易だが、yからxを求めることは困難であること。
   4. 一方向性関数
      • 簡単に計算できる関数だが、逆関数の計算は非常に困難もしくは不可能な関数。
2. 2段階認証プロセス
   • Google2段階認証プロセス
3. グループワーク#5
   • 5分で絶対に分るPKI
   • 「5分で絶対に分るPKI」を熟読し、知り得た事項を各グループでディスカッションした後、そのポイントを箇条書きにまとめなさい。「INSec-RW」のGW#5のシートに書き込むこと！
4. 講義資料
   • 認証・デジタル署名・PKI：freemind
   • 認証：PDF1/2
   • デジタル署名・PKI・セキュリティプロトコル：PDF2/2

第10回(2015/07/01)：コンピュータの防御(手法 & OS) †

1. 驚異・セキュリティインシデントの実態
2. OS
   • Windows Server
   • UNIX
   • セキュアOS
3. グループワーク#6
   • コンピュータの防御(手法&OS)で重要だと思われる事項を各グループでのディスカッションし、そのポイントを箇条書きにまとめなさい。「INSec-RW」のGW#6のシートに書き込むこと！
4. 講義資料
   • 日本ネットワークセキュリティ協会
     • JNSAセキュリティしんだん
     • 2011年情報セキュリティインシデントに関する調査報告書〜個人情報漏えい編〜
   • コンピュータの防御-手法：freemind
     • コンピュータの防御-手法：PDF
   • コンピュータの防御-OS：freemind
     • コンピュータの防御-OS#1：PDF1/2
     • コンピュータの防御-OS#2：PDF2/2

第11回(2015/07/08)：コンピュータの防御(サービス) †

1. サービス(アプリケーション)
   • 一般
   • Webサーバ
   • メールサーバ
   • DNSサーバ
2. グループワーク#7
   • コンピュータの防御全般で、利用者および管理者側の視点で重要だと思われる事項を各グループでのディスカッションし、箇条書きにまとめなさい。「INSec-RW」のGW#7のシートに書き込むこと！
3. 講義資料
   • コンピュータの防御-サービス：freemind
   • コンピュータの防御-サービス：PDF

第12回(2015/07/15)：ネットワークの防御(要素技術) †

1. 要素技術
   • 多重階層
     • OSI(Open Systems Interconnection)：ネットワーク構造の設計方針
     • OSI参照モデル：OSI reference model = OSI基本階層モデル
     • OSI階層モデル：OSI layer model
     • 第7層(アプリケーション)-第6層(プレゼンテーション)-第5層(セッション)-第4層(トランスポート)-第3層(ネットワーク)-第2層(データリンク)-第1層(物理)
   • それぞれの階層でセキュリティ対策
2. グループワーク#8
   • ネットワークの防御-要素技術で、重要だと思われる事項を各グループでのディスカッションし、箇条書きにまとめなさい。「INSec-RW」のGW#8のシートに書き込むこと！
3. 講義資料
   • ネットワークの防御-要素技術：freemind
   • ネットワークの防御-要素技術#1：PDF1/2
   • ネットワークの防御-要素技術#2：PDF2/2

第13回(2015/07/22)：ネットワークの防御(ファイアウォール/攻撃の検知と防御) †

1. ファイアウォール
   • 実装方式
   • FWとUTM
   • 導入設計
   • JUNIPER製品
     • JUNIPER SSG5セキュア・サービス・ゲートウェイ
     • はじめてのSSG5：PDF
2. 攻撃の検知と防御
   • 機能
   • 導入と設置
   • 検知
   • IDS/IPSの運用
   • 侵入検知システムの課題
3. グループワーク#9
   • ネットワークの防御-ファイアウォール/攻撃の検知と防御で、重要だと思われる事項を各グループでのディスカッションし、箇条書きにまとめなさい。「INSec-RW」のGW#9のシートに書き込むこと！
4. 講義資料
   • ネットワークの防御-FW：freemind
   • ネットワークの防御-FW#1：PDF1/2
   • ネットワークの防御-FW#2：PDF2/2
   • ネットワークの防御-攻撃の検知と防御：freemind
   • ネットワークの防御-攻撃の検知と防御#1：PDF1/2
   • ネットワークの防御-攻撃の検知と防御#2：PDF2/2

第14回(2015/07/29)：管理・開発・運用(セキュア開発、セキュリティ運用、コンプライアンス) †

1. 情報セキュリティマネジメント
   • セキュア開発　→ 安全な開発
   • セキュリティ運用　→ 安全運用
2. コンプライアンス　→ 法令遵守
3. 講義資料
   • 開発・運用
     • セキュア開発・セキュリティ運用：freemind
     • セキュア開発：PDF1/2
     • セキュリティ運用：PDF2/2
   • 管理-コンプライアンス
     • コンプライアンス-ポイント：freemind
     • コンプライアンス-ポイント：PDF
     • コンプライアンス-詳細：Freemind
     • コンプライアンス-詳細#1：PDF1/2
     • コンプライアンス-詳細#2：PDF2/2
4. グループワーク#10…8/5(Tue)12:00まで
   • 本講義のまとめ問題(Personal Works #0)を各グループ内で全て検証し、グループ毎に各問題数にまとめて一つのExcelファイルとし、ファイル名をグループ名として、Web Class の Group Works #10 へ提出しなさい。（門１）
     • 各グループ毎に5分野各2門計10問の4択問題を選択すること。
   • 問題作成に関わったグループ内メンバーの学籍番号、氏名を記述しなさい。（門２）

Personal Works #3…本日中 †

• 配付資料「インシデント発生・再発防止策に関する報告・申請書」に自分で想定したインシデント発生から、再発防止策までを記入して提出しなさい。
  • 用紙の上部にユーザIDと氏名を記述すること。
  • インシデント発生・再発防止策に関する報告・申請書：PDF

第15回(2015/08/05)：管理・開発・運用(情報セキュリティマネジメント)・振り返り(リフレクション) †

1. 情報セキュリティマネジメント
   • 管理・マネジメント
2. 講義資料
   • 情報セキュリティマネジメント：freemind
   • 情報セキュリティマネジメント#1：PDF1/2
   • 情報セキュリティマネジメント#2：PDF2/2

Personal Works #4…本日中 †

• 各自、インターネット社会に生きる社会人にとっての「情報セキュリティ対策」をFreemindを用い、要点をまとめて作成しなさい。
  • 本講義を振り返り、脅威(インシデント)、情報、コンピュータ、ネットワーク、管理・開発・運用の5分野について考えること。
  • 作成したFreemindファイルにユーザIDを付け、e-larningシステム：WebClassの本講義コースで提出すること。

総合自習テスト †

• 総合自習テスト4択問題…8/6(Thu)〜8/11(Tue)
  • 全145問からランダムに30問出題
    • 脅威(インシデント)、情報、コンピュータ、ネットワーク、管理・開発・運用：各60問
  • 実行回数：無制限
  • 時間制限：無し
  • e-larningシステム：WebClass

第16回(2015/08/12)：評価調整 †

• 暫定評価公開
• 評価調整…相談