マスタリング TCP/IP 情報セキュリティ編 (第 2 版)

セキュリティ技術の網羅的な入門書
インターネット技術を学ぶうえで情報セキュリティを正しく理解することは不可欠ですが、IT におけるネットワークの重要性が増し利用方法が多岐になるにつれて、技術者なら誰もが知っているべきセキュリティ技術の範囲はどんどん広がっています。
本書は、日々更新されていくネットワークセキュリティ技術にキャッチアップしていくために必要となる基礎を体系的に網羅した「マスタリング TCP/IP シリーズ」の 1 冊です。基本的な暗号技術、それらのセキュリティプロトコルへの応用、認証技術、Web アプリケーションへの多様化する攻撃手法の理解と対策などを扱っています。

第 1 版発行から 10 年弱が経過し、技術は進歩しセキュリティに対するニーズも高まっています。こういった背景を踏まえて、第 2 版では目次構成の見直しを行い、大幅な加筆修正を行っています。
第 1 章 情報セキュリティ概論
第 2 章 暗号技術
第 3 章 認証技術
第 4 章 PKI
第 5 章 セキュリティプロトコル
第 6 章 ホストのセキュリティ
第 7 章 ネットワークセキュリティ
第 8 章 Web セキュリティ

『マスタリング TCP/IP 情報セキュリティ編 第 2 版』 (齋藤 孝道 著、オーム社、2022 年 6 月刊) は、暗号技術とそのセキュリティプロトコルへの応用、認証技術、PKI、ホストとネットワークのセキュリティ、Web アプリケーションへの攻撃と対策までを、全 8 章で体系的に扱う情報セキュリティの入門書です。版元はセキュリティ技術の網羅的な入門書と位置づけ、ネットワークセキュリティ技術にキャッチアップしていくために必要な基礎を体系的に網羅した「マスタリング TCP/IP シリーズ」の 1 冊と紹介しています。第 1 版の発行から 10 年弱を経ての改訂で、第 2 版では目次構成を見直し、大幅な加筆修正を行ったと説明されています。

全 8 章の構成、暗号と認証の部品から Web セキュリティへ

第 1 章の情報セキュリティ概論は、情報セキュリティの定義と分類、脅威とリスク、脆弱性情報データベースやゼロデイ攻撃、1990 年以前から 2010 年以降までの情報セキュリティの変遷を押さえ、後の章で扱う要素技術を見渡す導入です。第 2 章の暗号技術では共通鍵暗号と公開鍵暗号、鍵共有アルゴリズム、ハッシュ関数とディジタル署名、暗号技術における安全性を扱い、第 3 章の認証技術では主体認証、パスワードに関する NIST のガイドラインとパスワードの保存、認証プロトコルの基礎を経て、シングルサインオン の登場から実現技術までを含む ID 連携へ進みます。

第 4 章の PKI はトラストモデル、公開鍵証明書、認証局、PKI の運用を、第 5 章のセキュリティプロトコルは SSL/TLS と IPsec を取り上げ、SSL/TLS の節には DTLS の概要と TLS1.3 が含まれます。第 6 章はホストのセキュリティとしてメモリ破壊脆弱性とその攻撃と対策、セキュア OS とセキュアブートを、第 7 章はファイアウォールや VPN などイントラネットの構成要素からネットワークスキャン、セッションハイジャック、マルウェア対策、高度標的型攻撃、クラウドセキュリティまでを扱います。第 8 章は Web における認証、XSS、SQL インジェクション、CSRF の各攻撃とその対策、Web2.0 技術のセキュリティです。前半で暗号と認証の部品をそろえ、後半でそれをプロトコル、ホスト、ネットワーク、Web という適用先へ当てはめていく並びと読めます。

暗号の部品を知るとプロトコルの安全性を判断できる

セキュリティの知識が断片的になりやすいのは、TLS や IPsec、ID 連携といった仕組みを名前で覚えてしまい、その内部で共通鍵暗号、公開鍵暗号、鍵共有、ハッシュ関数、ディジタル署名がどう組み合わされているかを追わないためです。たとえば HTTPS を支える TLS は、鍵共有で通信ごとの鍵を作り、証明書とディジタル署名で相手が本物であることを確かめ、以降のデータを共通鍵暗号で守るという分担で成り立っています。部品の役割が分かっていれば、ある暗号アルゴリズムの弱点が指摘されたときに何が影響を受けるのか、証明書の検証を省くと何が崩れるのかを自分で判断できます。Web アプリケーションの脆弱性も同じで、XSS や CSRF は、ブラウザーのセッション管理や同一生成元ポリシーの仕組みを知ることで、なぜ成立しどの対策が効くのかが見えてきます。

情報系の講義から資格学習まで、想定読者と前提知識

版元は、情報系学部 2 年生から 3 年生程度で学ぶ情報セキュリティ特論などの学生、IT システムの構築運用にかかわる初学者、セキュリティ系の資格取得を考えている人を想定読者に挙げています。入門書とされてはいるものの、範囲は暗号の基礎から Web の攻撃手法まで広く、TCP/IP の階層や HTTP の基本を知っていれば第 5 章以降が読みやすくなると考えられます。ネットワークそのものに不安がある場合は、同じシリーズの『マスタリング TCP/IP 入門編』で通信の仕組みを先に固めておくと、本書の各プロトコルの位置づけをつかみやすくなります。一方で、目次を見る限り、検証環境を組んで攻撃を再現する演習や、特定の製品の設定手順を扱う章は置かれていないため、手を動かす実践書を求める人には目的が合いません。内容は 2022 年 6 月時点の技術を前提としている点も踏まえて選ぶとよいでしょう。

暗号、認証、PKI、プロトコル、Web までのつながりを一つの体系として持っておきたい学生や、構築や運用の現場でセキュリティの判断を任され始めたエンジニアにとって、本書は個別の知識を整理し直す土台になります。分野の中での位置づけを確かめてから選びたい場合は、セキュリティ本ガイド で他の本との使い分けを眺めておくと、本書を手元に置く理由がはっきりするはずです。