３．１ セキュリティポリシーの決定
利便性と安全性のバランス
セキュリティを堅くすると、それだけ使い勝手が悪くなってしまいます。つまり、安全性と利便性は、相反するものなのです。ですから、何が必要で、何が必要でないかを明確にすることが重要です。
セキュリティの設定は、基本的にすべて禁止し、必要なものだけを許可するようにします。
どのサービスを提供するか
提供するサービスは、必要最低限とするべきですから、必要なサービスを明確にします。
誰にサービスを提供するか
サービスを提供する対象者は、限られた人にだけとするべきです。
アクセス方向（内＜−＞外）はどちらか
セキュリティの設定を考える場合、サービスの種類とアクセス方向を考える必要があります。
アクセス方向とは、内から外へのアクセスか、外から内へのアクセスかということです。一般的に、内から外へのアクセスよりも、外から内へのアクセスの方が危険度が高いです。
ただし、内から外へのアクセスも、内部犯行の場合や、踏み台にされた場合などを考えると、必要最小限とすべきです。
３．２ アクセス制限
アクセス制限は、1台のマシンだけでも対応できるセキュリティ対策ですので、必ず実行しましょう。
不要なサービスの停止
不要なサービスを停止したり、ルータやサーバのフィルタ機能を利用してアクセス制限を実施します。 inetdの設定を変更することにより、不要なサービスを起動しないようにします。 fingerなどは、内部の情報が漏れるので、できるだけ停止しましょう。 それから、ユーザやパスワードによる認証を行わずに通信する、UDP系のNFSやRPC(rsh)は、できるだけサービスを停止するべきです。
また、特定のユーザに対してのみサービスを提供する場合は、ポート番号を変更し、デフォルトのポートを閉じてしまう方法があります。 デフォルトのポート番号から変更することで、そのポート番号を知っている人しか、アクセスできないようにすることができます。 さらに、パスワードと同じく、ポート番号を定期的に変更するのも有効です。 ただし、ポート番号を指定できない一部のクライアントソフトでは、動作しなくなる場合がありますので、注意が必要です。
パケットフィルタリング（サービスの制限）
パケットフィルタリングとは、サービスの種類（ポート番号）と、アクセス先とアクセス元（IPアドレス）によってアクセスを制限する機能です。 フィルタリングでは、パケットのヘッダ部でのみチェックするため、パケットの内容は一切チェックしません。 ほとんどのルータには、このフィルタリング機能が付いています。 また、Linuxでは、tcp_wrapper が、デフォルトでインストールされています。 しかし、デフォルトではアクセス制限がかかっていない場合が多いので、設定する必要があります。
ユーザのログイン制限
rootなどの管理者ユーザは、ネットワークから直接ログインできないようにします。
３．３ ファイアウォール構築
ローカルネット構築
ファイアウォールとは、ローカルのネットワークをインターネットなど他のネットワークを経由した攻撃から防ぐ目的で設置する、文字通り「防火壁」です。
専用のハードウェアなどもありますが、高価なものが多いのが難点です（最近では安価なものも出てきてはいます）。
しかし、Linuxとフリーソフトを用いてファイアウォールを構築することもできます。
フリーソフトでも、一定レベルの安全性を求めることは十分に可能です。
ファイアウォールを構築するには、インターネットとローカルネットを論理的に切り離し、直接アクセスを出来なくする必要があります。
ゲートウェイマシンとは、複数のLANボードを入れ、内部ネットワークと外部ネットワークを接続するマシンのことです。
そして、ゲートウェイ・マシンにファイアウォールを構築して、セキュリティ上問題のあるデータを食いとめます。
サービスの中継
そして、ゲートウェイ・マシンを使って、外部のインターネットと通信するには、必要なサービスのデータを中継する必要があります。 中継とは、グローバルなＩＰアドレスとローカルなＩＰアドレスを対応させて、書き換えて通信することです。 ゲートウェイを使って、中継する方法には、以下の種類があります。
サーキットレベルゲートウェイ
ゲートウェイ上で、パケットレベルのフィルタリングを行い、データを中継するのが、サーキットレベルゲートウェイです。
サーキットレベルゲートウェイでは、フィルタリングと同じく、サービスの種類（ポート番号）と、アクセス先とアクセス元（IPアドレス）によってアクセスを制限します。パケットのヘッダ部でのみチェックするため、パケットの内容は一切チェックしません。
ASHでは、サーキットレベルゲートウェイとして、SOCKS5を使用しています。
SOCKS5とは、米NEC社で開発されたもので、TCP/IPレベルでデータの中継を行うものです。
ICQなどのツールをファイアウォール越しに動作させる場合などに必要になります。
また、VPN（Virtual Private Network）という機能で、インターネット越しに、仮想的なプライベートネットワークを構築することも可能です。
アプリケーションレベルゲートウェイ
ゲートウェイ上で、アプリケーションレベルのフィルタリングを行い、データを中継するのが、アプリケーションレベルゲートウェイです。
アプリケーションレベルゲートウェイでは、ftpやpopやtelnetなどのコマンドを認識し、不正なコマンドは中継しないようにすることができます。
ただし、アプリケーション毎にきめ細かい制御ができる反面、中継ソフトが各アプリケーションに対応している必要があります。
ASHでは、アプリケーションレベルゲートウェイとして、DeleGateを使用しています。
Delegateは電総研が開発した多機能プロキシです。
ローカルネットからインターネットにアクセスするためのプロキシサーバー機能と、ローカルネットのデータをインターネットに公開するためのマウント機能があります。
対応しているプロトコルには、HTTP, Gopher, Whois, FTP, Telnet, NNTP, SMTP, POPなどがあり、TCP/IPのほとんどの中継処理をこれで行うことが可能です。
また、httpデータのキャッシュ機能や、各アクセスに対してアクセス制限機能や、ログの採取機能などがあります。
メールの中継
メールの中継は、双方向に対して同じポート番号で中継する必要があるため、専用のアプリケーションを使います。
ASHでは、メールの中継には、ゲートウェイのsendmailを使用して、転送しています。
３．４ 暗号化
データに対する脅威を防ぐためには、第三者に見られても内容が分からないようにし、改ざんされたかのチェックをし、また、相手が本当に目的の相手なのかを確かめなければなりません。
第三者に見られても内容が分からないようにするためには、通信データの暗号化という方法があります。この暗号化には、共通鍵暗号方式（暗号化と復号化に共通の鍵を使う方式）と、公開鍵暗号方式（暗号化と復号化に別々の鍵を使う方式）があります。
通信データの書き換えが行われていないか調べるためには、メッセージ認証を使って、通信データは途中で改ざんされていないかを調べる方法があります。メッセージ認証には、ハッシュ関数などを使います。また、デジタル署名を付けることにより、認証する方法もあります。
相手が本当に目的の相手なのかを確かめるためには、認証局の署名付き証明書を相手に送り、確認してもらう方式があります。つまり、自分の身元を信頼できる第三者に保証してもらうことで認証を行うわけです。認証局の署名付き証明書とは、自分の公開鍵等の情報を認証局の秘密鍵で暗号化したものを使ったりします。
暗号化の方法
暗号化は、盗聴を防ぐことができます。
メッセージ認証は、データの改ざんを防ぐことができます。
認証局による認証やデジタル署名によって、なりすましを防ぐことができます。
暗号化ツール
SSHは、Secure SHellといって、telnet、ftpの代わりとして利用できる暗号化ツールです。 rsh、rcpなどの、R系のコマンドと操作は同じです。
SSLとは、Secure Sockets Layerの略で、Webサーバとブラウザ間を安全に通信するため、Netscape社が提唱した通信手段（プロトコル）です。
機能としては、データの暗号化通信、通信相手を特定するための認証、通信データの書き換えが行われていないか調べるメッセージ認証の3つがあります。
現在、Netscape NavigatorやInternet Explorerなどに 実装されていますが、HTTPプロトコルのみ対象しているのではないので、TELNETやFTPなど他のプロトコルにも実装することが可能です。
SSLを利用して、Webデータを暗号化して転送する場合、一般にhttpsポート(443)を使用し、httpsサーバを立ち上げる必要があります。
ApacheなどのフリーのWebサーバでhttpsサーバを立ち上げるには、openSSLや、SSLeayなどのアプリケーションと、Apache+SSLのパッチが必要となります。
URLは、https://www.server.name/ のようになります。
PGPは、Pretty Good Privacyの略で、メールなどのデータの暗号化をするためのツールです。
PGPの暗号化では、公開キーと秘密キーがセットになっています。公開キーで暗号化したデータは、対応する秘密キーでしか解読できません。また、秘密キーで暗号化したデータは、対応する公開キーでしか解読できません。
ですから、暗号化して通信したい人は、ホームページ上で公開キーを公開するか、メールなどで公開キーを送り、その公開キーで暗号化するように依頼することで、暗号化して通信することができます。また、自分の作成したドキュメントを秘密キーにより暗号化し、公開キーと共に公開することで、そのドキュメントが改ざんされていないことを証明することもできます。
公開キーは、ホームページに公開したり、メールに添付しても問題はありません。
もし、改ざんされた場合は、解読できなくなるだけです。
MD5は、メッセージダイジェスト関数、または、ハッシュ関数と言い、データを要約したチェックサムのようなものです。 メッセージダイジェスト関数は、暗号化とは異なり、データのチェックにしか使えませんが、非常に高速であるという特徴があります。