私たちが毎日使うインターネットやスマホのアプリ、会社の業務システム。これらはすべて、ネットワークという目に見えない道路をデータが行き来することで成り立っています。しかしこの便利な道路には、データを盗んだりシステムを壊したりしようとする悪意ある存在、つまりサイバー攻撃者が常に潜んでいます。
昔は、オフィスの周りに壁を作って部外者を入れないようにするだけで十分でした。しかし今はリモートワークが当たり前になり、データもクラウド上に置かれる時代です。内側と外側を分ける境界線があいまいになった今、古い守り方だけでは会社を守り切れません。
セキュリティの知識は、一部の専門家だけのものではありません。車を運転する人が交通ルールを知っておくべきなのと同じように、インフラに関わるすべての人にとって欠かせない教養です。この記事では、専門用語が出てくるたびに身近な例に置き換えながら、基礎からじっくり解説していきます。
この記事で分かること
- セキュリティが目指す3つのゴール（CIA）
- 代表的なサイバー攻撃の手口
- ファイアウォールやスイッチが実際に何を守っているのか
- 「本人確認」と「物理的な壁」がなぜ最後の砦になるのか
1. 何を守るのか:セキュリティの3つの物差し
セキュリティ対策を考えるとき、目指すゴールは3つに整理できます。頭文字を取って「CIA」と呼ばれる、世界共通の考え方です。銀行を例に考えてみましょう。
| 要素 | 意味 | 銀行にたとえると |
|---|---|---|
| 機密性 | 権限のある人だけが情報を見られること | あなたの口座残高は、あなたと担当者しか見られない |
| 完全性 | データが途中で書き換えられていないこと | 1万円の振込が、途中で10万円に変わっていない |
| 可用性 | 使いたいときにいつでも使えること | ATMが丸1日止まって引き出せない、という事態がない |
この3つのどれか1つでも欠けると、安全とは言えません。データが正確でも(完全性)、システムが止まってしまえば(可用性が損なわれる)役に立たないのです。
こうした要素を脅かす出来事を「インシデント」と呼び、その原因になる設計や設定の弱点を「脆弱性」と呼びます。脆弱性は、いわば窓の鍵が壊れている状態です。そしてその弱点を悪用する具体的な攻撃手法やプログラムを「エクスプロイト」と言います。インフラエンジニアの仕事は、この鍵の壊れた窓を1つずつ見つけて直していくことにあります。技術的な設定だけでなく、人の教育や部屋の物理的な管理まで含めて、あらゆる角度から窓を点検していく必要があります。
2. 敵を知る:代表的な4つのサイバー攻撃
泥棒の手口を知らなければ、効果的な鍵はかけられません。まずは代表的な攻撃パターンを押さえておきましょう。
- なりすまし・中間者攻撃:正規のユーザーになりすましたり、あなたと通信相手の間にこっそり割り込んで情報を盗み見たりする手口。手紙を配達員が途中で盗み見るようなイメージです
- DoS/DDoS攻撃:大量のゴミデータを送りつけてサーバーをパンクさせる攻撃。役所の窓口に1人が何千回も電話をかけ続けるのがDoS、世界中の乗っ取られた端末（ボットネット）が一斉に電話をかけ続けるのがDDoSだとイメージするとわかりやすいです
- マルウェア:パソコンに不利益をもたらす悪意あるプログラムの総称
- ソーシャルエンジニアリング:技術を使わず、人間の油断やミスを突いて情報を聞き出す手口
マルウェアにはいくつか種類があります。
| 種類 | 特徴 |
|---|---|
| ウイルス | 他の正常なファイルにしがみついて増殖する |
| ワーム | 単独でネットワークを移動し、爆発的に増殖する |
| トロイの木馬 | 便利なアプリを装い、裏口（バックドア）を作って攻撃者を招き入れる |
| ランサムウェア | ファイルを勝手に暗号化し、元に戻す代わりに身代金を要求する |
ソーシャルエンジニアリングの代表例がフィッシングです。銀行そっくりの偽メールで偽サイトに誘導し、パスワードを入力させます。どんなに技術的な壁を作っても、人間の油断1つですり抜けられてしまう、非常に厄介な手口です。
3. 玄関を守る:ファイアウォールとDMZ
インターネットという危険な世界から社内ネットワークを守るために、最初に設置するのがファイアウォール（防火壁）です。
昔のファイアウォールは、決められたルールに従ってパケットを機械的にチェックするだけでした。しかし今主流のステートフル・インスペーションという方式は、通信の文脈を手帳にメモするように記憶します。社内から「Webサイトを見たい」という要求が外に出ていくと、その返事として戻ってきた通信だけを中へ通し、メモにない予期せぬ通信はすべてその場で遮断します。
会社のホームページを公開する場合、Webサーバーを社内のパソコンと同じ場所に置くのは危険です。もしWebサーバーが乗っ取られたら、隣の社内システムまで一網打尽にされてしまいます。そこで使われるのがDMZ（非武装地帯）という仕組みです。インターネットでも社内ネットワークでもない、国境の緩衝地帯のような専用の区域を用意し、外部公開用のサーバーはそこに隔離します。
4. 足元を固める:スイッチでの対策
ファイアウォールが外からの侵入を防いでいても安心はできません。誰かがオフィスの空いたLANポートに勝手にパソコンを繋いだら、外壁は簡単に内側から突破されてしまいます。
そこで役立つのがポートセキュリティです。ネットワークに繋がる機器にはMACアドレスという固有の番号があります。スイッチに「このポートに繋いでいいのはAさんのパソコンだけ」と登録しておけば、部外者が別のパソコンを繋いだ瞬間、スイッチがそのポートの通信を自動的に止めてくれます。
- ポートセキュリティ:登録外の機器が繋がったら、そのポートを閉じる
- DHCPスヌーピング:偽のDHCPサーバーがばらまく嘘の道案内を無視する
- DAI:「私はAです」という嘘の自己申告（ARP偽装）を見破って無効化する
5. 本人確認と権限管理:AAAの仕組み
「誰が、何をしてよいか」を管理する世界共通の枠組みがAAAです。
| ステップ | 内容 | 会社にたとえると |
|---|---|---|
| 認証（Authentication） | 本人かどうかを確かめる | 受付で社員証を提示する |
| 認可（Authorization） | どこまでの操作を許すかを決める | 部署ごとに入れる部屋を分ける |
| アカウンティング（Accounting） | 誰が何をしたかを記録する | 入退室記録をつける |
この仕組みをLANやWi-Fiへの接続そのものに適用する規格がIEEE 802.1Xです。パソコンをネットワークに繋いだ瞬間、社員証代わりのID・パスワードや証明書の提示が求められ、認証サーバーの許可が出るまで、LANポートの通信自体を一切通しません。いわば、受付を通らないとオフィスの中に一歩も入れない、非常に厳格な門番の役割を果たします。
6. 最後の砦:物理セキュリティと人の意識
どんなに強力なファイアウォールや暗号化を施していても、サーバルームに誰でも入れて機器のケーブルを直接抜き差しできてしまえば、すべての努力は水の泡です。ネットワーク機器は鍵のかかるラックに保管し、入退室をICカードや生体認証で厳格に管理する。この物理アクセス制御が、すべてのセキュリティの前提になります。
パスワードだけの認証も今や危険です。そこで使われるのが多要素認証（MFA）で、次の3要素のうち2つ以上を組み合わせます。
- 知識要素:パスワードや秘密の質問
- 所持要素:スマートフォンや認証トークン
- 生体要素:指紋や顔、静脈
そして最後に忘れてはならないのが、使う人自身の意識です。どれだけ高価なシステムを導入しても、社員のたった一人が怪しいメールのリンクをクリックすれば、内側から鍵を開けられてしまいます。定期的な講習や訓練を通じて、組織全体の意識を高め続けることが最終防衛ラインになります。
まとめ:何重もの壁で守る「多層防御」
セキュリティとは、何か1つの優れた製品を導入すれば満点になるものではありません。泥棒に入られない家を作るとき、頑丈な玄関の鍵だけで満足する人はいないはずです。窓に格子をつけ、砂利を敷き、防犯カメラを設置する。ネットワークも同じで、次のような層を重ねて守ります。
- 境界で怪しい通信を止める（ファイアウォール）
- 足元で勝手な接続を許さない（スイッチ）
- 本人確認と権限管理を徹底する（AAA）
- 機器のある部屋に人を入れない（物理セキュリティ）
- 使う人の意識を高める（教育）
このように異なる特徴の対策を何重にも組み合わせるアプローチを多層防御と呼びます。脆弱性をゼロにすることも、攻撃を100パーセント防ぎ切ることも不可能です。しかし壁を重ねておけば、どこか1つが突破されても次の壁で食い止められます。
これからITの世界を目指す皆さんには、コマンドの打ち方を覚えるだけでなく、「今、自分が設定しているこの1行が、多層防御のどの壁を強くしているのか」を意識できるようになってほしいと思います。
最初はCIA、AAA、DMZといった略語ばかりで難しく感じるかもしれません。しかし1つずつ身近なものに置き換えて考えれば、それぞれがただ「大切なものを、何重もの方法で守る」という同じ目的でつながっていることに気づくはずです。その視野と責任感こそが、デジタル社会を陰から支える、頼もしいインフラエンジニアの土台になります。
