ネットワークをグラフにマップする
ネットワークトポロジーは幾何学的グラフである
すべてのコンピュータネットワークにはトポロジーがあります。これはノード(デバイス)とエッジ(接続)の幾何学的な配置です。トポロジーはフォールトトレランス、帯域幅、セキュリティ特性を決定します。
5つの基本的なトポロジー:
- スター: 1つの中央ハブで、すべてのノードがそこに接続されます。シンプルで安価です。単一障害点:ハブが故障するとすべてが停止します。N個のノードに対してN-1個のエッジ。
- リング: ノードが円を形成し、各ノードが2つの隣接ノードに接続されます。単一の断裂によってネットワークが分割されます。N個のノードに対してNエッジ。
- バス: すべてのノードが単一のバックボーンケーブルを共有します。安価ですが衝突が起きやすいです。1つのバックボーン障害ですべてが停止します。
- メッシュ: すべてのノードが他のすべてのノードに接続されます。最大冗長性。N個のノードのフルメッシュはN(N-1)/2個のエッジを持ちます。つまり、O(N²)接続です。高価ですが高いフォールトトレランスを持ちます。
- ツリー: 階層的なブランチング。N-1エッジ(最小接続グラフ)。ルート障害によってサブツリーが分割されます。
実際のネットワークはハイブリッドです。スター型トポロジーアクセスレイヤーを持つメッシュコア、ツリー構造のルーティング階層、および重要な接合部でのリング型トポロジー冗長性。
トポロジーとフォールトトレランス
あるデータセンターが20台のサーバーを持っています。運用チームは内部ネットワークのためにフルメッシュとスター型トポロジーの間で検討しています。
露出の幾何学
攻撃表面 = 幾何学的な境界
サイバーセキュリティでは、攻撃表面は攻撃者がシステムと対話できるポイントの総セットです。幾何学的に考えると、あなたのシステムは形であり、その境界のすべてのポイントが潜在的なエントリーポイントです。
攻撃表面のコンポーネント:
- ネットワーク表面: すべてのパブリックIPアドレス上のすべてのオープンポート。5個のオープンポートを持つサーバーは、その境界上に5個のポイントを持ちます。
- アプリケーション表面: すべてのAPIエンドポイント、すべてのURLルート、すべてのフォーム入力。200個のルートを持つウェブアプリは、200個のアプリケーション層の境界ポイントを持ちます。
- ヒューマン表面: 認証情報を持つすべての従業員、すべてのフィッシング対象。ソーシャルエンジニアリング攻撃は人間の周辺を対象とします。
- 物理表面: すべてのサーバールームドア、すべてのUSBポート、すべてのネットワークジャック。
幾何学的原則: セキュリティは、信頼ゾーンと信頼されないゾーン間の境界を最小化することで改善されます。ファイアウォールは幾何学的な境界を定義します。内側のトラフィックは信頼でき、外側のトラフィックはそうではありません。その境界の穴が少ないほど、攻撃表面は小さくなります。
これは最小権限の原則が幾何学的である理由を説明します。各コンポーネントに機能するのに必要な最小限の境界露出を与えてください。
攻撃表面を減らす
企業は以下の露出でウェブアプリケーションを実行しています。12個のパブリックAPIエンドポイント、すべての50台サーバー上のSSH(ポート22)、パブリックIPを持つデータベース、およびインターネットからアクセス可能な管理パネル。
攻撃グラフと脅威ツリー
脅威モデリングはグラフ理論を使用する
セキュリティプロフェッショナルは脅威を有向グラフとしてモデル化します。これらのグラフの構造は攻撃パス、高価値のターゲット、および防衛の優先順位を明らかにします。
攻撃グラフ: ノードはシステム状態(または個々のシステム)を表します。有向エッジは可能な遷移を表します。エクスプロイト、横展開、権限昇格。攻撃パスは、外部ノードからターゲットノードへのこのグラフを通るウォークです。
攻撃ツリー: 特殊なグラフ構造。ルートノードは攻撃者の目的です(例えば「データベースを盗む」)。子ノードは親の目的を達成する方法です。リーフは具体的な攻撃アクションです。ANDノードはすべての子が成功することを要求します。ORノードはいずれか1つだけが必要です。
グラフ中心性が高価値のターゲットを特定します:
- 媒介中心性: 多くの最短パスが通過するノード。ネットワークでは、これはチョークポイントです。それを侵害すれば、トラフィックフローを制御します。ファイアウォールまたはドメインコントローラーはしばしば高い媒介中心性を持ちます。
- 次数中心性: 多くの接続を持つノード。攻撃グラフでは、多くの他のノードから到達可能なノードは、高価値の横展開ターゲットです。
最短パス = 最も可能性の高い攻撃ベクトル: 攻撃者は最小ステップを最適化します。インターネットからデータベースへの攻撃グラフの最短パスが、最も可能性の高い攻撃ルートです。防衛とは、攻撃者が横断する必要があるそのパスを長くすることです。攻撃者が横断する必要があるノード(セキュリティコントロール)を追加します。
攻撃グラフ分析
この構造のネットワークを考えてください:インターネット → ウェブサーバー → アプリサーバー → データベース。ウェブサーバーはファイルサーバーにも接続されます。アプリサーバーはバックアップサーバーに接続されます。攻撃者の目標はデータベースです。
楕円曲線暗号は幾何学を使用する
楕円曲線:幾何学が暗号になるところ
楕円曲線暗号(ECC)は、セキュリティが幾何学的操作の上に文字通り構築されている数少ない場所の1つです。
楕円曲線は以下を満たす点(x, y)の集合です:y² = x³ + ax + b(と特別な「無限遠点」)。実数の場合、これは滑らかで対称的な曲線のように見えます。
ポイント加算: 暗号化を機能させる幾何学的操作:
1.曲線上の2つのポイントPとQをとります。
2.PとQを通る直線を引きます。
3.その線はちょうど1つの他のポイントR'で曲線と交差します。
4.R'をx軸を中心に反射させてR = P + Qを取得します。
この「加算」操作は数学的なグループを形成します。結合法則があり、単位元(無限遠点)があり、すべてのポイントに逆元があります。
スカラー乗算: ポイントPをそれ自体にk回加算することはkPを与えます。前方に進む(kとPを指定してkPを計算する)は高速です。O(log k)操作を使用してダブルアンドアッド。後方に進む(PとkPを指定してkを見つける)は楕円曲線離散対数問題(ECDLP)です。大きな曲線に対しては計算上実行不可能であると考えられています。
この非対称性は最新のTLSのセキュリティ基盤です。あなたのブラウザのHTTPS接続は、おそらくECDHE(楕円曲線ディフィ・ヘルマン一時交換)を使用しています。両側は楕円曲線上のポイントを交換することで共有秘密に同意し、盗聴者はECDLPを解くことなく秘密を回復することはできません。
幾何学が良い暗号化を作る理由
ECCはRSAと同じセキュリティをはるかに小さいキーサイズで提供します。256ビットのECCキーは、3072ビットのRSAキーとほぼ同じセキュリティを提供します。