RFC2504 日本語訳
2504 Users' Security Handbook. E. Guttman, L. Leong, G. Malkin. February 1999. (Format: TXT=74036 bytes) (Also FYI0034) (Status: INFORMATIONAL)
プログラムでの自動翻訳です。
英語原文
Network Working Group E. Guttman
Request for Comments: 2504 Sun Microsystems
FYI: 34 L. Leong
Category: Informational COLT Internet
G. Malkin
Bay Networks
February 1999
Guttmanがコメントのために要求するワーキンググループE.をネットワークでつないでください: 2504サン・マイクロシステムズFYI: 34L.Leongカテゴリ: 情報の子馬インターネットG.マルキンベイネットワークス1999年2月
Users' Security Handbook
ユーザのセキュリティハンドブック
Status of this Memo
このMemoの状態
This memo provides information for the Internet community. It does not specify an Internet standard of any kind. Distribution of this memo is unlimited.
このメモはインターネットコミュニティのための情報を提供します。 それはどんな種類のインターネット標準も指定しません。 このメモの分配は無制限です。
Copyright Notice
版権情報
Copyright (C) The Internet Society (1999). All Rights Reserved.
Copyright(C)インターネット協会(1999)。 All rights reserved。
Abstract
要約
The Users' Security Handbook is the companion to the Site Security Handbook (SSH). It is intended to provide users with the information they need to help keep their networks and systems secure.
UsersのSecurity HandbookはSite Security Handbook(SSH)の仲間です。 彼らが彼らのネットワークとシステムを安全に維持するのを助けるために必要とする情報をユーザに提供するのは意図しています。
Table of Contents
目次
Part One: Introduction . . . . . . . . . . . . . . . . . . . . 2 1. READ.ME . . . . . . . . . . . . . . . . . . . . . . . . . 2 2. The Wires have Ears . . . . . . . . . . . . . . . . . . . 3 Part Two: End-users in a centrally-administered network . . . 4 3. Watch Out! . . . . . . . . . . . . . . . . . . . . . . . 4 3.1. The Dangers of Downloading . . . . . . . . . . . . . . 4 3.2. Don't Get Caught in the Web . . . . . . . . . . . . . . 5 3.3. Email Pitfalls . . . . . . . . . . . . . . . . . . . . 6 3.4. Passwords . . . . . . . . . . . . . . . . . . . . . . . 7 3.5. Viruses and Other Illnesses . . . . . . . . . . . . . . 7 3.6. Modems . . . . . . . . . . . . . . . . . . . . . . . . 8 3.7. Don't Leave Me... . . . . . . . . . . . . . . . . . . . 9 3.8. File Protections . . . . . . . . . . . . . . . . . . . 9 3.9. Encrypt Everything . . . . . . . . . . . . . . . . . . 10 3.10. Shred Everything Else . . . . . . . . . . . . . . . . . 10 3.11. What Program is This, Anyway? . . . . . . . . . . . . . 11 4. Paranoia is Good . . . . . . . . . . . . . . . . . . . . 11 Part Three: End-users self administering a networked computer 14 5. Make Your Own Security Policy . . . . . . . . . . . . . . 14
パート1: 序論. . . . . . . . . . . . . . . . . . . . 2 1。 READ.ME. . . . . . . . . . . . . . . . . . . . . . . . . 2 2。 Wiresには、Ears. . . . . . . . . . . . . . . . . . . 3Part Twoがあります: 中心で管理されたネットワーク. . . 4 3におけるエンドユーザ。 注意してください! . . . . . . . . . . . . . . . . . . . . . . . 4 3.1. .43.2をダウンロードするという危険。 ウェブ. . . . . . . . . . . . . . 5 3.3では、捕らえさせないでください。 落とし穴. . . . . . . . . . . . . . . . . . . . 6 3.4をメールしてください。 パスワード. . . . . . . . . . . . . . . . . . . . . . . 7 3.5。 ウイルスと他の病気. . . . . . . . . . . . . . 7 3.6。 モデム. . . . . . . . . . . . . . . . . . . . . . . . 8 3.7。 メイン州を出ないでください。 . . . . . . . . . . . . . . . . . . . 9 3.8. ファイル保護. . . . . . . . . . . . . . . . . . . 9 3.9。 .10 3.10にすべてを暗号化してください。 .10 3.11に他の何もかもを細かく裂いてください。 This、AnywayはどんなProgramですか? . . . . . . . . . . . . . 11 4. パラノイアはGood. . . . . . . . . . . . . . . . . . . . 11Part Threeです: ネットワーク・コンピュータ14 5を管理するエンドユーザ自己。 あなた自身の安全保障政策. . . . . . . . . . . . . . 14を作ってください。
Guttman, et. al. Informational [Page 1] RFC 2504 Users' Security Handbook February 1999
et Guttman、アル。 情報[1ページ]のRFC2504ユーザのセキュリティハンドブック1999年2月
6. Bad Things Happen . . . . . . . . . . . . . . . . . . . . 15 6.1. How to Prepare for the Worst in Advance . . . . . . . . 15 6.2. What To Do if You Suspect Trouble . . . . . . . . . . . 16 6.3. Email . . . . . . . . . . . . . . . . . . . . . . . . . 17 7. Home Alone . . . . . . . . . . . . . . . . . . . . . . . 17 7.1. Beware of Daemons . . . . . . . . . . . . . . . . . . . 17 7.2. Going Places . . . . . . . . . . . . . . . . . . . . . 19 7.3. Secure It! . . . . . . . . . . . . . . . . . . . . . . 20 8. A Final Note . . . . . . . . . . . . . . . . . . . . . . 20 Appendix: Glossary of Security Terms . . . . . . . . . . . . . 21 Acknowledgments . . . . . . . . . . . . . . . . . . . . . . . 31 References . . . . . . . . . . . . . . . . . . . . . . . . . . 31 Security Considerations . . . . . . . . . . . . . . . . . . . 32 Authors' Addresses . . . . . . . . . . . . . . . . . . . . . . 32 Full Copyright Statement . . . . . . . . . . . . . . . . . . . 33
6. 悪いことは.156.1に起こります。 あらかじめ.156.2に最悪の用意をする方法。 するべきことはあなたであるなら問題. . . . . . . . . . . 16 6.3を疑います。 .177をメールしてください。 単独で.177.1に家へ帰ってください。 デーモン. . . . . . . . . . . . . . . . . . . 17 7.2に注意してください。 行くのは.197.3を置きます。 それを機密保護してください! . . . . . . . . . . . . . . . . . . . . . . 20 8. 最後通達. . . . . . . . . . . . . . . . . . . . . . 20付録: セキュリティ用語. . . . . . . . . . . . . 21承認. . . . . . . . . . . . . . . . . . . . . . . 31参照. . . . . . . . . . . . . . . . . . . . . . . . . . 31セキュリティ問題. . . . . . . . . . . . . . . . . . . 32作者のアドレス. . . . . . . . . . . . . . . . . . . . . . 32の完全な著作権宣言文. . . . . . . . . . . . . . . . . . . 33の用語集
Part One: Introduction
パート1: 序論
This document provides guidance to the end-users of computer systems and networks about what they can do to keep their data and communication private, and their systems and networks secure. Part Two of this document concerns "corporate users" in small, medium and large corporate and campus sites. Part Three of the document addresses users who administer their own computers, such as home users.
このドキュメントはそれらがそれらのデータとコミュニケーションを個人的に維持して、それらのシステムとネットワークを安全に維持するためにできることがコンピュータ・システムとネットワークのエンドユーザに指導を提供します。 このドキュメントのパートTwoは法人とキャンパスの小さくて、中型の、そして、大きいサイトで「企業ユーザー」に関係があります。 ドキュメントのパートThreeは家庭でのユーザなどのそれら自身のコンピュータを管理するユーザに演説します。
System and network administrators may wish to use this document as the foundation of a site-specific users' security guide; however, they should consult the Site Security Handbook first [RFC2196].
システムとネットワーク管理者はサイト特有のユーザのセキュリティガイドの基礎としてこのドキュメントを使用したがっているかもしれません。 しかしながら、彼らは最初に[RFC2196]、Site Security Handbookに相談するべきです。
A glossary of terms is included in an appendix at the end of this document, introducing computer network security notions to those not familiar with them.
用語の用語集はこのドキュメントの端の付録に含まれています、それらになじみ深くないそれらにコンピュータネットワークセキュリティ概念を紹介して。
1. READ.ME
1. READ.ME
Before getting connected to the Internet or any other public network, you should obtain the security policy of the site that you intend to use as your access provider, and read it. A security policy is a formal statement of the rules by which users who are given access to a site's technology and information assets must abide. As a user, you are obliged to follow the policy created by the decision makers and administrators at your site.
インターネットかいかなる他の公衆通信回線にも関連づけられる前に、あなたは、あなたがあなたのアクセスプロバイダとして使用するつもりであるサイトの安全保障政策を得て、それを読むべきです。 安全保障政策はサイトの技術と情報資産へのアクセスが与えられているユーザがとどまらなければならない規則の正式な声明です。 ユーザとして、あなたがあなたのサイトで意思決定者と管理者によって作成された方針に従うのが強いられます。
A security policy exists to protect a site's hardware, software and data. It explains what the security goals of the site are, what users can and cannot do, what to do and who to contact when problems arise, and generally informs users what the "rules of the game" are.
安全保障政策は、サイトのハードウェア、ソフトウェア、およびデータを保護するために存在しています。 それは、問題が起こるとセキュリティサイトの目的が何であるか、そして、ユーザが何がして、できないか、そして、何をするか、そして、だれに連絡するかを説明して、一般に、「ゲームの規則」が何であるかをユーザに知らせます。
Guttman, et. al. Informational [Page 2] RFC 2504 Users' Security Handbook February 1999
et Guttman、アル。 情報[2ページ]のRFC2504ユーザのセキュリティハンドブック1999年2月
2. The Wires have Ears
2. Wiresには、Earsがあります。
It is a lot easier to eavesdrop on communications over data networks than to tap a telephone conversation. Any link between computers may potentially be insecure, as can any of the computers through which data flows. All information passing over networks may be eavesdropped on, even if you think "No one will care about this..."
データ網の上でコミュニケーションを立ち聞きするのは電話での会話を叩くよりはるかに簡単です。 コンピュータの間のどんなリンクもデータが流れるコンピュータのいずれであることができることのようにも潜在的に不安定であるかもしれません。 あなたが、「だれもこれを心配しないでしょう」と思っても、ネットワークを通り過ぎるすべての情報が立ち聞きされるかもしれません…
Information passing over a network may be read not only by the intended audience but can be read by others as well. This can happen to personal Email and sensitive information that is accessed via file transfer or the Web. Please refer to the "Don't Get Caught in the Web" and "Email Pitfalls" sections for specific information on protecting your privacy.
単に対象とする訪問者によって読まれるかもしれないのではなく、また、他のものはネットワークを通り過ぎる情報を読むことができます。 これはファイル転送かウェブでアクセスされる個人的なメールと機密情報に起こることができます。 プライバシーを守る特殊情報について「ウェブでは、捕らえさせないでください」と「メール落とし穴」セクションを参照してください。
As a user, your utmost concerns should, firstly, be to protect yourself against misuse of your computer account(s) and secondly, to protect your privacy.
ユーザとして、あなたの最大の関心はまず第一にプライバシーを守るために第二にあなたのコンピュータアカウントの誤用に対して我が身をかばうことであるべきです。
Unless precautions are taken, every time you log in over a network, to any network service, your password or confidential information may be stolen. It may then be used to gain illicit access to systems you have access to. In some cases, the consequences are obvious: If someone gains access to your bank account, you might find yourself losing some cash, quickly. What is not so obvious is that services which are not financial in nature may also be abused in rather costly ways. You may be held responsible if your account is misused by someone else!
あなたがネットワークの上でログインするときはいつも、注意しない場合、どんなネットワーク・サービスにも、あなたのパスワードか秘密情報が盗まれるかもしれません。 そして、それは、あなたが近づく手段を持っているシステムへの不法なアクセスを得るのに使用されるかもしれません。 いくつかの場合、結果は明白です: だれかがあなたの銀行口座へのアクセスを得るなら、あなたは自分のために或るものがすぐに現金にする喪失を見つけるかもしれません。 それほど明白でないことはまた、現実に財政的でないサービスがかなり高価な方法で乱用されるかもしれないということです。 あなたのアカウントが他の誰かによって誤用されるなら、あなたは責任を負わせられるかもしれません!
Many network services involve remote log in. A user is prompted for his or her account ID (ie. user name) and password. If this information is sent through the network without encryption, the message can be intercepted and read by others. This is not really an issue when you are logging in to a "dial-in" service where you make a connection via telephone and log in, say to an online service provider, as telephone lines are more difficult to eavesdrop on than Internet communications.
多くのネットワーク・サービスがリモートログインにかかわります。 ユーザはその人のアカウントID(ieユーザ名)とパスワードのためにうながされます。 ネットワークを通して暗号化なしでこの情報を送るなら、メッセージは、傍受されて、他のもので読むことができます。 あなたがあなたが電話とログインで接続になるところで「ダイヤルイン」のサービスにログインしていて、オンラインサービスプロバイダーに言うとき、これは本当に問題ではありません、電話回線は立ち聞きするのがインターネット通信より難しいので。
The risk is there when you are using programs to log in over a network. Many popular programs used to log in to services or to transfer files (such as telnet and ftp, respectively) send your user name and password and then your data over the network without encrypting them.
あなたがネットワークの上でログインするのにプログラムを使用しているとき、リスクがそこにあります。 それらを暗号化しないで、あなたのユーザ名とパスワードを発信させて、次に、サービスにログインするか、またはファイル(telnetやftpのようにそれぞれ)を移すのに使用される多くのポピュラーなプログラムはあなたのデータをネットワークの上に発信させます。
The precaution commonly taken against password eavesdropping by larger institutions, such as corporations, is to use one-time password systems.
会社などの、より大きい団体によって一般的にパスワード盗聴に対して払われた注意はワンタイムパスワードシステムを使用することです。
Guttman, et. al. Informational [Page 3] RFC 2504 Users' Security Handbook February 1999
et Guttman、アル。 情報[3ページ]のRFC2504ユーザのセキュリティハンドブック1999年2月
Until recently, it has been far too complicated and expensive for home systems and small businesses to employ secure log in systems. However, an increasing number of products enable this to be done without fancy hardware, using cryptographic techniques. An example of such a technique is Secure Shell [SSH], which is both freely and commercially available for a variety of platforms. Many products (including SSH-based ones) also allow data to be encrypted before it is passed over the network.
最近まで、ホームシステムと中小企業が安全なログインシステムを使うのは、はるかに複雑過ぎて、高価です。しかしながら、増加する数の製品が、高級ハードウェアなしでこれをするのを可能にします、暗号のテクニックを使用して。 そのようなテクニックに関する例はSecureシェル[SSH]です。(それは、自由で商業的にさまざまなプラットホームに利用可能です)。また、それがネットワークの上に通過される前に多くの製品(SSHベースのものを含んでいる)が、データが暗号化されるのを許容します。
Part Two: End-users in a centrally-administered network
パートTwo: 中心で管理されたネットワークにおけるエンドユーザ
The following rules of thumb provide a summary of the most important pieces of advice discussed in Part Two of this document:
以下の経験則はこのドキュメントのPart Twoで議論する中で最も重要なアドバイスの概要を提供します:
- Know who your security point-of-contact is.
- Keep passwords secret at all times.
- Use a password-locked screensaver or log out when you leave your
desk.
- Don't let simply anyone have physical access to your computer or
your network.
- Be aware what software you run and very wary of software of
unknown origin. Think hard before you execute downloaded
software.
- Do not panic. Consult your security point-of-contact, if
possible, before spreading alarm.
- Report security problems as soon as possible to your security
point-of-contact.
- セキュリティ連絡先がだれであるかを知ってください。 - いつもパスワードを秘密にしてください。 - 席を離れていたらパスワードでロックされたスクリーンセーバーかログアウトを使用してください。 - だれも身体検査に単にコンピュータかネットワークにアクセスさせないでください。 - どんなソフトウェアを動かすかを意識してください。出所不明のソフトウェアに非常に用心深いです。 ダウンロードされたソフトウェアを実行する前に一心に考えてください。 - 慌てないでください。 できれば、アラームを広げる前に、セキュリティ連絡先に相談してください。 - できるだけ早く、セキュリティ連絡先に警備上の問題を報告してください。
3. Watch Out!
3. 注意してください!
3.1. The Dangers of Downloading
3.1. ダウンロードするという危険
An ever expanding wealth of free software has become available on the Internet. While this exciting development is one of the most attractive aspects of using public networks, you should also exercise caution. Some files may be dangerous. Downloading poses the single greatest risk.
フリーソフトウェアの拡張し続けている富はインターネットで利用可能になりました。 このおもしろい開発は公衆通信回線を使用する最も魅力的な局面の1つですが、また、あなたは警戒するべきです。 いくつかのファイルが危険であるかもしれません。 ダウンロードはただ一つの最も高い危険を引き起こします。
Be careful to store all downloaded files so that you will remember their (possibly dubious) origin. Do not, for example, mistake a downloaded program for another program just because they have the same name. This is a common tactic to fool users into activating programs they believe to be familiar but could, in fact, be dangerous.
それらの(ことによると疑わしい)の発生源を覚えているようにすべてのダウンロードされたファイルを保存するように注意してください。 例えば、ただ彼らには同じ名前があるので、別のプログラムにダウンロードしたプログラムを間違えないでください。 これは、ユーザが彼らがよく知られていると信じているプログラムを起動するようにだます一般的な戦術ですが、事実上、危険であるかもしれません。
Guttman, et. al. Informational [Page 4] RFC 2504 Users' Security Handbook February 1999
et Guttman、アル。 情報[4ページ]のRFC2504ユーザのセキュリティハンドブック1999年2月
Programs can use the network without making you aware of it. One thing to keep in mind is that if a computer is connected, any program has the capability of using the network, with or without informing you. Say, for example:
あなたをそれを意識するようにしないで、プログラムはネットワークを使用できます。 覚えておく1つのことはコンピュータが接続されているなら、どんなプログラムにもネットワークを使用する能力があるということです、あなたに知らせることのあるなしにかかわらず。 例えば、以下を言ってください。
You download a game program from an anonymous FTP server. This
appears to be a shoot-em-up game, but unbeknownst to you, it
transfers all your files, one by one, over the Internet to a
cracker's machine!
あなたは公開FTPサーバからゲームプログラムをダウンロードします。これはemが急騰しているゲームであるように見えますが、あなたに知られずに、それはクラッカーのマシンへのインターネットの上にあなたのすべてのファイルをひとつずつ移します!
Many corporate environments explicitly prohibit the downloading and running of software from the Internet.
多くの企業社会がインターネットからソフトウェアのダウンロードと稼働を明らかに禁じます。
3.2. Don't Get Caught in the Web
3.2. ウェブでは、捕らえさせないでください。
The greatest risk when web browsing is downloading files. Web browsers allow any file to be retrieved from the Internet. See "The Dangers of Downloading".
ウェブ閲覧がダウンロードされているとき、最も高い危険はファイルされます。 ウェブブラウザはインターネットからどんなファイルも取らせます。 「ダウンロードするという危険」を見てください。
Web browsers are downloading files even when it is not entirely obvious. Thus, the risk posed by downloading files may be present even if you do not actively go out and retrieve files overtly. Any file which you have loaded over the network should be considered possibly dangerous (even files in the web browser's cache). Do not execute them by accident, as they may be malicious programs. (Remember, programs are files, too. You may believe you have downloaded a text file, when in fact it is a Trojan Horse program, script, etc.)
それが完全にさえ明白でないときに、ウェブブラウザはファイルをダウンロードしています。 したがって、あなたが活発に出かけて、ファイルを明白にさえ取らないなら、ファイルをダウンロードすることによって引き起こされた危険は存在しているかもしれません。 あなたがネットワークの上でロードしたどんなファイルもことによると危険であると(ウェブブラウザのキャッシュにおけるファイルさえ)考えられるべきです。 それらが不正プログラムであるかもしれないので、偶然にそれらを実行しないでください。(覚えていてください、そして、また、プログラムはファイルです。 事実上、それがトロイの木馬プログラム、スクリプトであるのなどときに、あなたは、テキストファイルをダウンロードしたと信じることができます。)
Web browsers may download and execute programs on your behalf, either automatically or after manual intervention. You may disable these features. If you leave them enabled, be sure that you understand the consequences. You should read the security guide which accompanies your web browser as well as the security policy of your company. You should be aware that downloaded programs may be risky to execute on your machine. See "What program is this, anyway?".
ウェブブラウザは、自動的かあなたの代理か、手動の介入の後にプログラムをダウンロードして、実行するかもしれません。 あなたはこれらの特徴を無効にすることができます。 それらを可能にされたままにするなら、結果を理解しているのを確認してください。 あなたはあなたの会社の安全保障政策と同様にあなたのウェブブラウザに同伴するセキュリティガイドを読むべきです。 あなたはダウンロードしたプログラムがあなたのマシンの上で実行するために危険であるかもしれないことを意識しているべきです。 「プログラムを作ることはとにかくこれですか?」と確実にしてください。
Web pages often include forms. Be aware that, as with Email, data sent from a web browser to a web server is not secure. Several mechanisms have been created to prevent this, most notably Secure Sockets Layer [SSL]. This facility has been built into many web browsers. It encrypts data sent between the user's web browser and the web server so no one along the way can read it.
ウェブページはしばしばフォームを含んでいます。ウェブブラウザからウェブサーバーに送られたデータがメールのように安全でないことを意識してください。 これを防ぐために数個のメカニズムを作成してあって、大部分は著しくセキュリティソケットレイヤー[SSL]です。 この施設は多くのウェブブラウザに組み込まれました。 それは道に沿っただれもそれを読むことができないようにユーザのウェブブラウザとウェブサーバーの間に送られたデータを暗号化します。
It is possible that a web page will appear to be genuine, but is, in fact, a forgery. It is easy to copy the appearance of a genuine web page and possible to subvert the network protocols which contact the desired web server, to misdirect a web browser to an imposter.
ウェブページが本物であるように見えますが、事実上、偽造であることは可能です。 ウェブブラウザに詐欺師に誤った指導するために必要なウェブサーバーに連絡するネットワーク・プロトコルを打倒するのは、本物のウェブページの外観をコピーしやすくて可能です。
Guttman, et. al. Informational [Page 5] RFC 2504 Users' Security Handbook February 1999
et Guttman、アル。 情報[5ページ]のRFC2504ユーザのセキュリティハンドブック1999年2月
That threat may be guarded against using SSL to verify if a web page is genuine. When a 'secure' page has been downloaded, the web browser's 'lock' or 'key' will indicate so. It is good to double-check this: View the 'certificate' associated with the web page you have accessed. Each web browser has a different way to do this. The certificate will list the certificate's owner and who issued it. If these look trustworthy, you are probably OK.
ウェブページが本物であるかどうか確かめるのにSSLを使用することでその脅威は用心されるかもしれません。 '安全な'ページをダウンロードしたとき、ウェブブラウザの'錠'か'キー'がそのように示されるでしょう。 これを再確認するのは良いです: あなたがアクセスしたウェブページに関連している'証明書'を見てください。 それぞれのウェブブラウザには、これをする異なった方法があります。 証明書は証明書の所有者を記載するでしょう、そして、だれがそれを発行しましたか? これらが信頼できるように見えるなら、あなたはたぶんOKです。
3.3 Email Pitfalls
3.3 メール落とし穴
All the normal concerns apply to messages received via Email that you could receive any other way. For example, the sender may not be who he or she claims to be. If Email security software is not used, it is very difficult to determine for sure who sent a message. This means that Email itself is a not a suitable way to conduct many types of business. It is very easy to forge an Email message to make it appear to have come from anyone.
すべての正常な関心があなたがいかなる他の方法でも受信できるだろうというメールで受け取られたメッセージに適用されます。 例えば、送付者はその人が主張する人でないかもしれません。 メール機密保護ソフトウェアが使用されていないなら、だれがメッセージを送ったかを確かに決定するのは非常に難しいです。 これは、メール自体が多くのタイプの業務を行う適当な方法ではなく、aであることを意味します。 だれからも来たように見えさせるメールメッセージを作り出すのは非常に簡単です。
Another security issue you should consider when using Email is privacy. Email passes through the Internet from computer to computer. As the message moves between computers, and indeed as it sits in a user's mailbox waiting to be read, it is potentially visible to others. For this reason, it is wise to think twice before sending confidential or extremely personal information via Email. You should never send credit card numbers and other sensitive data via unprotected Email. Please refer to "The Wires Have Ears".
メールを使用するときあなたが考えるべきである別の安全保障問題はプライバシーです。 メールはコンピュータからコンピュータまでインターネットを通り抜けます。 読まれるのを待ちながらコンピュータの間、そして、本当にユーザのメールボックスの中に座るときメッセージが移行するとき、他のものにとって、それは潜在的に目に見えます。 この理由で、メールで秘密の、または、非常に個人的な情報を送る前に再考するのは賢明です。 あなたは保護のないメールでクレジットカード番号と他の極秘データを決して送るべきではありません。 「ワイヤには、耳があること」を参照してください。
To cope with this problem, there are privacy programs available, some of which are integrated into Email packages.
この問題に対処するために、利用可能なプライバシープログラムがあります。その或るものはメールパッケージと統合されます。
One service many Email users like to use is Email forwarding. This should be used very cautiously. Imagine the following scenario:
多くのメールユーザが利用するのが好きである1つのサービスはメール推進です。 これは非常に用心深く使用されるべきです。 以下のシナリオを想像してください:
A user has an account with a private Internet Service Provider and
wishes to receive all her Email there. She sets it up so that her
Email at work is forwarded to her private address. All the Email
she would receive at work then moves across the Internet until it
reaches her private account. All along the way, the Email is
vulnerable to being read. A sensitive Email message sent to her
at work could be read by a network snoop at any of the many stops
along the way the Email takes.
ユーザは、個人的なインターネットサービスプロバイダとのアカウントを持って、そこに彼女のすべてのメールを受け取りたがっています。 彼女は、仕事における彼女のメールを彼女のプライベート・アドレスに転送するようにそれをセットアップします。 そして、彼女の個人的なアカウントに達するまで、彼女が仕事で受け取るすべてのメールがインターネットの向こう側に移行します。 道に沿って、メールは読まれるのに被害を受け易いです。 仕事で彼女に送られた機密のメールメッセージで、メールが取る方法に沿っていずれでも多くの停止についてネットワーク詮索好きに読み込むことができました。
Note that Email sent or received at work may not be private. Check with your employer, as employers may (in some instances) legally both read your Email and make use of it. The legal status of Email depends on the privacy of information laws in force in each country.
仕事で送るか、または受け取るメールが個人的でないかもしれないことに注意してください。 雇い主が(ある場合に)あなたのメールを法的に読んで、それを利用するとき、雇い主に問い合わせてください。 メールの法的な身分は各国で大挙して情報法のプライバシーに依存します。
Guttman, et. al. Informational [Page 6] RFC 2504 Users' Security Handbook February 1999
et Guttman、アル。 情報[6ページ]のRFC2504ユーザのセキュリティハンドブック1999年2月
Many mail programs allow files to be included in Email messages. The files which come by Email are files like any other. Any way in which a file can find its way onto a computer is possibly dangerous. If the attached file is merely a text message, fine. But it may be more than a text message. If the attached file is itself a program or an executable script, extreme caution should be applied before running it. See the section entitled "The Dangers of Downloading".
多くのメールプログラムで、ファイルはメールメッセージが包含します。 メールを得るファイルはファイルですいかなる他の、なようにも。 ファイルがコンピュータに届くことができるどんな方法もことによると危険です。 添付ファイルが単にテキストメッセージであるなら、罰金です。 しかし、それはテキストメッセージより多いかもしれません。 添付ファイルがそれ自体でプログラムか実行可能なスクリプトであるなら、それを実行する前に、極端な警告は適用されるべきです。 セクションが「ダウンロードするという危険」の権利を与えられるのを見てください。
3.4 Passwords
3.4 パスワード
Passwords may be easily guessed by an intruder unless precautions are taken. Your password should contain a mixture of numbers, upper and lower case letters, and punctuation. Avoid all real words in any language, or combinations of words, license plate numbers, names and so on. The best password is a made-up sequence (e.g., an acronym from a phrase you won't forget), such as "2B*Rnot2B" (but don't use this password!).
注意しない場合、パスワードは侵入者によって容易に推測されるかもしれません。 あなたのパスワードは数の混合物、大文字と小文字手紙、および句読を含むべきです。 どんな言語のすべての本当の単語、または単語、プレートナンバー、名前などの組み合わせも避けてください。 最も良いパスワードは作り上げている系列(例えば、あなたが忘れない句からの頭文字語)です、「2B*Rnot2B」などのように(このパスワードを使用しないでください!)。
Resist the temptation to write your password down. If you do, keep it with you until you remember it, then shred it! NEVER leave a password taped onto a terminal or written on a whiteboard. You wouldn't write your PIN code on your automated teller machine (ATM) card, would you? You should have different passwords for different accounts, but not so many passwords that you can't remember them. You should change your passwords periodically.
あなたのパスワードを書き留める誘惑に抵抗してください。 そうするなら、それを覚えているまでそれを保ってください、そして、次に、それを細かく裂いてください! パスワードを決してホワイトボードに端末にテープに録音されるか、または書かれていたままにしないでください。 あなたは現金自動振込機(ATM)カードに暗証番号コードを書かないんでしょう? あなたには、口座相違にもかかわらず、わずかなパスワードのための異なったパスワードがあるべきです。それらを思い出すことができません。 あなたは定期的にパスワードを変えるべきです。
You should also NEVER save passwords in scripts or login procedures as these could be used by anyone who has access to your machine.
また、あなたのマシンに近づく手段を持っているだれでもこれらを使用できたようにあなたはスクリプトかログイン手順によるパスワードを決して保存するべきではありません。
Be certain that you are really logging into your system. Just because a login prompt appears and asks you for your password does not mean you should enter it. Avoid unusual login prompts and immediately report them to your security point-of-contact. If you notice anything strange upon logging in, change your password.
本当にシステムに必ずログインしてください。 ログインプロンプトがまさしく現れて、尋ねて、あなたのパスワードがあなたを意味しないので、あなたはそれに入るべきです。 珍しいログインプロンプトを避けてください、そして、すぐに、セキュリティ連絡先にそれらを報告してください。 ログインするとき奇妙なものは何かに気付くなら、パスワードを変えてください。
Unless precautions have been taken to encrypt your password when it is sent over the network, you should, if possible, use "one-time passwords" whenever you log in to a system over a network. (Some applications take care of that for you.) See "The Wires Have Ears" for more information on the risks associated with logging in over a network.
ネットワークの上にそれを送るとき、あなたのパスワードを暗号化するために注意していないなら、ネットワークの上でシステムにログインするときはいつも、できれば、あなたは「ワンタイムパスワード」を使用するべきです。 (いくつかのアプリケーションがあなたのためにそれの世話をします。) リスクに関する詳しい情報のために「ワイヤには、耳があること」がネットワークの上でログインすると関連しているのを見てください。
3.5 Viruses and Other Illnesses
3.5 ウイルスと他の病気
Viruses are essentially unwanted pieces of software that find their way onto a computer. What the virus may do once it has entered its host, depends on several factors: What has the virus been programmed to do? What part of the computer system has the virus attacked?
ウイルスはコンピュータに届くソフトウェアの本質的には求められていない断片です。 ウイルスが一度それをするかもしれないことを、ホストを入れて、いくつかの要素に依存します: ウイルスが何をするようにプログラムされましたか? コンピュータ・システムのどんな部分で、ウイルスを攻撃しますか?
Guttman, et. al. Informational [Page 7] RFC 2504 Users' Security Handbook February 1999
et Guttman、アル。 情報[7ページ]のRFC2504ユーザのセキュリティハンドブック1999年2月
Some viruses are 'time bombs' which activate only when given a particular condition, such as reaching a certain date. Others remain latent in the system until a particular afflicted program is activated. There are still others which are continually active, exploiting every opportunity to do mischief. A subtle virus may simply modify a system's configuration, then hide.
いくつかのウイルスが、ある期日に達することなどの特定の状態を考えて、いつだけを動かす'時限爆弾'です。 特定の苦痛なプログラムが活性であるまで、他のものはシステムに潜在したままでいます。 まだ、いたずらをするあらゆる機会を利用して、絶えず活発な他のものがいます。 微妙なウイルスは、単にシステムの構成を変更して、次に、隠れるかもしれません。
Be cautious about what software you install on your system. Use software from "trusted sources", if possible. Check your site policy before installing any software: Some sites only allow administrators to install software to avoid security and system maintenance problems.
あなたのシステムの上にどんなソフトウェアをインストールするかに関して、用心深くいてください。 可能であるなら、「信頼できるソース」からのソフトウェアを使用してください。 どんなソフトウェアもインストールする前に、サイト方針をチェックしてください: いくつかのサイトで、管理者は、セキュリティとシステム保守問題を避けるためにソフトをインストールできるだけです。
Centrally-administered sites have their own policy and tools for dealing with the threat of viruses. Consult your site policy or find out from your systems administrator what the correct procedures are to stay virus free.
中心で管理されたサイトには、ウイルスの脅威に対処するためのそれら自身の方針とツールがあります。 サイト方針に相談するか、またはウイルスから自由なままであるために上級システムアドミニストレータから正しい手順が何であるか調べてください。
You should report it if a virus detection tool indicates that your system has a problem. You should notify your site's systems administrators as well as the person you believe passed the virus to you. It is important to remain calm. Virus scares may cause more delay and confusion than an actual virus outbreak. Before announcing the virus widely, make sure you verify its presence using a virus detection tool, if possible, with the assistance of technically-competent personnel.
ウイルス検出ツールが、あなたのシステムには問題があるのを示すなら、あなたはそれを報告するべきです。 あなたはあなたのサイトの上級システムアドミニストレータにあなたが信じている人がウイルスをあなたに渡したのと同じくらいよく通知するべきです。 穏やかなままであることは重要です。 ウイルスの恐怖は実際のウイルスの大発生より遅れと混乱を引き起こすかもしれません。 広くウイルスを発表する前に、ウイルス検出ツールを使用することで存在について必ず確かめてください、できれば、技術的に有能な人員の支援で。
Trojan Horse programs and worms are often categorized with viruses. Trojan Horse programs are dealt with in the "What Program is This, Anyway?" section. For the purposes of this section, worms should be considered a type of virus.
トロイの木馬プログラムとワームはしばしばウイルスで分類されます。 トロイの木馬プログラムは「This、AnywayはどんなProgramですか?」セクションで対処されています。 このセクションの目的のために、ワームは一種のウイルスであると考えられるべきです。
3.6 Modems
3.6 モデム
You should be careful when attaching anything to your computer, and especially any equipment which allows data to flow. You should get permission before you connect anything to your computer in a centrally-administered computing environment.
あなたのコンピュータ、およびデータが流れる特にどんな設備にも何でも取り付けるとき、あなたは慎重であるはずです。 中心で管理されたコンピューティング環境であなたのコンピュータに何でも接続する前にあなたは許可を得るべきです。
Modems present a special security risk. Many networks are protected by a set of precautions designed to prevent a frontal assault from public networks. If your computer is attached to such a network, you must exercise care when also using a modem. It is quite possible to use the modem to connect to a remote network while *still* being connected to the 'secure' net. Your computer can now act as a hole in your network's defenses. Unauthorized users may be able to get onto your organization's network through your computer!
モデムは特別担保危険を提示します。 多くのネットワークが公衆通信回線から正面攻撃を防ぐように設計された1セットの注意で保護されます。 また、モデムを使用するとき、あなたのコンピュータがそのようなネットワークに取り付けられるなら、あなたは注意しなければなりません。 *まだ*'安全な'ネットに関連づけられながらリモートネットワークに接続しているモデムを使用するのはかなり可能です。 あなたのコンピュータは現在、あなたのネットワークのディフェンスの穴として作動できます。 権限のないユーザはあなたのコンピュータを通してあなたの組織のネットワークに乗ることができるかもしれません!
Guttman, et. al. Informational [Page 8] RFC 2504 Users' Security Handbook February 1999
et Guttman、アル。 情報[8ページ]のRFC2504ユーザのセキュリティハンドブック1999年2月
Be sure you know what you are doing if you leave a modem on and set up your computer to allow remote computers to dial in. Be sure you use all available security features correctly. Many modems answer calls by default. You should turn auto-answer off unless you are prepared to have your computer respond to callers. Some 'remote access' software requires this. Be sure to turn on all the security features of your 'remote access' software before allowing your computer to be accessed by phone.
あなたがリモート・コンピュータが直通電話にかけるのを許容するためにコンピュータにモデムを残して、セットしたなら何をしているかを知っているのを確認してください。 正しくすべての利用可能なセキュリティ機能を使用するのを確認してください。 多くのモデムがデフォルトで呼び出しに答えます。 あなたのコンピュータを訪問者に反応させる用意ができていない場合、あなたは自動応答をオフにするべきです。 何らかの'遠隔アクセス'のソフトウェアがこれを必要とします。 あなたのコンピュータが電話によってアクセスされるのを許容する前に、'遠隔アクセス'のソフトウェアのすべてのセキュリティ機能を必ずつけてください。
Note that having an unlisted number will not protect you from someone breaking into your computer via a phone line. It is very easy to probe many phone lines to detect modems and then launch attacks.
電話帳に載っていない番号を持っているのが電話回線を通ってあなたのコンピュータに侵入しながらだれかから保護しないことに注意してください。 モデムを検出して、次に、攻撃に着手するために多くの電話回線を調べるのは非常に簡単です。
3.7 Don't Leave Me...
3.7はメイン州を出ません。
Do not leave a terminal or computer logged in and walk away. Use password-locked screensavers whenever possible. These can be set up so that they activate after the computer has been idle for a while.
端末かコンピュータをログインされたままにしないでください、そして、歩き去ってください。 可能であるときはいつも、パスワードでロックされたスクリーンセーバーを使用してください。 コンピュータがしばらく使用されていなくなっている後に彼らが動かすそうにこれらを設定できます。
Sinister as it may seem, someone coming around to erase your work is not uncommon. If you remained logged in, anyone can come by and perform mischief for which you may be held accountable. For example, imagine the trouble you could be in for if nasty Email were sent to the president of your company in your name, or your account were used to transfer illegal pornography.
不吉に見えるかもしれませんが、あなたの仕事を消すのを訪ねるだれかが珍しくはありません。 あなたがログインされたままで残っていたなら、だれでも、あなたが責任があるように保たれるかもしれないいたずらを通過して、実行できます。 例えば、あなたがあなたの名前であなたの会社の社長に不快なメールを送ったか、そして、アカウントのためにいるかもしれない問題が不法なポルノを移すのに使用されたと想像してください。
Anyone who can gain physical access to your computer can almost certainly break into it. Therefore, be cautious regarding who you allow access to your machine. If physically securing your machine is not possible, it is wise to encrypt your data files kept on your local hard disk. If possible, it is also wise to lock the door to one's office where the computer is stored.
あなたのコンピュータへの物理的なアクセスを得ることができるだれでもほぼ確実にそれに侵入できます。 したがって、あなたのマシンへのアクセスをだれに許すかに関して、用心深くいてください。 物理的にあなたのマシンを固定するのが可能でないなら、地元のハードディスクに保たれたあなたのデータファイルを暗号化するのは賢明です。 できれば、また、コンピュータが保存される人のオフィスへのドアをロックするのも賢明です。
3.8 File Protections
3.8のファイル保護
Data files and directories on shared systems or networked file systems require care and maintenance. There are two categories of such systems:
共有システムかネットワークでつながれたファイルシステムの上のデータファイルとディレクトリは注意とメインテナンスを必要とします。 そのようなシステムの2つのカテゴリがあります:
- Files to share
- 共有するファイル
Shared files may be visible to everyone or to a restricted group
of other users. Each system has a different way of specifying
this. Learn how to control sharing permissions of files and
implement such control without fail.
共有ファイルは皆、または、他のユーザの制限されたグループに目に見えるかもしれません。 各システムには、これを指定する異なった方法があります。 どのようにファイルの許容を共有しながら制御して、必ずそのようなコントロールを実装するか学んでください。
Guttman, et. al. Informational [Page 9] RFC 2504 Users' Security Handbook February 1999
et Guttman、アル。 情報[9ページ]のRFC2504ユーザのセキュリティハンドブック1999年2月
- Protected files
- 保護されたファイル
These include files that only you should have access to, but
which are also available to anyone with system administrator
privileges. An example of this are files associated with the
delivery of Email. You don't want other users to read your Email,
so make sure such files have all the necessary file permissions
set accordingly.
これらはあなただけが近づく手段を持っていますが、だれにとっても、またシステム管理者特権で利用可能であるべきファイルを含んでいます。 この例はメールの配送に関連しているファイルです。 他のユーザにあなたのメールを読んで欲しくないので、そのようなファイルでそれに従って、すべての必要なファイル許容を設定するのを確実にしてください。
3.9 Encrypt Everything
3.9はすべてを暗号化します。
Additionally, there are files that are private. You may have files
which you do not wish anyone else to have access to. In this case,
it is prudent to encrypt the file. This way, even if your network is
broken into or the systems administrator turns into Mr. Hyde, your
confidential information will not be available. Encryption is also
very important if you share a computer. For example, a home computer
may be shared by room mates who are friends but prefer to keep their
Email and financial information private. Encryption allows for
shared yet private usage.
さらに、個人的なファイルがあります。 あなたは他の誰にも近づく手段を持って欲しくないファイルを持つことができます。 この場合、ファイルを暗号化するのは慎重です。 この道、あなたのネットワークが侵入される、または上級システムアドミニストレータがハイドさんに変わっても、あなたの秘密情報は利用可能にならないでしょう。 また、あなたがコンピュータを共有するなら、暗号化も非常に重要です。 例えば、パソコンは友人ですが、彼らのメールと財務情報を個人的に保管するのを好むルームメイトによって共有されるかもしれません。 暗号化は共有されましたが、個人的な用法を考慮します。
Before you encrypt files, you should check your site's security
policy. Some employers and countries expressly forbid or restrict
the storing and/or transferring of encrypted files.
ファイルを暗号化する前に、あなたはあなたのサイトの安全保障政策をチェックするべきです。 雇い主と国の中には明白に暗号化されたファイルを保存、そして/または、移すことを禁じるか、または制限するものもあります。
Be careful with the passwords or keys you use to encrypt files.
Locking them away safely not only helps to keep them from prying eyes
but it will help you keep them secure too; for if you lose them, you
will lose your ability to decrypt your data as well! It may be wise
to save more than one copy. This may even be required, if your
company has a key escrow policy, for example. This protects against
the possibility that the only person knowing a pass phrase may leave
the company or be struck by lightning.
あなたがファイルを暗号化するのに使用するパスワードかキーに注意してください。 安全にそれらをしまい込むのは、詮索好きな目からそれらを妨げるのを助けるだけではありませんが、また、あなたがそれらを安全に保つのは助けるでしょう。 それらを失うと、あなたがまた、あなたのデータを解読する能力を失うので! コピー複数の部を保存するのは賢明であるかもしれません。 あなたの会社に例えばキーエスクロー方針があるなら、これが必要でさえあるかもしれません。 これはパス句を知っている唯一の人が退職するかもしれないか、または稲妻によって打たれる可能性から守ります。
Whilst encryption programs are readily available, it should be noted
that the quality can vary widely. PGP (which stands for "Pretty Good
Privacy") for example, offers a strong encryption capability. Many
common software applications include the capability to encrypt data.
The encryption facilities in these are typically very weak.
暗号化プログラムが容易に利用可能である間、品質がばらつきが大きいことができることに注意されるべきです。 PGP、(「プリティ・グッド・プライバシ」) 例えば、申し出のために強い暗号化能力に耐える。 多くの一般的なソフトウェアアプリケーションがデータを暗号化する能力を含んでいます。 通常、これらの暗号化施設は非常に弱いです。
You should not be intimidated by encryption software. Easy-to-use
software is being made available.
暗号化ソフトウェアはあなたを威圧するべきではありません。 使用しやすいソフトウェアを利用可能にしています。
3.10 Shred Everything Else
3.10は他の何もかもを細かく裂きます。
You would be surprised what gets thrown away into the waste-paper
basket: notes from meetings, old schedules, internal phone lists,
computer program listings, correspondence with customers and even
あなたは何が紙屑かごの中に捨てられるかに驚いているでしょう: ミーティング、古いスケジュール、内部の電話リスト、コンピュータ・プログラムから、リスト、顧客との通信に注意さえします。
Guttman, et. al. Informational [Page 10] RFC 2504 Users' Security Handbook February 1999
et Guttman、アル。 情報[10ページ]のRFC2504ユーザのセキュリティハンドブック1999年2月
market analyses. All of these would be very valuable to competitors,
recruiters and even an overzealous (hungry?) journalist looking for a
scoop. The threat of dumpster diving is real - take it seriously!
Shred all potentially useful documents before discarding them.
分析を売り出してください。 競争相手、リクルーター、およびスクープを探している熱心過ぎた(空腹な?)ジャーナリストにとってさえ、これらのすべてが非常に貴重でしょう。 大型ごみ箱ダイビングの脅威は本当です--真剣にそれを受け止めてください! それらを捨てる前に、すべての潜在的に役に立つドキュメントのシュレッダーにかけてください。
You should also be aware that deleting a file does not erase it in
many cases. The only way to be sure that an old hard disk does not
contain valuable data may be to reformat it.
また、あなたも多くの場合、ファイルを削除するのがそれを消さないのを意識しているべきです。 再フォーマットにはいかにも、古いハードディスクが貴重な資料を含まない唯一の方法があるかもしれません。それ。
3.11 What Program is This, Anyway?
3.11 This、AnywayはどんなProgramですか?
Programs have become much more complex in recent years. They are
often extensible in ways which may be dangerous. These extensions
make applications more flexible, powerful and customizable. They
also open the end-user up to all sorts of risks.
近年プログラムははるかに複雑になりました。 それらはしばしば危険であるかもしれない方法で広げることができます。 これらの拡大で、アプリケーションは、よりフレキシブルで、強力でカスタマイズ可能になります。 また、彼らはエンドユーザをいろいろなリスクまで開きます。
- A program may have "plug-in" modules. You should not trust the
plug-ins simply because you are used to trusting the programs
they plug into. For example: Some web pages suggest that the
user download a plug-in to view or use some portion of the web
page's content. Consider: What is this plug-in? Who wrote it?
Is it safe to include it in your web browser?
- プログラムには、「プラグイン」モジュールがあるかもしれません。 あなたは、単にそれらがプラグを差し込むプログラムを信じるのに慣れているので、プラグインを信じるべきではありません。 例えば: いくつかのウェブページが、ユーザがウェブページの内容の何らかの部分を見るか、または使用するためにプラグインをダウンロードするのを示します。 考えます: このプラグインは何ですか? だれがそれを書きましたか? あなたのウェブブラウザにそれを含んでいるのは安全ですか?
- Some files are "compound documents". This means that instead of
using one single program, it will be necessary to run several
programs in order to view or edit a document. Again, be careful
of downloading application components. Just because they
integrate with products which are well-known does not mean that
they can be trusted. Say, you receive an Email message which can
only be read if you download a special component. This component
could be a nasty program which wipes out your hard drive!
- いくつかのファイルが「コンパウンドドキュメント」です。 これは、1つの単一のプログラムを使用することの代わりにそれがドキュメントを見るか、または編集するために数個のプログラムを動かすために必要になることを意味します。 もう一度、アプリケーション構成要素をダウンロードするように注意してください。 ただ彼らが製品と統合するので、どれがよく知られるかがそれらを信じることができることを意味しません。 あなたが特別なコンポーネントをダウンロードする場合にだけ読むことができるメールメッセージを受け取ると言ってください。 このコンポーネントはあなたのハードドライブを破壊する不快なプログラムであるかもしれません!
- Some programs are downloaded automatically when accessing web
pages. While there are some safeguards to make sure that these
programs may be used safely, there have been security flaws
discovered in the past. For this reason, some centrally-
administered sites require that certain web browser capabilities
be turned off.
- ウェブページにアクセスするとき、自動的にいくつかのプログラムをダウンロードします。 これらのプログラムが安全に使用されるかもしれないのを確実にするためにいくつかの安全装置がある間、過去に発見されたセキュリティー・フローがあります。 この理由で、いくつかの中心で管理されたサイトが、あるウェブブラウザ能力がオフにされるのを必要とします。
4. Paranoia is Good
4. パラノイアはGoodです。
Many people do not realize it, but social engineering is a tool which many intruders use to gain access to computer systems. The general impression that people have of computer break-ins is that they are the result of technical flaws in computer systems which the intruders have exploited. People also tend to think that break-ins are purely technical. However, the truth is that social engineering plays a big
多くの人々はそれがわかりませんが、ソーシャルエンジニアリングは多くの侵入者がコンピュータ・システムへのアクセスを得るのに使用するツールです。人々がコンピュータによる不法侵害に持っている一般的な印象は彼らが侵入者が利用したコンピュータ・システムの技術的な欠点の結果であるということです。 また、人々は、不法侵入が純粋に技術的であると思う傾向があります。 しかしながら、真実はソーシャルエンジニアリングが大きくaをプレーするということです。
Guttman, et. al. Informational [Page 11] RFC 2504 Users' Security Handbook February 1999
et Guttman、アル。 情報[11ページ]のRFC2504ユーザのセキュリティハンドブック1999年2月
part in helping an attacker slip through security barriers. This often proves to be an easy stepping-stone onto the protected system if the attacker has no authorized access to the system at all.
攻撃者がセキュリティバリアを滑り抜けるのを助ける際に、離れてください。 攻撃者がどんな認可されたアクセスも全くシステムに持っていないなら、これは、しばしば簡単な飛び石であると保護されたシステムに立証します。
Social engineering may be defined, in this context, as the act of gaining the trust of legitimate computer users to the point where they reveal system secrets or help someone, unintentionally, to gain unauthorized access to their system(s). Using social engineering, an attacker may gain valuable information and/or assistance that could help break through security barriers with ease. Skillful social engineers can appear to be genuine but are really full of deceit.
ソーシャルエンジニアリングは定義されるかもしれません、このような関係においては、彼らがそれらのシステムへの不正アクセスを獲得するためにシステム秘密を明らかにするか、またはだれかを何気なく助けるところで肝心の正統のコンピュータユーザの信頼を獲得する行為として。 ソーシャルエンジニアリングを使用して、攻撃者は容易さでセキュリティバリアを突破するのを助けることができた貴重な情報、そして/または、支援を獲得するかもしれません。 巧みな社会工学者は、本物であるように見えることができますが、本当に偽りでいっぱいです。
Most of the time, attackers using social enginering work via telephone. This not only provides a shield for the attacker by protecting his or her identity, it also makes the job easier because the attacker can claim to be a particular someone with more chances of getting away with it.
たいてい、社会的なengineringを使用している攻撃者が電話を通して働いています。 これはその人のアイデンティティを保護することによって、シールドを攻撃者に提供するだけではありません、それで、また、攻撃者が、それをうまくやるというより多くの可能性をもっている特定のだれかであると主張できるので、仕事は、より簡単になります。
There are several types of social engineering. Here are a few examples of the more commonly-used ones:
ソーシャルエンジニアリングのいくつかのタイプがあります。 ここに、一般的に使用されたものに関するいくつかの例があります:
- An attacker may pretend to be a legitimate end-user who is new to
the system or is simply not very good with computers. This
attacker may approach systems administrators and other end-users
for help. This "user" may have lost his password, or simply can't
get logged into the system and needs to access the system
urgently. Attackers have also been known to identify themselves
as some VIP in the company, screaming at administrators to get
what they want. In such cases, the administrator (or it could be
an end-user) may feel threatened by the caller's authority and
give in to the demands.
- 攻撃者は、システムに新しいか、またはコンピュータによってそれほど絶対に良くない正統のエンドユーザであるふりをするかもしれません。 この攻撃者は助けを求めて上級システムアドミニストレータと他のエンドユーザに近づくかもしれません。 この「ユーザ」は彼のパスワードを失うことができなかったかもしれませんか、絶対にシステムとシステムに緊急にアクセスする必要性に登録させることができません。 また、攻撃者が、自分たちが会社でVIPであると認識するのが知られています、彼らが欲しいものを得るために管理者に金切り声を出して。 そのような場合、管理者(それはエンドユーザであるかもしれない)は、訪問者の権威によって脅かされると感じて、要求に屈するかもしれません。
- Attackers who operate via telephone calls may never even have seen
the screen display on your system before. In such cases, the
trick attackers use is to make details vague, and get the user to
reveal more information on the system. The attacker may sound
really lost so as to make the user feel that he is helping a
damsel in distress. Often, this makes people go out their way to
help. The user may then reveal secrets when he is off-guard.
- 通話で働いている攻撃者は以前、あなたのシステムの上でスクリーンディスプレイを一度も見たことさえないかもしれません。 そのような場合、攻撃者が使用するトリックは、詳細をあいまいにして、ユーザにシステムに関する詳しい情報を明らかにさせることです。 ユーザに彼が困った乙女を助けていると感じさせるように、攻撃者は本当に無くなるように聞こえるかもしれません。 しばしば、人々はこれで自分の近所に助けに行きます。 そして、彼が油断しているとき、ユーザは秘密を明らかにするかもしれません。
- An attacker may also take advantage of system problems that have
come to his attention. Offering help to a user is an effective
way to gain the user's trust. A user who is frustrated with
problems he is facing will be more than happy when someone comes
to offer some help. The attacker may come disguised as the
systems administrator or maintenance technician. This attacker
will often gain valuable information because the user thinks that
it is alright to reveal secrets to technicians. Site visits may
- また、攻撃者は彼の知るところとなったシステム問題を利用するかもしれません。 ユーザに助けようと申し出るのは、ユーザの信頼を獲得する効果的な方法です。 だれかが何らかの助けを提供するようになるとき、直面している問題で失望させられるユーザは十二分に幸福になるでしょう。 攻撃者は上級システムアドミニストレータかメインテナンス技術者に変装していた状態で来るかもしれません。 ユーザが、技術者に秘密を明らかにするのが問題ないと考えるので、この攻撃者はしばしば貴重な情報を獲得するでしょう。 査察はそうするかもしれません。
Guttman, et. al. Informational [Page 12] RFC 2504 Users' Security Handbook February 1999
et Guttman、アル。 情報[12ページ]のRFC2504ユーザのセキュリティハンドブック1999年2月
pose a greater risk to the attacker as he may not be able to make
an easy and quick get-away, but the risk may bring fruitful
returns if the attacker is allowed direct access to the system by
the naive user.
彼が遠くで到着させることができないかもしれませんが、簡単で迅速な攻撃者はナイーブなユーザによってシステムに直接アクセスを許されているならリスクが実り多いリターンをもたらすかもしれないような攻撃者により高い危険を引き起こしてください。
- Sometimes, attackers can gain access into a system without prior
knowledge of any system secret nor terminal access. In the same way
that one should not carry someone else's bags through Customs, no user
should key in commands on someone's behalf. Beware of attackers who
use users as their own remotely-controlled fingers to type commands on
the user's keyboard that the user does not understand, commands which
may harm the system. These attackers will exploit system software
bugs and loopholes even without direct access to the system. The
commands keyed in by the end-user may bring harm to the system, open
his own account up for access to the attacker or create a hole to
allow the attacker entry (at some later time) into the system. If you
are not sure of the commands you have been asked to key in, do not
simply follow instructions. You never know what and where these could
lead to...
- 攻撃者は、時々、予備知識なしにどんなシステムのシステムへのアクセスにも秘密を獲得して、アクセサリーを端末に獲得できます。 同様に、その税関を通して他の誰かのバッグを運ぶべきでなくて、どんなユーザもだれかに代わったコマンドにおけるキーがそうするべきではありません。 ユーザが分からないのをそれら自身のが指を離れて制御したのでユーザを使用する攻撃者にユーザのキーボードにおけるタイプコマンドに注意してください、システムに害を及ぼすかもしれないコマンド。 これらの攻撃者は直接アクセスがなくてもシステムソフトバグと抜け穴をシステムに利用するでしょう。 エンドユーザによって中のように合わせられたコマンドは、害をシステムにもたらすか、攻撃者へのアクセスのために彼自身のアカウントを開けるか、または攻撃者エントリーを許容するために穴をシステムに作成するかもしれません(何らかの後の時間に)。 キーがあなたに尋ねられたコマンドを確信していないなら、絶対に指示に従わないでください。 これらは何とどこに決して導かないんでしょう?…
To guard against becoming a victim of social engineering, one important thing to remember is that passwords are secret. A password for your personal account should be known ONLY to you. The systems administrators who need to do something to your account will not require your password. As administrators, the privileges they have will allow them to carry out work on your account without the need for you to reveal your password. An administrator should not have to ask you for your password.
ソーシャルエンジニアリングの犠牲者にならないように警備するために、思い出す1つの重要なものはパスワードが秘密であるということです。 あなたの個人口座のためのパスワードはあなただけにおいて知られているべきです。 あなたのアカウントを興奮する必要がある上級システムアドミニストレータはあなたのパスワードを必要としないでしょう。 管理者として、それらが持っている特権で、彼らはあなたがパスワードを明らかにする必要性なしであなたのアカウントに対する仕事を行うことができるでしょう。 管理者はあなたのパスワードをあなたに求める必要はないはずです。
Users should guard the use of their accounts, and keep them for their own use. Accounts should not be shared, not even temporarily with systems administrators or systems maintenance techinicians. Most maintenance work will require special privileges which end-users are not given. Systems administrators will have their own accounts to work with and will not need to access computer systems via an end-user's account.
ユーザは、彼らのアカウントの使用を警備して、それら自身の使用のためにそれらを保つべきです。 一時ないさえ上級システムアドミニストレータかシステムメインテナンスtechiniciansとアカウントを共有するべきではありません。 ほとんどの保守作業がエンドユーザが与えられていない特権を必要とするでしょう。 上級システムアドミニストレータは、働いているそれら自身のアカウントを持って、エンドユーザのアカウントでコンピュータ・システムにアクセスする必要はないでしょう。
Systems maintenance technicians who come on site should be accompanied by the local site administrator (who should be known to you). If the site administrator is not familiar to you, or if the technician comes alone, it is wise to give a call to your known site administrator to check if the technician should be there. Yet, many people will not do this because it makes them look paranoid and it is embarrassing to show that they have no, or little trust in these visitors.
サイトをつくシステムメインテナンス技術者はローカル・サイトの管理者(あなたにとって知られているべきである)によって同伴されるべきです。 あなたには、サイトの管理者が詳しくないか、または技術者が単独で新進であるなら、技術者がそこにいるべきであるかどうかチェックするためにあなたの知られているサイトの管理者に電話をするために賢明です。 しかし、彼らをパラノイアに見せるので、多くの人々はこれをしないでしょう、そして、彼らがこれらの訪問者にほとんどいいえ、または信頼を持っていないのを示すのは恥ずかしいです。
Guttman, et. al. Informational [Page 13] RFC 2504 Users' Security Handbook February 1999
et Guttman、アル。 情報[13ページ]のRFC2504ユーザのセキュリティハンドブック1999年2月
Unless you are very sure that the person you are speaking to is who he or she claims to be, no secret information should ever be revealed to such people. Sometimes, attackers may even be good enough to make themselves sound like someone whose voice you know over the phone. It is always good to double check the identity of the person. If you are unable to do so, the wisest thing to do is not to reveal any secrets. If you are a systems administrator, there should be security procedures for assignment and reassignment of passwords to users, and you should follow such procedures. If you are an end-user, there should not be any need for you to have to reveal system secrets to anyone else. Some companies assign a common account to multiple users. If you happen to be in such a group, make sure you know everyone in that group so you can tell if someone who claims to be in the group is genuine.
あなたがあなたが話している人がその人が主張する人であることをそれほど確信していない場合、今までに、そのような人々に秘密の情報を全く明らかにするべきではありません。 時々、攻撃者は自分たちをあなたが電話で声を知っているだれかのように聞こえさせることができるくらい良くさえあるかもしれません。 いつも倍にする利益が人のアイデンティティをチェックするということです。 あなたがそうすることができないなら、する中で最も賢明なことはどんな秘密も明らかにしないことです。 あなたが上級システムアドミニストレータであるなら、ユーザへのパスワードの課題と再割当てのためのセキュリティ手順があるべきです、そして、あなたはそのような手順に従うべきです。 あなたがエンドユーザであるなら、あなたがシステム秘密を他の誰にも明らかにしなければならない少しの必要もあるべきではありません。 一般的なアカウントを複数のユーザに割り当てる会社もあります。 そのようなグループにたまたまいるなら、グループにはいると主張するだれかが本物であるかどうか言うことができるようにそのグループで皆を必ず知ってください。
Part Three: End-users self administering a networked computer
パートThree: ネットワーク・コンピュータを管理するエンドユーザ自己
The home user or the user who administers his own network has many of the same concerns as a centrally-administered user. The following is a summary of additional advice given in Part Three:
家庭でのユーザか彼自身のネットワークを管理するユーザが中心で管理されたユーザと同じ関心の多くを持っています。 ↓これはPart Threeで与えられた追加アドバイスの概要です:
- Read manuals to learn how to turn on security features, then turn
them on.
- Consider how private your data and Email need to be. Have you
invested in privacy software and learned how to use it yet?
- Prepare for the worst in advance.
- Keep yourself informed about what the newest threats are.
- マニュアルを読んで、セキュリティ機能をつける方法を学んで、次に、それらをつけてください。 - データとメールが、どれくらい個人的である必要であるか考えてください。 あなたは、プライバシーソフトウェアに投資して、まだそれを使用していない方法を学びましたか? - あらかじめ、最悪の用意をしてください。 - 最も新しい脅威が何であるかに関して自分に知らせ続けてください。
5. Make Your Own Security Policy
5. あなた自身の安全保障政策を作ってください。
You should decide ahead of time what risks are acceptable and then stick to this decision. It is also wise to review your decision at regular intervals and whenever the need to do so arises. It may be wise to simply avoid downloading any software from the network which comes from an unknown source to a computer storing business records, other valuable data and data which is potentially damaging if the information was lost or stolen.
あなたは、早めに、どんなリスクが許容できるかを決めて、次に、この決定に執着するべきです。 また、一定の間隔を置いて、そうする必要性が起こるときはいつも、あなたの決定を見直すのも賢明です。 情報が失われたか、または盗まれたなら業務記録、他の貴重な資料、および潜在的にダメージが大きいデータを保存しながら未知の情報源からコンピュータに来るネットワークからどんなソフトウェアもダウンロードするのを単に避けるのは賢明であるかもしれません。
If the system has a mixed purpose, say recreation, correspondence and some home accounting, perhaps you will hazard some downloading of software. You unavoidably take some risk of acquiring stuff which is not exactly what it seems to be.
システムに複雑な目的があるなら、レクリエーション、通信、および何らかのホーム会計を言ってください、そして、恐らく、あなたはソフトウェアのいくつかのダウンロードを危険にさらすでしょう。 あなたはやむを得ずそれがまさにものでないように思える取得ものの何らかの危険を冒します。
It may be worthwhile installing privacy software on a computer if it is shared by multiple users. That way, a friend of a room mate won't have access to your private data, and so on.
それが複数のユーザによって共有されるならプライバシーソフトウェアをコンピュータの上にインストールする価値があるかもしれません。 そのように、ルームメイトの友人はあなたの個人的なデータなどに近づく手段を持たないでしょう。
Guttman, et. al. Informational [Page 14] RFC 2504 Users' Security Handbook February 1999
et Guttman、アル。 情報[14ページ]のRFC2504ユーザのセキュリティハンドブック1999年2月
6. Bad Things Happen
6. 悪いことは起こります。
If you notice that your files have been modified or ascertain somehow that your account has been used without your consent, you should inform your security point-of-contact immediately. When you do not know who your security point-of-contact is, try calling your Internet service provider's help desk as a first step.
あなたのファイルが変更されたのに気付くか、またはあなたのアカウントがあなたの同意なしで使用されたのをどうにか確かめるなら、あなたはすぐに、セキュリティ連絡先を知らせるべきです。 あなたのセキュリティ連絡先がだれであるかを知らないとき、第一歩としてインターネット接続サービス業者のヘルプデスクに電話をしてみてください。
6.1 How to Prepare for the Worst in Advance
6.1 あらかじめ最悪の用意をする方法
- Read all user documentation carefully. Make sure that it is clear
when services are being run on your computer. If network services
are activated, make sure they are properly configured (set all
permissions so as to prevent anonymous or guest logins, and so
on). Increasingly, many programs have networking capabilities
built in to them. Learn how to properly configure and safely use
these features.
- すべてのユーザドキュメンテーションを注意して読んでください。 サービスがいつあなたのコンピュータで実行されているかが、明確であることを確実にしてください。 ネットワーク・サービスが活性であるなら、それらが適切に構成されるのを(匿名かゲストログインなどを防ぐためにすべての許容を設定してください)確実にしてください。 ますます、多くのプログラムで、ネットワーク能力をそれらに築き上げます。 どのように適切にこれらの特徴を構成して、安全に使用するか学んでください。
- Back up user data. This is always important. Backups are
normally thought of as a way of ensuring you will not lose your
work if a hard disk fails or if you make a mistake and delete a
file. Backing up is also critical to insure that data cannot be
lost due to a computer security incident. One of the most vicious
and unfortunately common threats posed by computer viruses and
Trojan Horse programs is erasing a computer's hard disk.
- 利用者データを支援してください。 これはいつも重要です。 あなたがハードディスクが失敗するとあなたを確実にする方法が会社をしくじらないか、誤りをして、またはファイルを削除するなら、通常、バックアップは思われます。 また、裏刷も、コンピュータセキュリティインシデントのためデータを失うことができないのを保障するために重要です。 コンピュータウイルスとトロイの木馬プログラムで引き起こされた最も悪質で残念ながら一般的な脅威の1つはコンピュータのハードディスクを消しています。
- Obtain virus checking software or security auditing tools. Learn
how to use them and install them before connecting to a public
network. Many security tools require that they be run on a
"clean" system, so that comparisons can be made between the
present and pristine states. Thus, it is necessary for some work
to be done ahead of time.
- ウイルスチェックソフトかセキュリティ監査ツールを入手してください。 公衆通信回線に接続する前にどのようにそれらを使用して、それらをインストールするか学んでください。 多くのセキュリティツールが、それらが「清潔な」システムに実行されるのを必要とします、現在の、そして、初期の州の間で比較をすることができるように。 したがって、それが早めに、いくらかのやるべき仕事に必要です。
- Upgrade networking software regularly. As new versions of
programs come out, it is prudent to upgrade. Security
vulnerabilities will likely have been fixed. The longer you wait
to do this, the greater the risk that security vulnerabilities of
the products will be become known and be exploited by some network
assailant. Keep up to date!
- ネットワークソフトウェアを定期的にアップグレードさせてください。 プログラムの新しいバージョンが出て来るとき、アップグレードするのは慎重です。 セキュリティの脆弱性はおそらく修理されてしまうでしょう。 これをするのをより長く待てば待つほど、なる製品のセキュリティの脆弱性がそうであるリスクは、より高いです。知られるようになってください、そして、ネットワーク攻撃者によって利用されてください。 最新のままでいてください!
- Find out who to contact if you suspect trouble. Does your
Internet Service Provider have a security contact or Help Desk?
Investigate this before trouble happens so you won't lose time
trying to figure it out should trouble occur. Keep the contact
information both online and offline for easy retrieval.
- 問題を疑うなら、だれに連絡するか調べてください。 あなたのインターネットサービスプロバイダには、セキュリティ接触かヘルプDeskがありますか? 問題が起こる前に問題が起こるならそれを見積もろうとしながら時間を失わないようにこれを調査してください。 オンラインで、かつ簡単な検索においてオフラインに問い合わせ先を保ってください。
Guttman, et. al. Informational [Page 15] RFC 2504 Users' Security Handbook February 1999
et Guttman、アル。 情報[15ページ]のRFC2504ユーザのセキュリティハンドブック1999年2月
There are 3 ways to avoid problems with viruses:
ウイルスに関する問題を避ける3つの方法があります:
1. Don't be promiscuous
1. 無差別にしないでください。
If at all possible, be cautious about what software you install on
your system. If you are unaware of or unsure of the origin of a
program, it is wise not to run it. Obtain software from trusted
sources. Do not execute programs or reboot using old diskettes
unless you have reformatted them, especially if the old diskettes
have been used to bring software home from a trade show and other
potentially security-vulnerable places.
できれば、あなたのシステムの上にどんなソフトウェアをインストールするかに関して、用心深くいてください。 あなたはプログラムの発生源が気づかないか、または不確かであるなら、それを実行しないのが賢明です。 信頼できるソースからソフトウェアを入手してください。 プログラムを実行しないでください、またはそれらを再フォーマットしていないなら古いディスケットを使用することでリブートしないでください、特に古いディスケットが見本市と他の潜在的にセキュリティ被害を受け易い場所からソフトウェアホームを持って来るのに使用されたなら。
Nearly all risk of getting infected by viruses can be eliminated
if you are extremely cautious about what files are stored on your
computer. See "The Dangers of Downloading" for more details.
どんなファイルがあなたのコンピュータで保存されるかに関してあなたが非常に用心深いなら、ウイルスで感染するほとんどすべての危険を排除できます。 その他の詳細に関して「ダウンロードするという危険」を見てください。
2. Scan regularly.
2. 定期的にスキャンしてください。
Give your system a regular check-up. There are excellent
virus checking and security audit tools for most computer
platforms available today. Use them, and if possible, set them to
run automatically and regularly. Also, install updates of these
tools regularly and keep yourself informed of new virus threats.
定期検査をシステムに与えてください。 今日利用可能なほとんどのコンピュータプラットホームには素晴らしいウイルスの照合とセキュリティ監査ツールがあります。 それらを使用してください、そして、できれば、それらに自動的に、そして定期的に稼働するように設定してください。 また、定期的にこれらのツールのアップデートをインストールしてください、そして、新種のウイルスの脅威について自分に知らせ続けてください。
3. Notice the unusual.
3. 珍しさに注意してください。
It's not true that a difference you cannot detect is no difference
at all, but it is a good rule of thumb. You should get used to
the way your system works. If there is an unexplainable change
(for instance, files you believe should exist are gone, or strange
new files are appearing and disk space is 'vanishing'), you should
check for the presense of viruses.
あなたが検出できない違いが全く違いでないことが真ではありませんが、それは良い経験則です。 あなたはあなたのシステムが動作する方法に慣れるべきです。 説明できない変化があれば(奇妙な新しいファイルは現れています、そして、例えば、あなたが存在するはずであると信じているファイルがないか、または椎間腔は'消え失せている')、あなたはウイルスの「前-感覚」がないかどうかチェックするべきです。
You should take some time to be familiar with computer virus detection tools available for your type of computer. You should use an up-to-date tool (i.e. not older than three months). It is very important to test your computer if you have been using shared software of dubious origin, someone else's used floppy disks to transfer files, and so on.
あなたは、コンピュータウィルス検出ツールが利用可能な状態であなたのコンピュータのタイプにおいてよく知られるようにいくらかの時間をかけるべきです。 あなたは(すなわち、3カ月ほど古くない)で最新のツールを使用するべきです。 あなたが疑わしい発生源(ファイルなどを移す他の誰かの中古のフロッピーディスク)の共有されたソフトウェアを使用しているなら、あなたのコンピュータを検査するために非常に重要です。
6.2 What To Do if You Suspect Trouble
6.2 あなたが問題を疑うならそうするべきこと
If you suspect that your home computer has a virus, that a malicious program has been run, or that a system has been broken into, the wisest course of action is to first disconnect the system from all networks. If available, virus detection or system auditing software should be used.
あなたが、あなたのパソコンがウイルスにかかっているか、不正プログラムが動かされたか、またはシステムが侵入されたと疑うなら、最も賢明な行動は最初にすべてのネットワークからシステムから切断することです。 利用可能であるなら、ウイルス検出かシステム監査ソフトウェアが使用されるべきです。
Guttman, et. al. Informational [Page 16] RFC 2504 Users' Security Handbook February 1999
et Guttman、アル。 情報[16ページ]のRFC2504ユーザのセキュリティハンドブック1999年2月
Checking vital system files for corruption, tampering or malicious replacement is very tedious work to do by hand. Fortunately there are many virus detection programs available for PCs and Macintosh computers. There are security auditing programs available for UNIX-based computers. If software is downloaded from the network, it is wise to run virus detection or auditing tools regularly.
不正がないかどうか重大なシステムファイルをチェックして、改ざんか悪意がある交換が手でしなければならない非常に退屈な仕事です。 幸い、PCとマッキントッシュのコンピュータに利用可能な多くのウイルス検出プログラムがあります。 UNIXベースのコンピュータに利用可能なセキュリティー監査プログラムがあります。 ネットワークからソフトウェアをダウンロードするなら、定期的にウイルス検出か監査ツールを動かすのは賢明です。
If it becomes clear that a home system has been attacked, it is time to clean up. Ideally, a system should be rebuilt from scratch. This means erasing everything on the hard disk. Next, install the operating system and then all additional software the system needs. It is best to install the operating system and additional software from the original distribution diskettes or CD-roms, rather than from backup storage. The reason for this is that a system may have been broken into some time ago, so the backed up system or program files may already include some altered files or viruses. Restoring a system from scratch is tedious but worthwhile. Do not forget to re-install all security related fixes you had installed before the security incident. Obtain these from a verified, unsuspicious source.
ホームシステムが攻撃されたのが明確になるなら、もう掃除するべき時間です。 理想的に、システムは最初から、再建されるべきです。 これは、ハードディスクの上のすべてを消すことを意味します。 次に、オペレーティングシステムをインストールして、次に、システムが必要とするすべての付加ソフトウェアをインストールしてください。 原分布ディスケットかバックアップ記憶装置からというよりむしろCD-romsからオペレーティングシステムと付加ソフトウェアをインストールするのは最も十分です。 この理由がシステムが先頃侵入されたかもしれないということであるので、支援されたシステムかプログラムファイルが既にいくつかの変えられたファイルかウイルスを含むかもしれません。 最初からシステムを復旧する、退屈ですが、価値があります。 あなたがセキュリティインシデントの前にインストールしたすべてのセキュリティ関連するフィックスを再インストールするのを忘れないでください。 確かめられたunsuspiciousソースからこれらを得てください。
6.3 Email
6.3 メール
Remember to be careful with saved Email. Copies of sent or received Email (or indeed any file at all) placed in storage provided by an Internet service provider may be vulnerable. The risk is that someone might break into the account and read the old Email. Keep your Email files, indeed any sensitive files, on your home machine.
取っておかれたメールに慎重であることを覚えていてください。 インターネット接続サービス業者によって提供されたストレージに置かれた送られたか受け取られていているメール(または、本当に全くどんなファイルも)のコピーは被害を受け易いかもしれません。 リスクはだれかがアカウントに侵入して、古いメールを読むかもしれないということです。 ホームマシンの上に本当に、メールがファイル、あらゆる機密のファイルであることを保ってください。
7. Home Alone
7. ホームだけ
A home system can be broken into over the Internet if a home user is unwary. The files on the home system can be stolen, altered or destroyed. The system itself, if compromised, could be accessed again some time in the future. This section describes issues and makes recommendations relevant to a home user of the Internet.
家庭でのユーザが不注意であるなら、インターネットの上でホームシステムに侵入できます。 ホームシステムのファイルを盗むか、変更されるか、または破壊できます。 感染されるなら、システム自体は将来、いつか、再びアクセスされているかもしれません。 このセクションは、問題について説明して、推薦状をインターネットの家庭でのユーザに関連するようにします。
7.1 Beware of Daemons
7.1はデーモンに注意します。
A home system which uses PPP to connect directly to the Internet is increasingly common. These systems are at the greatest risk if they run certain kinds of programs called "services". If you run a service, you are in effect making your computer available to others across the network. Some services include:
直接インターネットに接続するのにPPPを使用するホームシステムはますます一般的です。 「サービス」と呼ばれるある種類に関するプログラムを動かすなら、最も高いリスクにはこれらのシステムがあります。 サービスを実行するなら、あなたは、あなたのコンピュータをネットワークの向こう側に他のものにとって利用可能にしながら、有効です。 いくつかのサービスは:
- File servers (an NFS server, a PC with 'file sharing' turned on) - An FTP server - A Web server
- ファイルサーバー(NFSサーバ、'ファイル共有'があるPCはついた)--FTPサーバ--ウェブサーバ
Guttman, et. al. Informational [Page 17] RFC 2504 Users' Security Handbook February 1999
et Guttman、アル。 情報[17ページ]のRFC2504ユーザのセキュリティハンドブック1999年2月
There are, in general, two types of programs which operate on the Internet: Clients (like web browsers and Email programs) and Servers (like web servers and mail servers).
一般に、インターネットを作動させる2つのタイプに関するプログラムがあります: クライアント(ウェブブラウザが好きであり、プログラムをメールします)とServers(ウェブサーバーとメールサーバのような)。
Most software which runs on home systems is of the client variety; but, increasingly, server software is available on traditionally client platforms (e.g., PCs). Server software which runs in the background is referred to as a "daemon" (pronounced dee-mon). Many Internet server software programs that run as daemons have names that end in `d', like "inetd" (Internet Daemon) and "talkd" (Talk Daemon). When set to run, these programs wait for clients to request some particular service from across the network.
ホームシステムで動くほとんどのソフトウェアがクライアントのバラエティーのものです。 しかし、ますます、サーバソフトウェアは伝統的にクライアントプラットホーム(例えば、PC)で利用可能です。 バックグラウンドへ駆け込むサーバソフトウェアが「デーモン」(ディー-monであると断言される)と呼ばれます。 'デーモンに終わる名前があるとき動く多くのインターネット・サーバソフトウェアプログラムはそうするでしょう'、"inetd"(インターネットDaemon)と"talkd"のように(Daemonについて話してください)。 稼働するように設定されるとき、これらのプログラムは、クライアントがネットワークから何らかの特定のサービスを要求するのを待っています。
There are four very important things to keep in mind as far as the security implications of running services on a home computer are concerned.
パソコンにおける実行しているサービスのセキュリティ含意に関する限り、覚えておく4つの非常に重要なことがあります。
- First and most important, if a server is not properly configured,
it is very vulnerable to being attacked over a network. It is
vital, if you run services, to be familiar with the proper
configuration. This is often not easy, and may require training
or technical expertise.
- 1番目で最も重要です、サーバが適切に構成されないなら、ネットワークの上で攻撃されるのに非常に被害を受け易いです。 あなたが適切な構成によく知られるようにサービスを実行するなら、重大です。 これは、しばしば簡単であるというわけではなく、トレーニングか技術的専門知識を必要とするかもしれません。
- All software has flaws, and flaws exploited deviously can be used
to breach computer security. If you run a server on your home
machine, you have to stay aware. This requires work: You have to
stay in touch with the supplier of the software to get security
updates. It is highly recommended that you keep up with security
issues through on-line security forums. See [RFC2196] for a list
of references.
- すべてのソフトウェアには、欠点があります、そして、コンピュータセキュリティを破るのにまわりくどく利用された欠点は使用できます。 あなたのホームマシンにサーバを実行するなら、あなたは意識しているままでなければなりません。 これは仕事を必要とします: あなたは、セキュリティアップデートを得るためにソフトウェアの供給者と連絡を保たなければなりません。 オンラインセキュリティフォーラムを通って安全保障問題について行くのは非常にお勧めです。参考文献一覧に関して[RFC2196]を見てください。
If security flaws in your server software are discovered, you will
need to either stop using the software or apply "patches" or
"fixes" which eliminate the vulnerability. The supplier of the
software, if it is a decent company or freeware author, will
supply information and updates to correct security flaws. These
"patches" or "fixes" must be installed as soon as possible.
あなたのサーバソフトウェアのセキュリティー・フローが発見されると、あなたは、ソフトウェアを使用するのを止めるか、または脆弱性を排除する「パッチ」か「フィックス」を申し込む必要があるでしょう。 ソフトウェアの供給者はそれがまともな会社かフリーウェア作者であるなら情報とアップデートを正しいセキュリティー・フローに供給するでしょう。 できるだけ早く、これらの「パッチ」か「フィックス」をインストールしなければなりません。
- As a rule of thumb, the older the software, the greater the chance
that it has known vulnerabilities. This is not to say you should
simply trust brand new software either! Often, it takes time to
discover even obvious security flaws in servers.
- 原則として、親指では、ソフトウェアが古ければ古いほど、脆弱性を知っていたという機会は、より大きいです。 これは、あなたが単に真新しいソフトウェアを信じるべきであると言わないためのものです! しばしば、サーバの明白なセキュリティー・フローさえ発見するには時間がかかります。
- Some servers start up without any warning. There are some web
browsers and telnet clients which automatically start FTP servers
if not explicitly configured to not do so. If these servers are
not themselves properly configured, the entire file system of the
home computer can become available to anyone on the Internet.
- いくつかのサーバが少しも警告なしで始動します。 何人かのウェブブラウザがありました、そして、そうでなければ自動的に明らかにFTPサーバを始めるtelnetクライアントはそうしないのを構成しました。 これらのサーバが自分たちでないなら、適切に構成されていて、パソコンのファイル全体システムはインターネットでだれにとっても利用可能になることができます。
Guttman, et. al. Informational [Page 18] RFC 2504 Users' Security Handbook February 1999
et Guttman、アル。 情報[18ページ]のRFC2504ユーザのセキュリティハンドブック1999年2月
In general, any software MAY start up a network daemon. The way to be safe here is to know the products you are using. Read the manual, and if any questions arise, call the company or mail the author of free software to find out if you are actually running a service by using the product.
一般に、どんなソフトウェアもネットワークデーモンを立ち上げるかもしれません。 ここで安全になる方法はあなたが使用している製品を知ることです。 マニュアルを読んでください、そして、何か質問が起こるなら、実際に製品を使用することによってサービスを実行しているなら、会社かメールを見つけるフリーソフトウェアの作者と呼んでください。
A home user running a remote login service on his home machine faces very serious risks. This service allows the home user to log in to his home machine from other computers on the Internet and can be quite convenient. But the danger is that someone will secretly observe the logging in and then be able to masquerade as the user whenever they choose to do so in the future. See "The Wires Have Ears" which suggests precautions to take for remote log in.
彼のホームマシンにリモート・ログインサービスを実行する家庭でのユーザは非常に重大な危険に直面しています。 このサービスは、家庭でのユーザがインターネットで他のコンピュータから彼のホームマシンにログインするのを許容して、かなり便利である場合があります。 しかし、危険は彼らが、将来そうするのを選ぶときはいつも、だれかが秘かにログインを観測して、次に、ユーザのふりをすることができるということです。 リモートログインに取るために「ワイヤには、耳がある」という(示されます)注意を見てください。
If possible, activate all "logging" options in your server software which relate to security. You need to review these logs regularly in order to gain any benefit from this logging. You should also be aware that logs often grow very quickly in size, so you need to be careful they don't fill up your hard disk!
できれば、サーバソフトウェアにおけるセキュリティに関連するすべての「伐採」オプションを起動してください。 あなたは、この伐採からどんな利益も獲得するために定期的にこれらのログを再検討する必要があります。 また、ログがサイズに非常に急速にしばしば生えているのを意識しているべきであるので、あなたは、あなたのハードディスクを満たさないのに慎重である必要があります!
7.2 Going Places
7.2 あちこち旅行すること。
Remote logins allow a user privileged access onto physically remote systems from the comfort of his own home.
リモート・ログインは彼自身のホームの安らぎから物理的にリモートなシステムにユーザ特権的アクセスを許容します。
More and more companies are offering their employees the ability to work from home with access to their computer accounts through dial-up connections. As the convenience of Internet connectivity has led to lowered costs and wide-spread availability, companies may allow remote login to their systems via the Internet. Customers of companies with Internet access may also be provided with remote login accounts. These companies include Internet service providers, and even banks. Users should be very careful when making remote logins.
More and more companies are offering their employees the ability to work from home with access to their computer accounts through dial-up connections. As the convenience of Internet connectivity has led to lowered costs and wide-spread availability, companies may allow remote login to their systems via the Internet. Customers of companies with Internet access may also be provided with remote login accounts. These companies include Internet service providers, and even banks. Users should be very careful when making remote logins.
As discussed in "The Wires have Ears" section, Internet connections can be eavesdropped on. If you intend to use a remote login service, check that the connection can be done securely, and make sure that you use the secure technologies/features.
As discussed in "The Wires have Ears" section, Internet connections can be eavesdropped on. If you intend to use a remote login service, check that the connection can be done securely, and make sure that you use the secure technologies/features.
Connections may be secured using technologies like one-time passwords, secure shell (SSH) and Secure Sockets Layer (SSL). One- time passwords make a stolen password useless to steal, while secure shell encrypts data sent over the connection. Please refer to "Don't Get Caught in the Web" for a discussion on SSL. Secure services such as these have to be made available on the systems to which you log in remotely.
Connections may be secured using technologies like one-time passwords, secure shell (SSH) and Secure Sockets Layer (SSL). One- time passwords make a stolen password useless to steal, while secure shell encrypts data sent over the connection. Please refer to "Don't Get Caught in the Web" for a discussion on SSL. Secure services such as these have to be made available on the systems to which you log in remotely.
Guttman, et. al. Informational [Page 19] RFC 2504 Users' Security Handbook February 1999
Guttman, et. al. Informational [Page 19] RFC 2504 Users' Security Handbook February 1999
7.3 Secure It!
7.3 Secure It!
Administering your own home computer means you get to choose what software is run on it. Encryption software provides protection for data. If you keep business records and other sensitive data on your computer, encryption will help to keep it safe. For example, if you ran a network service from your home computer and missed setting restrictions on a private directory, a remote user (authorized or not) may gain access to files in this private directory. If the files are encrypted, the user will not be able to read them. But as with all forms of encryption running on any system, the keys and passwords should first be kept safe!
Administering your own home computer means you get to choose what software is run on it. Encryption software provides protection for data. If you keep business records and other sensitive data on your computer, encryption will help to keep it safe. For example, if you ran a network service from your home computer and missed setting restrictions on a private directory, a remote user (authorized or not) may gain access to files in this private directory. If the files are encrypted, the user will not be able to read them. But as with all forms of encryption running on any system, the keys and passwords should first be kept safe!
8. A Final Note
8. A Final Note
This document has provided the reader with an introduction and as much concise detail as possible. Present security issues go out of date quickly, and although effort has been made to keep discussions general, examples given may not be relevant in the future as the Internet and computer industry continue to grow.
This document has provided the reader with an introduction and as much concise detail as possible. Present security issues go out of date quickly, and although effort has been made to keep discussions general, examples given may not be relevant in the future as the Internet and computer industry continue to grow.
Just as home-owners are now taking increased cautions at the expense of convenience, to secure their homes in the changing world we live in, computer network users should not ignore security. It may be inconvenient, but it is always better to be safe than sorry.
Just as home-owners are now taking increased cautions at the expense of convenience, to secure their homes in the changing world we live in, computer network users should not ignore security. It may be inconvenient, but it is always better to be safe than sorry.
Guttman, et. al. Informational [Page 20] RFC 2504 Users' Security Handbook February 1999
Guttman, et. al. Informational [Page 20] RFC 2504 Users' Security Handbook February 1999
Appendix: Glossary of Security Terms
Appendix: Glossary of Security Terms
Acceptable Use Policy (AUP)
Acceptable Use Policy (AUP)
A set of rules and guidelines that specify in more or less detail
the expectations in regard to appropriate use of systems or
networks.
A set of rules and guidelines that specify in more or less detail the expectations in regard to appropriate use of systems or networks.
Account
Account
See (Computer) Account
See (Computer) Account
Anonymous and Guest Log In
Anonymous and Guest Log In
Services may be made available without any kind of authentication.
This is commonly done, for instance, with the FTP protocol to
allow anonymous access. Other systems provide a special account
named "guest" to provide access, typically restricting the
privileges of this account.
Services may be made available without any kind of authentication. This is commonly done, for instance, with the FTP protocol to allow anonymous access. Other systems provide a special account named "guest" to provide access, typically restricting the privileges of this account.
Auditing Tool
Auditing Tool
Tools to analyze computer systems or networks in regard to their
security status or in relation to the set of services provided by
them. COPS (Computer Oracle Password and Security analyzer) and
SATAN (Security Administrator's Tool for Analyzing Networks) are
famous examples of such tools.
Tools to analyze computer systems or networks in regard to their security status or in relation to the set of services provided by them. COPS (Computer Oracle Password and Security analyzer) and SATAN (Security Administrator's Tool for Analyzing Networks) are famous examples of such tools.
Authentication
Authentication
Authentication refers to mechanisms which are used to verify the
identity of a user. The process of authentication typically
requires a name and a password to be supplied by the user as proof
of his identity.
Authentication refers to mechanisms which are used to verify the identity of a user. The process of authentication typically requires a name and a password to be supplied by the user as proof of his identity.
Centrally-Administered Network
Centrally-Administered Network
A network of systems which is the responsibility of a single group
of administrators who are not distributed but work centrally to
take care of the network.
A network of systems which is the responsibility of a single group of administrators who are not distributed but work centrally to take care of the network.
Certificate
Certificate
Certificates are data which is used to verify digital signatures.
A certificate is only as trustworthy as the agency which issued
it. A certificate is used to verify a particular signed item,
such as an Email message or a web page. The digital signature,
the item and the certificate are all processed by a mathematical
Certificates are data which is used to verify digital signatures. A certificate is only as trustworthy as the agency which issued it. A certificate is used to verify a particular signed item, such as an Email message or a web page. The digital signature, the item and the certificate are all processed by a mathematical
Guttman, et. al. Informational [Page 21] RFC 2504 Users' Security Handbook February 1999
Guttman, et. al. Informational [Page 21] RFC 2504 Users' Security Handbook February 1999
program. It is possible to say, if the signature is valid, that
"According to the agency which issued the certificate, the signer
was (some name)".
program. It is possible to say, if the signature is valid, that "According to the agency which issued the certificate, the signer was (some name)".
Clean System
Clean System
A computer which has been freshly installed with its operating
system and software obtainied from trusted software distribution
media. As more software and configuration are added to a
computer, it becomes increasingly difficult to determine if the
computer is 'clean' or has been compromised by viruses, trojan
horse or misconfiguration which reduces the security of the
system.
A computer which has been freshly installed with its operating system and software obtainied from trusted software distribution media. As more software and configuration are added to a computer, it becomes increasingly difficult to determine if the computer is 'clean' or has been compromised by viruses, trojan horse or misconfiguration which reduces the security of the system.
Client
Client
Depending on the point of view, a client might be a computer
system which an end-user uses to access services hosted on another
computer system called a server. 'Client' may also refer to a
program or a part of a system that is used by an end-user to
access services provided by another program (for example, a web
browser is a client that accesses pages provided by a Web Server).
Depending on the point of view, a client might be a computer system which an end-user uses to access services hosted on another computer system called a server. 'Client' may also refer to a program or a part of a system that is used by an end-user to access services provided by another program (for example, a web browser is a client that accesses pages provided by a Web Server).
Compound Documents
Compound Documents
A 'document' is a file containing (a set of) data. Files may
consist of multiple parts: a plain document, an encrypted
document, a digitally-signed documents or a compressed document.
Multi-part files are known as compound documents and may require a
variety of programs to be used in order to interpret and
manipulate it. These programs may be used without the user's
knowledge.
A 'document' is a file containing (a set of) data. Files may consist of multiple parts: a plain document, an encrypted document, a digitally-signed documents or a compressed document. Multi-part files are known as compound documents and may require a variety of programs to be used in order to interpret and manipulate it. These programs may be used without the user's knowledge.
(Computer) Account
(Computer) Account
This term describes the authorization to access a specific
computer system or network. Each end-user has to use an account,
which consists most probably of a combination of user name and
password or another means of proving that the end-user is the
person the account is assigned to.
This term describes the authorization to access a specific computer system or network. Each end-user has to use an account, which consists most probably of a combination of user name and password or another means of proving that the end-user is the person the account is assigned to.
Configuring Network Services
Configuring Network Services
The part of an administrator's task that is related to specifying
the conditions and details of network services that govern the
service provision. In regard to a Web server, this includes which
Web pages are available to whom and what kind of information is
logged for later review purposes.
The part of an administrator's task that is related to specifying the conditions and details of network services that govern the service provision. In regard to a Web server, this includes which Web pages are available to whom and what kind of information is logged for later review purposes.
Guttman, et. al. Informational [Page 22] RFC 2504 Users' Security Handbook February 1999
Guttman, et. al. Informational [Page 22] RFC 2504 Users' Security Handbook February 1999
Cookies
Cookies
Cookies register information about a visit to a web site for
future use by the server. A server may receive information of
cookies of other sites as well which create concern in terms of
breach of privacy.
Cookies register information about a visit to a web site for future use by the server. A server may receive information of cookies of other sites as well which create concern in terms of breach of privacy.
Cracker
Cracker
This term is used to describe attackers, intruders or other bad
guys that do not play by the rules and try to circumvent security
mechanisms and/or attack individuals and organisations.
This term is used to describe attackers, intruders or other bad guys that do not play by the rules and try to circumvent security mechanisms and/or attack individuals and organisations.
Daemons (inetd, talkd, etc.)
Daemons (inetd, talkd, etc.)
These are processes that run on computer systems to provide
services to other computer systems or processes. Typically,
daemons are considered "servers".
These are processes that run on computer systems to provide services to other computer systems or processes. Typically, daemons are considered "servers".
Decrypting
Decrypting
The process of reversing the encryption of a file or message to
recover the original data in order to use or read it.
The process of reversing the encryption of a file or message to recover the original data in order to use or read it.
Default Account
Default Account
Some systems and server software come with preconfigured accounts.
These accounts may be set up with a predefined (user name and)
password to allow anyone access and are often put there to make it
convenient for users to login initially. Default accounts should
be turned off or have their predefined passwords changed, to
reduce the risk of abuse to the system.
Some systems and server software come with preconfigured accounts. These accounts may be set up with a predefined (user name and) password to allow anyone access and are often put there to make it convenient for users to login initially. Default accounts should be turned off or have their predefined passwords changed, to reduce the risk of abuse to the system.
Dial-in Service
Dial-in Service
A way of providing access to computer systems or networks via a
telecommunications network. A computer uses a modem to make a
telephone call to a another modem, which in turn provides 'network
access service'. See also: PPP.
A way of providing access to computer systems or networks via a telecommunications network. A computer uses a modem to make a telephone call to a another modem, which in turn provides 'network access service'. See also: PPP.
Digital Signature
Digital Signature
A digital signature is created by a mathematical computer program.
It is not a hand-written signature nor a computer-produced picture
of one. The signature is like a wax seal that requires a special
stamp to produce it, and is attached to an Email message or file.
The origin of the message or file may then be verified by the
digital signature (using special tools).
A digital signature is created by a mathematical computer program. It is not a hand-written signature nor a computer-produced picture of one. The signature is like a wax seal that requires a special stamp to produce it, and is attached to an Email message or file. The origin of the message or file may then be verified by the digital signature (using special tools).
Guttman, et. al. Informational [Page 23] RFC 2504 Users' Security Handbook February 1999
Guttman, et. al. Informational [Page 23] RFC 2504 Users' Security Handbook February 1999
Downloaded Software
Downloaded Software
Software packages retrieved from the Internet (using, for example,
the FTP protocol).
Software packages retrieved from the Internet (using, for example, the FTP protocol).
Downloading
Downloading
The act of retrieving files from a server on the network.
The act of retrieving files from a server on the network.
Email Packages
Email Packages
To communicate via electronic mail, an end-user usually makes use
of an Email client that provides the user-interface to create,
send, retrieve and read Email. Various different Email packages
provide the same set of basic functions but have different user-
interfaces and perhaps, special/extra functions. Some Email
packages provide encryption and digital signature capabilities.
To communicate via electronic mail, an end-user usually makes use of an Email client that provides the user-interface to create, send, retrieve and read Email. Various different Email packages provide the same set of basic functions but have different user- interfaces and perhaps, special/extra functions. Some Email packages provide encryption and digital signature capabilities.
Email Security Software
Email Security Software
Software which provides security through digital signatures and
encryption (and decryption) to enable the end-user to protect
messages and documents prior to sending them over a possibly
insecure network. PGP is an example of such software.
Software which provides security through digital signatures and encryption (and decryption) to enable the end-user to protect messages and documents prior to sending them over a possibly insecure network. PGP is an example of such software.
Encrypting / Encryption
Encrypting / Encryption
This is a mathematical process of scambling data for privacy
protection.
This is a mathematical process of scambling data for privacy protection.
Encryption Software
Encryption Software
The software that actually provides the needed functionality for
end users to encrypt messages and files. PGP is one example.
The software that actually provides the needed functionality for end users to encrypt messages and files. PGP is one example.
End-User
End-User
An (human) individual that makes use of computer systems and
networks.
An (human) individual that makes use of computer systems and networks.
Files (programs, data, text and so on)
Files (programs, data, text and so on)
Files include user data, but also programs, the computer operating
system and the system's configuration data.
Files include user data, but also programs, the computer operating system and the system's configuration data.
Guttman, et. al. Informational [Page 24] RFC 2504 Users' Security Handbook February 1999
Guttman, et. al. Informational [Page 24] RFC 2504 Users' Security Handbook February 1999
File Server
File Server
A computer system that provides a way of sharing and working on
files stored on the system among users with access to these files
over a network.
A computer system that provides a way of sharing and working on files stored on the system among users with access to these files over a network.
File Transfer
File Transfer
The process of transferring files between two computer systems
over a network, using a protocol such as FTP or HTTP.
The process of transferring files between two computer systems over a network, using a protocol such as FTP or HTTP.
Fixes, Patches and installing them
Fixes, Patches and installing them
Vendors, in response to the discovery of security vulnerabilities,
provide sets of files that have to be installed on computer
systems. These files 'fix' or 'patch' the computer system or
programs and remove the security vulnerability.
Vendors, in response to the discovery of security vulnerabilities, provide sets of files that have to be installed on computer systems. These files 'fix' or 'patch' the computer system or programs and remove the security vulnerability.
FTP (File Transfer Protocol)
FTP (File Transfer Protocol)
A protocol that allows for the transfer of files between an FTP
client and FTP server.
A protocol that allows for the transfer of files between an FTP client and FTP server.
Group of Users
Group of Users
Security software often allow permissions to be set for groups (of
users) as opposed to individuals.
Security software often allow permissions to be set for groups (of users) as opposed to individuals.
Help Desk
Help Desk
A support entity that can be called upon to get help with a
computer or communication problem.
A support entity that can be called upon to get help with a computer or communication problem.
Internet
Internet
A collection of interconnected networks that use a common set of
protocols called the TCP/IP stack to enable communication between
the connected computer systems.
A collection of interconnected networks that use a common set of protocols called the TCP/IP stack to enable communication between the connected computer systems.
Key Escrow
Key Escrow
Keys are used to encrypt and decrypt files. key escrow is used to
store keys for use by third parties to access the data in
encrypted files.
Keys are used to encrypt and decrypt files. key escrow is used to store keys for use by third parties to access the data in encrypted files.
Guttman, et. al. Informational [Page 25] RFC 2504 Users' Security Handbook February 1999
Guttman, et. al. Informational [Page 25] RFC 2504 Users' Security Handbook February 1999
Keys Used to Encrypt and Decrypt Files
Keys Used to Encrypt and Decrypt Files
To make use of encryption, an end-user has to provide some secret,
in the form of some data, usually called a key.
To make use of encryption, an end-user has to provide some secret, in the form of some data, usually called a key.
Log In, Logging into a System
Log In, Logging into a System
This is an action performed by an end-user, when he authenticates
himself to a computer system.
This is an action performed by an end-user, when he authenticates himself to a computer system.
Log In Prompt
Log In Prompt
The characters that are displayed when logging into a system to
ask for user name and password.
The characters that are displayed when logging into a system to ask for user name and password.
Logged In
Logged In
If an end-user has successfully proven to have legitimate access
to a system, he is considered to be logged in.
If an end-user has successfully proven to have legitimate access to a system, he is considered to be logged in.
Logging
Logging
Systems and server software often provide the ability to keep
track of events. Events may be configured to be written out to a
file known as a log. The log file can be read later and allows
for system failures and security breaches to be identified.
Systems and server software often provide the ability to keep track of events. Events may be configured to be written out to a file known as a log. The log file can be read later and allows for system failures and security breaches to be identified.
Masquerade (see Remote Log In)
Masquerade (see Remote Log In)
Anyone who pretends to be someone they are not in order to obtain
access to a computer account is said to be in 'masquerade'. This
may be accomplished by providing a false user name, or stealing
someone else's password and logging in as him.
Anyone who pretends to be someone they are not in order to obtain access to a computer account is said to be in 'masquerade'. This may be accomplished by providing a false user name, or stealing someone else's password and logging in as him.
Network File System (NFS, file sharing with PCs, etc.)
Network File System (NFS, file sharing with PCs, etc.)
NFS is an application and protocol suite that provides a way of
sharing files between clients and servers. There are other
protocols which provide file access over networks. These provide
similar functionality, but do not interoperate with each other.
NFS is an application and protocol suite that provides a way of sharing files between clients and servers. There are other protocols which provide file access over networks. These provide similar functionality, but do not interoperate with each other.
Networking Features of Software
Networking Features of Software
Some software has features which make use of the network to
retrieve or share data. It may not be obvious that software has
networking features.
Some software has features which make use of the network to retrieve or share data. It may not be obvious that software has networking features.
Guttman, et. al. Informational [Page 26] RFC 2504 Users' Security Handbook February 1999
Guttman, et. al. Informational [Page 26] RFC 2504 Users' Security Handbook February 1999
Network Services
Network Services
Services which are not provided on the local computer system the
end-user is working on but on a server located in the network.
Services which are not provided on the local computer system the end-user is working on but on a server located in the network.
One-Time Passwords (OTP)
One-Time Passwords (OTP)
Instead of using the same password over and over again, a
different password is used on each subsequent log in.
Instead of using the same password over and over again, a different password is used on each subsequent log in.
Passphrase
Passphrase
A passphrase is a long password. It is often composed of several
words and symbols to make it harder to guess.
A passphrase is a long password. It is often composed of several words and symbols to make it harder to guess.
Password-Locked Screensaver
Password-Locked Screensaver
A screen saver obscures the normal display of a monitor. A
password-locked screensaver can only be deactivated if the end-
user's password is supplied. This prevents a logged-in system
from being abused and hides the work currently being done from
passers-by.
A screen saver obscures the normal display of a monitor. A password-locked screensaver can only be deactivated if the end- user's password is supplied. This prevents a logged-in system from being abused and hides the work currently being done from passers-by.
Patch
Patch
See "Fixes, Patches and installing them"
See "Fixes, Patches and installing them"
Permissions
Permissions
Another word for the access controls that are used to control the
access to files and other resources.
Another word for the access controls that are used to control the access to files and other resources.
PGP (Pretty Good Privacy)
PGP (Pretty Good Privacy)
PGP is an application package that provides tools to encrypt and
digitally sign files on computer systems. It is especially useful
to encrypt and/or sign files and messages before sending them via
Email.
PGP is an application package that provides tools to encrypt and digitally sign files on computer systems. It is especially useful to encrypt and/or sign files and messages before sending them via Email.
Plug-in Modules
Plug-in Modules
Software components that integrate into other software (such as
web browsers) to provide additional features.
Software components that integrate into other software (such as web browsers) to provide additional features.
Guttman, et. al. Informational [Page 27] RFC 2504 Users' Security Handbook February 1999
Guttman, et. al. Informational [Page 27] RFC 2504 Users' Security Handbook February 1999
Point-of-Contact, Security
Point-of-Contact, Security
In case of security breaches or problems, many organisations
provide a designated point-of-contact which can alert others and
take the appropriate actions.
In case of security breaches or problems, many organisations provide a designated point-of-contact which can alert others and take the appropriate actions.
PPP (Point to Point Protocol)
PPP (Point to Point Protocol)
PPP is the mechanism which most end-users establish a network
connection between their PC and their Internet service provider
with. Once connected, the PC is able to transmit and receive data
to any other system on the network.
PPP is the mechanism which most end-users establish a network connection between their PC and their Internet service provider with. Once connected, the PC is able to transmit and receive data to any other system on the network.
Privacy Programs
Privacy Programs
Another term for encryption software that highlights the use of
this software to protect the confidentiality and therefore privacy
of the end-users that make use of it.
Another term for encryption software that highlights the use of this software to protect the confidentiality and therefore privacy of the end-users that make use of it.
Remote Access Software
Remote Access Software
This software allows a computer to use a modem to connect to
another system. It also allows a computer to 'listen' for calls
on a modem (this computer provides 'remote access service'.)
Remote access software may provide access to a single computer or
to a network.
This software allows a computer to use a modem to connect to another system. It also allows a computer to 'listen' for calls on a modem (this computer provides 'remote access service'.) Remote access software may provide access to a single computer or to a network.
Remote Log In
Remote Log In
If an end-user uses a network to log in to a system, this act is
known as remote log in.
If an end-user uses a network to log in to a system, this act is known as remote log in.
Security Features
Security Features
These are features which provide protection or enable end-users
and administrators to assess the security of a system, for
example, by auditing it.
These are features which provide protection or enable end-users and administrators to assess the security of a system, for example, by auditing it.
Security Policy
Security Policy
A security policy is written by organisations to address security
issues, in the form of "do's" and "don'ts". These guidelines and
rules are for users with respect to physical security, data
security, information security and content (eg. rules stating that
sites with sexual content should not be visited, and that
copyrights should be honoured when downloading software, etc).
A security policy is written by organisations to address security issues, in the form of "do's" and "don'ts". These guidelines and rules are for users with respect to physical security, data security, information security and content (eg. rules stating that sites with sexual content should not be visited, and that copyrights should be honoured when downloading software, etc).
Guttman, et. al. Informational [Page 28] RFC 2504 Users' Security Handbook February 1999
Guttman, et. al. Informational [Page 28] RFC 2504 Users' Security Handbook February 1999
Server
Server
A server is a computer system, or a set of processes on a computer
system providing services to clients across a network.
A server is a computer system, or a set of processes on a computer system providing services to clients across a network.
Shared Account
Shared Account
A common account is one which is shared by a group of users as
opposed to a normal account which is available to only one user.
If the account is misused, it is very difficult or impossible to
know which of users was responsible.
A common account is one which is shared by a group of users as opposed to a normal account which is available to only one user. If the account is misused, it is very difficult or impossible to know which of users was responsible.
Sharing Permissions
Sharing Permissions
Many computer systems allow users to share files over a network.
These systems invariably provide a mechanism for users to use to
control who has permission to read or overwrite these files.
Many computer systems allow users to share files over a network. These systems invariably provide a mechanism for users to use to control who has permission to read or overwrite these files.
Site
Site
Depending on the context in which this term is used, it might
apply to computer systems that are grouped together by
geographical location, organizational jurisdiction, or network
addresses. A Site typically refers to a network under a common
administration.
Depending on the context in which this term is used, it might apply to computer systems that are grouped together by geographical location, organizational jurisdiction, or network addresses. A Site typically refers to a network under a common administration.
SSH (Secure Shell)
SSH (Secure Shell)
SSH provides a protocol between a client and server, allowing for
encrypted remote connectivity.
SSH provides a protocol between a client and server, allowing for encrypted remote connectivity.
SSL (Secure Sockets Layer)
SSL (Secure Sockets Layer)
This protocol provides security services to otherwise insecure
protocols which operate over a network. SSL is typically used by
web browsers to encrypt data sent to and downloaded from a server.
This protocol provides security services to otherwise insecure protocols which operate over a network. SSL is typically used by web browsers to encrypt data sent to and downloaded from a server.
Systems Administrator
Systems Administrator
The individual who maintains the system and has system
administrator privileges. In order to avoid errors and mistakes
done by this individual while not acting as an administrator,
he/she should limit the time he/she acts as an administrator (as
known to the system) to a minimum.
The individual who maintains the system and has system administrator privileges. In order to avoid errors and mistakes done by this individual while not acting as an administrator, he/she should limit the time he/she acts as an administrator (as known to the system) to a minimum.
Guttman, et. al. Informational [Page 29] RFC 2504 Users' Security Handbook February 1999
Guttman, et. al. Informational [Page 29] RFC 2504 Users' Security Handbook February 1999
System Administrator Privileges
System Administrator Privileges
System administrators have more rights (greater permissions) as
their work involve the maintenance of system files.
System administrators have more rights (greater permissions) as their work involve the maintenance of system files.
System Files
System Files
The set of files on a system that do not belong to end-users,
which govern the functionality of the system. System files have
a great impact on the security of the system.
The set of files on a system that do not belong to end-users, which govern the functionality of the system. System files have a great impact on the security of the system.
Telnet
Telnet
A protocol that enables remote log in to other computer systems
over the network.
A protocol that enables remote log in to other computer systems over the network.
Terminal
Terminal
A dumb device that is connected to a computer system in order to
provide (text-based) access to it for users and administrators.
A dumb device that is connected to a computer system in order to provide (text-based) access to it for users and administrators.
Terms of Service (TOS)
Terms of Service (TOS)
See "Acceptable Use Policy (AUP)".
See "Acceptable Use Policy (AUP)".
Threats
Threats
The potential that an existing vulnerability can be exploited to
compromise the security of systems or networks. Even if a
vulnerability is not known, it represents a threat by this
definition.
The potential that an existing vulnerability can be exploited to compromise the security of systems or networks. Even if a vulnerability is not known, it represents a threat by this definition.
Trojan Horse
Trojan Horse
A program which carries within itself a means to allow the creator
of the program access to the system using it.
A program which carries within itself a means to allow the creator of the program access to the system using it.
Virus
Virus
A program which replicates itself on computer systems by
incorporating itself (secretly and maliciously) into other
programs. A virus can be transferred onto a computer system in a
variety of ways.
A program which replicates itself on computer systems by incorporating itself (secretly and maliciously) into other programs. A virus can be transferred onto a computer system in a variety of ways.
Virus-Detection Tool
Virus-Detection Tool
Software that detects and possibly removes computer viruses,
alerting the user appropriately.
Software that detects and possibly removes computer viruses, alerting the user appropriately.
Guttman, et. al. Informational [Page 30] RFC 2504 Users' Security Handbook February 1999
Guttman, et. al. Informational [Page 30] RFC 2504 Users' Security Handbook February 1999
Vulnerability
Vulnerability
A vulnerability is the existence of a weakness, design, or
implementation error that can lead to an unexpected, undesirable
event compromising the security of the system, network,
application, or protocol involved.
A vulnerability is the existence of a weakness, design, or implementation error that can lead to an unexpected, undesirable event compromising the security of the system, network, application, or protocol involved.
Web Browser Cache
Web Browser Cache
This is the part of the file system that is used to store web
pages and related files. It can be utilized to reload recently
accessed files from the cache instead of loading it every time
from the network.
This is the part of the file system that is used to store web pages and related files. It can be utilized to reload recently accessed files from the cache instead of loading it every time from the network.
Web Browser Capabilities
Web Browser Capabilities
The set of functionalities on a web browser for use by the end-
user. This includes the set of plug-ins available.
The set of functionalities on a web browser for use by the end- user. This includes the set of plug-ins available.
Web Server
Web Server
A server program that provides access to web pages. Some web
servers provide access to other services, such as databases, and
directories.
A server program that provides access to web pages. Some web servers provide access to other services, such as databases, and directories.
Worm
Worm
A computer program which replicates itself and is self-
propogating. Worms, as opposed to viruses, are meant to spawn in
network environments.
A computer program which replicates itself and is self- propogating. Worms, as opposed to viruses, are meant to spawn in network environments.
Acknowledgments
Acknowledgments
The User Security Handbook was a collaborative effort of the Site Security Handbook Working Group of the IETF. There were also others who made significant contributions --- Simson Garfinkle and Eric Luiijf provided very helpful feedback on this document. The Glossary contribution by Klaus-Peter Kossakowski is much appreciated.
The User Security Handbook was a collaborative effort of the Site Security Handbook Working Group of the IETF. There were also others who made significant contributions --- Simson Garfinkle and Eric Luiijf provided very helpful feedback on this document. The Glossary contribution by Klaus-Peter Kossakowski is much appreciated.
References
References
[GLOSSARY] Malkin, G., Ed., "Internet User's Glossary", FYI 18, RFC
1983 August 1996.
[GLOSSARY] Malkin, G., Ed., "Internet User's Glossary", FYI 18, RFC 1983 August 1996.
[RFC2196] Fraser, B., Ed., "Site Security Handbook", FYI 8, RFC 2196
September 1997.
[RFC2196] Fraser, B., Ed., "Site Security Handbook", FYI 8, RFC 2196 September 1997.
Guttman, et. al. Informational [Page 31] RFC 2504 Users' Security Handbook February 1999
Guttman, et. al. Informational [Page 31] RFC 2504 Users' Security Handbook February 1999
Security Considerations
Security Considerations
This document discusses what computer users can do to improve security on their systems.
This document discusses what computer users can do to improve security on their systems.
Authors' Addresses
Authors' Addresses
Erik Guttman Sun Microsystems Bahnstr. 2 74915 Waibstadt Germany
Erik Guttman Sun Microsystems Bahnstr. 2 74915 Waibstadt Germany
Phone: +49 7263 911701 EMail: erik.guttman@sun.com
Phone: +49 7263 911701 EMail: erik.guttman@sun.com
Lorna Leong COLT Internet 250 City Road City Forum, London England
Lorna Leong COLT Internet 250 City Road City Forum, London England
Phone: +44 171 390 3900 EMail: lorna@colt.net
Phone: +44 171 390 3900 EMail: lorna@colt.net
Gary Malkin Bay Networks 8 Federal Street Billerca, MA 01821 USA
Gary Malkin Bay Networks 8 Federal Street Billerca, MA 01821 USA
Phone: +1 508 916 4237 EMail: gmalkin@baynetworks.com
Phone: +1 508 916 4237 EMail: gmalkin@baynetworks.com
Guttman, et. al. Informational [Page 32] RFC 2504 Users' Security Handbook February 1999
Guttman, et. al. Informational [Page 32] RFC 2504 Users' Security Handbook February 1999
Full Copyright Statement
Full Copyright Statement
Copyright (C) The Internet Society (1999). All Rights Reserved.
Copyright (C) The Internet Society (1999). All Rights Reserved.
This document and translations of it may be copied and furnished to others, and derivative works that comment on or otherwise explain it or assist in its implementation may be prepared, copied, published and distributed, in whole or in part, without restriction of any kind, provided that the above copyright notice and this paragraph are included on all such copies and derivative works. However, this document itself may not be modified in any way, such as by removing the copyright notice or references to the Internet Society or other Internet organizations, except as needed for the purpose of developing Internet standards in which case the procedures for copyrights defined in the Internet Standards process must be followed, or as required to translate it into languages other than English.
This document and translations of it may be copied and furnished to others, and derivative works that comment on or otherwise explain it or assist in its implementation may be prepared, copied, published and distributed, in whole or in part, without restriction of any kind, provided that the above copyright notice and this paragraph are included on all such copies and derivative works. However, this document itself may not be modified in any way, such as by removing the copyright notice or references to the Internet Society or other Internet organizations, except as needed for the purpose of developing Internet standards in which case the procedures for copyrights defined in the Internet Standards process must be followed, or as required to translate it into languages other than English.
The limited permissions granted above are perpetual and will not be revoked by the Internet Society or its successors or assigns.
The limited permissions granted above are perpetual and will not be revoked by the Internet Society or its successors or assigns.
This document and the information contained herein is provided on an "AS IS" basis and THE INTERNET SOCIETY AND THE INTERNET ENGINEERING TASK FORCE DISCLAIMS ALL WARRANTIES, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO ANY WARRANTY THAT THE USE OF THE INFORMATION HEREIN WILL NOT INFRINGE ANY RIGHTS OR ANY IMPLIED WARRANTIES OF MERCHANTABILITY OR FITNESS FOR A PARTICULAR PURPOSE.
このドキュメントとそして、「そのままで」という基礎とインターネットの振興発展を目的とする組織に、インターネット・エンジニアリング・タスク・フォースが速達の、または、暗示しているすべての保証を放棄するかどうかというここにことであり、他を含んでいて、含まれて、情報の使用がここに侵害しないどんな保証も少しもまっすぐになるという情報か市場性か特定目的への適合性のどんな黙示的な保証。
Guttman, et. al. Informational [Page 33]
et Guttman、アル。 情報[33ページ]
一覧
スポンサーリンク
