STIGとは｜サイバーセキュリティ.com

STIG｜サイバーセキュリティ.com

  1. ホーム /
  2. セキュリティ用語集 /
  3. STIG
             

STIG

STIG（Security Technical Implementation Guide）は、米国国防情報システム局（DISA：Defense Information Systems Agency）が提供するセキュリティ設定ガイドラインであり、特定の情報システムやソフトウェアがセキュリティ基準を満たすよう設定方法を詳細に指示したものです。STIGは、米国国防総省（DoD）や関連機関が使用するシステムのセキュリティ強化と脆弱性の軽減を目的とし、政府機関や組織、さらに一般企業にも広く利用されています。

STIGは、OS、データベース、ネットワーク機器、アプリケーションなど多岐にわたるシステムやソフトウェアに対応しており、各システムが適切なセキュリティ設定を施され、脆弱性が最小限に抑えられるようにします。

STIGの主な目的と重要性

STIGは、システムやネットワークのセキュリティを確保し、次の目的を達成するために利用されます。

  1. セキュリティリスクの軽減
    各システムにおける脆弱性を特定し、設定を最適化することで、サイバー攻撃のリスクを最小限に抑えます。
  2. 標準化されたセキュリティ設定
    STIGに基づく設定により、各システムが統一されたセキュリティ基準に従うことができ、セキュリティ運用が効率化されます。
  3. コンプライアンス遵守
    特にDoDにおいて、STIGに従うことがセキュリティコンプライアンスとして求められており、組織は適切なセキュリティ基準を維持できます。
  4. セキュリティ監査の効率化
    STIGに基づく設定を導入することで、監査時に求められるセキュリティ対策が適用されているかを迅速に確認でき、監査の効率を高めます。

STIGの構成要素

STIGには、システムを構成する各要素に対するセキュリティ設定の詳細が含まれており、以下のような構成で提供されます：

  1. カテゴリごとのガイドライン
    各STIGには、設定すべき項目がカテゴリごとに分類されており、認証設定、アクセス制御、ログ管理、データ暗号化など、システムを保護するために必要な設定項目が詳細に示されています。
  2. 影響度のレベル（Severity Level）
    STIGでは、各セキュリティ項目に対して影響度が設定され、脆弱性の深刻度に応じて優先順位が割り当てられています。影響度のレベルは以下の3段階です：

    • CAT I（Category I）：緊急度が高く、即座の修正が必要な重大な脆弱性
    • CAT II（Category II）：セキュリティに影響があるが、CAT Iほどではない脆弱性
    • CAT III（Category III）：セキュリティには影響があるが、比較的軽微な脆弱性
  3. チェックと修正手順
    各項目には、設定状況を確認するための「チェック手順」と、設定を適用するための「修正手順」が含まれており、ユーザーはこれらの手順に従ってセキュリティ設定を行います。
  4. 脆弱性の説明
    それぞれの項目について、脆弱性のリスクとそのセキュリティ的な影響が説明されています。この説明により、システム管理者が設定の必要性を理解しやすくなります。
  5. 設定の要件と参考情報
    設定項目の適用要件や参考情報も含まれ、管理者が設定を施すための追加情報や背景知識を提供します。

STIGの適用プロセス

STIGを適用する際の基本プロセスは次の通りです：

  1. STIGの取得
    DISAの公式ウェブサイトから最新のSTIGファイルをダウンロードします。STIGは定期的に更新されるため、最新バージョンを使用することが推奨されます。
  2. 対象システムの評価
    システム構成や使用されているソフトウェアのバージョンに基づき、適用可能なSTIGガイドラインを選定し、システムの現状を評価します。
  3. STIG設定の適用と修正
    STIGに基づき、システムの各項目を設定し、推奨されるセキュリティ構成に合わせて修正を行います。
  4. 影響度の高い設定から優先適用
    影響度が高いCAT Iの項目を優先し、CAT II、CAT IIIの順で設定を適用することが一般的です。
  5. STIGの適用状況の確認と監査
    適用後、設定内容を再確認し、定期的な監査を通じて設定が維持されているか確認します。監査結果に基づき、必要に応じて設定の修正や追加を行います。

STIGの主な適用分野

STIGは、以下のような分野で主に適用されます。

  1. オペレーティングシステム
    Windows、Linux、UnixなどのOSに対するSTIGガイドラインが提供されており、セキュリティポリシー、ユーザー権限、ログ管理の設定が含まれます。
  2. ネットワーク機器
    ルーター、ファイアウォール、スイッチなど、ネットワーク機器の設定を強化し、不正アクセスやデータ漏洩リスクを低減します。
  3. データベース
    Oracle、Microsoft SQL Server、MySQLなどのデータベースシステムに適用され、アクセス制御やデータ暗号化、監査ログの設定などが含まれます。
  4. 仮想化およびクラウド環境
    VMwareやクラウドサービス（AWS、Azureなど）にもSTIGガイドラインが提供され、仮想環境でのセキュリティを確保するための設定が求められます。
  5. アプリケーション
    Webサーバー（Apache、IIS）やメールサーバーなど、各種アプリケーションに対してもSTIGが提供され、アプリケーションレベルでのセキュリティ対策が講じられます。

STIGの利点と課題

利点

  • 標準化されたセキュリティ基準：システムやソフトウェアの設定が一貫して管理でき、組織全体で統一したセキュリティレベルを保てます。
  • セキュリティリスクの軽減：具体的な設定手順が明示されているため、脆弱性を削減し、セキュリティインシデントの発生率を低減できます。
  • コンプライアンスの維持：STIGに準拠することで、米国DoDや連邦機関のコンプライアンス基準を満たせます。

課題

  • 適用の複雑さ：特に大規模なシステム環境では、全てのSTIG設定を適用するのに多大な労力がかかる場合があります。
  • 最新性の確保：STIGは定期的に更新されるため、常に最新のガイドラインに従って設定を保つ必要があります。
  • システムパフォーマンスへの影響：一部の設定はパフォーマンスに影響する場合があり、業務上の要件とセキュリティ対策のバランスを考慮する必要があります。

まとめ

STIG（Security Technical Implementation Guide）は、情報システムにおけるセキュリティリスクを削減し、標準的なセキュリティ基準に基づいたシステム構成を実現するための重要なガイドラインです。米国国防総省や連邦機関だけでなく、企業においてもセキュリティ強化やコンプライアンス遵守のために活用されています。STIGを適用することで、システム管理者はセキュリティ対策を一貫して実施でき、脅威からの保護と効率的な監査対応が可能になります。

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）


SNSでもご購読できます。