セキュリティ人間工学と，バックオフィス詐欺防止テクニック：ITpro（情報元のブックマーク数）
RSAカンファレンス2009の事前情報、セキュリティ人間工学
セキュリティ人間工学と，バックオフィス詐欺防止テクニック | 日経 xTECH（クロステック）2009年4月23日にカリフォルニア州サンフランシスコで開催される「RSA Conference」で，「セキュリティ人間工学」と題した講演を行う。その概要は次の通りだ。
- セキュリティや構成を設定する際にポップアップ警告メッセージが表示され，「許可/禁止/キャンセル」するよう迫られる現状に満足しているだろうか。エンジニアやセキュリティ専門家であれば，このような状況で次に何をすべきかを，提供された情報から判断することができる。それでも，誤った処理をしてしまうことがあまりにも多い。
それなのに，なぜその失敗を一般ユーザーのせいにするのか。プロなら，セキュリティの責任を自分たちで負うべきだろう。ポップアップ警告で決定を迫るような状況が存在するのは，アプリケーションを開発した「専門家」が，本当は何をすべきか分かっておらず，言ってしまえば「CYA（Cover Your Ass：言い訳）」メッセージで責任をユーザーに押しつけているのだ。- アプリケーションの高度化や高機能化が進んでいるせいで，セキュリティの脅威や攻撃手段はますます増えている。「必要なことはやった」としてユーザーにセキュリティの責任を押し付けるのではなく，こうした状況を改善するには何ができるだろうか。現状から前進するには，アプリケーションの設計/開発でセキュリティに関する人間工学を考慮する必要がある。
- IT業界は，クライアント側に綿密なセキュリティ戦略を導入することで，セキュリティの責任を最終的なユーザーに押しつける傾向が強まっている。よく見てみると，これらセキュリティ保護策の多くはバックエンド・システムに移管可能だ。
移管すれば，改ざんやユーザー側での侵入の可能性が減るうえ，「フォールス・ポジティブ」（正当な行為を不正と誤判断すること）や「フォールス・ネガティイブ」（不正行為を正当と誤判断すること）に陥る可能性も少なくなる。企業の事業継続において，最大のリスクは自社のユーザーや顧客だ。企業はこの新たな脅威と向き合わざるを得ないため，人間工学に基づくアプリケーション設計戦略は今後ますます必要不可欠になるだろう。
こんなのを企業Web管理者が確認する必要があるという提言。うーん、確かにそのとおりですけどパターン化してアプリを作らないと大変だなぁ＞管理
テクニックを用いたらよいだろうか。
セキュリティ人間工学と，バックオフィス詐欺防止テクニック | 日経 xTECH（クロステック）
1. HTTPのリファラ（REFERER）に注目する：顧客が最初にWebサイトにアクセスしてくる際，参照元が必ず存在する。WebブラウザでREFERER情報を送信しないよう設定することはできるが，（操作の流れに依存する大半のWebアプリケーションが処理を中断してしまうため）このような設定はなされていないことがほとんどだ。ある顧客のREFERER情報がおかしい，あるいは危険な場所からのアクセスという可能性があれば，この顧客とWebアプリケーションのやりとりに注目し，1〜2週間アカウントを監視する。
というのも，フィッシング詐欺は，顧客が偽サイトを訪れた際に（おそらく「ロックされたアカウントのリセット」を装って）アカウント用認証情報を盗み出すケースが多いからだ。偽サイトは，情報入手後に顧客のWebブラウザを本物のWebサイトへ自動的にリダイレクトする。REFERERに含まれるURL情報は，被害者を特定するうえで欠かせない手がかりなのだ。
2. Webブラウザのバージョン情報を記録する：顧客がオンライン・アプリケーションで認証するたびに，Webブラウザの種類とバージョンに関する情報を記録する。例えば過去5回分のログイン情報を照会することで，通常とは異なる操作を簡単に検出できる。
例えば，いつもは米マイクロソフトのInternet Explorer（IE）を使ってログインしている顧客がFirefoxでログインしたら（そしてその後，再びIEに戻ったら），疑わしいログインである可能性があるため，以後の処理を監視することでオンライン・セッションの正当性を保証できる。あるいは，前回ログインしたときよりも古いバージョンのWebブラウザを使用している場合（前回はIE 7を使用したのに，今回はIE 6を使ったなど），（フィッシング犯が自分のパソコンから不正送金しているといった）何かおかしいな状況に感づくきっかけになるだろう。
3. 地理的なIP情報（GeoIP）：GeoIP情報は非常に便利だ。米国に住んでいる顧客が米国の銀行と取引していて，普段ジョージア州アトランタからDSL接続でオンライン取引を行っているとしよう。こうした情報は，GeoIPで識別できる。この顧客が別の場所（韓国など）のGeoIPで認証を行っていたら，新たな資金移動についてはとりわけ警戒する。GeoIP情報と最終ログイン日時情報を組み合わせると，移動が物理的に可能かどうかという観点から，監視をさらに絞り込むことができる。
4. スパム/フィッシング活動の監視：顧客に届くスパム/フィッシング・メールを監視すれば，メールの量が増え，内容が具体化したときに顧客を狙う詐欺も増えていると考えられる。したがって，新たな攻撃の開始（あるいは詐欺メールが大幅に増えた場合），監視や警戒を強化することで顧客との取引を保証できる。この監視強化は，フィッシング攻撃が継続している間，および攻撃が収束してから2〜5日間行う（顧客がメールを定期的にチェックしているとは限らないため）。
5. 取引のタイミング：現在出回っている不正オンライン・バンキングを仕掛ける高度なトロイの木馬の多くは，1回の認証済みセッショ内で実行する新たな資金移動処理の時間間隔を監視すれば検出できる。トロイの木馬のソフトウエアで実行される，自動化された不正送金を見つけるよりは簡単だ。
上述したテクニックがすべての解決策を網羅しているというつもりはない。また，当然のことながらWebアプリケーションは千差万別だ。重要なのは，脅威が魔法の弾丸（対策）一発だけで消えたりしないということだ。とはいえ，これらの対策は顧客を詐欺から守るうえで，顧客に面倒な手間を強いることなく，非常に重要な手がかりを提供してくれる。
