ガード（情報セキュリティ）

情報セキュリティにおいて、ガードとは、設定された制約に従って、別々のネットワーク上のコンピュータが通信できるようにするデバイスまたはシステムです。多くの点で、ガードはファイアウォールに似ており、ガードはゲートウェイと同様の機能を持つ場合があります。

ファイアウォールは特定のサービスへのトラフィックを制限するように設計されていますが、ガードはネットワーク通信がビジネス レベルでサポートしている情報交換を制御することを目的としています。さらに、ファイアウォールとは異なり、ガードは攻撃や障害の状況下でもこの制御を効果的に提供することを保証します。

ガードは通常、保護されたネットワークと外部ネットワークの間に配置され、保護されたネットワークが外部ネットワークによってもたらされる脅威や外部ネットワークへの機密情報の漏洩から安全であることを確認します。

ガードは通常デュアルホームですが、ガードは 2 つ以上のネットワークに接続でき、完全なアプリケーション層プロキシとして機能し、各インターフェイスで個別の通信を行います。ガードは、プロトコルによって運ばれるビジネス情報のみを 1 つのネットワークから別のネットワークに渡します。その場合も、必要な保護を提供する構成済みのチェックに情報が合格した場合のみです。

ガードの開発は、1970 年代後半にいくつかの「セキュア通信プロセッサ」と「ガード」アプリケーションの作成から始まりました。セキュア通信プロセッサは、パケット ネットワーク暗号化デバイスの制御されたプレーン テキスト バイパスをサポートするために開発された、信頼性の高いオペレーティング システムとセキュリティ カーネルでした。ガード アプリケーションは、機密システムからエクスポートされるデータをサニタイズして、機密情報を削除するように設計されています。

ハネウェルセキュアコミュニケーションプロセッサ（SCOMP）^[1]は初期のガードプラットフォームでした。これは、国防総省コンピュータセキュリティセンターオレンジブックの評価基準レベルA1に基づいて評価されました。

RSREセキュアユーザー環境（SUE）はPDP-11/34上で動作しました。これはイギリスのマルバーンにある王立信号レーダー研究所（RSRE）のT4部門によって設計・構築された非常にシンプルな分離カーネルでした。^{[2] [3]}

高度なコマンドおよび制御アーキテクチャテストベッド（ACCAT）ガードは、機密システムから人間によるレビュー段階を経て電子メールをエクスポートするために開発されました。^[4]

その後のガードの開発では、機密システムからエクスポートされた情報を自動的に「ダウングレード」する問題に対処しました。セキュアネットワークサーバー（SNS）メールガード（SMG）は、送信元/送信先アドレスのホワイトリスト、セキュリティラベルチェック、添付ファイルタイプのフィルタリング、デジタル署名を実施して、機密情報が漏洩しないようにしました^[5]

ファイアウォールは後から開発され、1987年頃に登場しました。^[6]時間の経過とともに、ファイアウォールの機能は向上し、ガードと同様の機能を提供するようになりました。残っている主な違いは、ガードはネットワークとそれ自体を効果的に保護することを保証できるような方法で構築されていることです。

SWIPSYファイアウォール ツールキットは、一般的な Guard プラットフォームとして機能するように、国防評価研究局によって開発されました。SWIPSY は、Trusted Solaris 8 の上に構築されました。

ガードは当初、機密システムからの情報の公開を制御し、保護されたシステムで処理される機密情報の機密性を保護するために設計されました。その後、ガードの範囲は、保護されたネットワーク内の情報の整合性とサービスの可用性を保護するために、データのインポートの制御もカバーするように拡張されました。

ガードは一般に次の機能を提供します。

• 送信元および宛先アドレスの認証
• 送信元および宛先アドレスのホワイトリスト
• 送信元と送信先のクリアランスに対するセキュリティラベルのチェック
• データ形式のホワイトリスト
• データ形式の一貫性と妥当性のチェック
• 既知のマルウェアのデータをスキャンする
• デジタル署名の検証
• 暗号化されたコンテンツの検査
• フレーズのブラックリストとテキストを照合する
• 冗長データの削除
• セキュリティ関連イベントを記録するログの生成
• 自己テストメカニズム

ガードは、 DMZ ネットワーク内に配置されたアプリケーション プロキシとして機能する要塞ホストと機能的に同等です。このプロキシは、交換されるデータに必要な制御を課して、外部の脅威や内部の漏洩に対する保護を提供します。ただし、構築方法によって区別できます。DMZ ネットワークは、外部のパケット フィルタリング ファイアウォールを利用して、要塞ホストにトラフィックをルーティングします。ファイアウォールが正しく機能しないと、トラフィックが要塞ホストを通過せずに DMZ を通過する可能性があるため、プロキシによって課されるチェックはバイパスされます。また、要塞ホストのネットワーク スタックが正しく動作しないと、トラフィックがプロキシを通過せずに DMZ を通過する可能性があります。

ガードは、正しく機能する必要があるソフトウェアが最小限に抑えられ、第三者にこれを実証するために必要な作業も最小限に抑えられるように構築されます。つまり、ガードは適切なチェックが適用されていることを保証するように設計されています。^[7]

ガードは、信頼できるオペレーティングシステムを使用して、セキュリティ上重要なチェッカーコンポーネントをそれほど重要でないプロトコル処理コンポーネントから分離することができます。このようにして、プロトコル処理コンポーネントの障害によってデータがチェッカーをバイパスすることはありません。^[8]たとえば、Security-Enhanced LinuxはNexorガードで使用され、^{[9] Trusted Extensionsを備えた}Solaris 10はRadiant MercuryとISSEガードで使用され、^[10] Deep-Secureでも使用されます。LOCKオペレーティングシステム用に開発されたタイプエンフォースメントコントロール^[11]はSidewinderで使用されました。^[12]

警備員は、重要なコンポーネントがバイパスされないように、物理的に分離されたコンピュータを使用することもできます。^[13]

政府既製品:

• 輝く水星^[14]
• ISSEガード^[15]

市販の既製品:

• ロックウェル・コリンズ・ガード^[16] (ロックウェル・コリンズ)
• ディープセキュアメールガード^[17] (ディープセキュア)
• ネクソールCDS ^[18] (ネクソール)
• レイセオンハイスピードガード^[19] (レイセオン)
• SDoTセキュリティゲートウェイ^[20]（Infodas）
• 標準自動ガード環境（SAGE）^[21]（BAEシステムズ）
• SyBard::Sentry ^[22] ( QinetiQ )

• データダイオード
• 高保証ガード