Windows 10 で進化したセキュリティ ～サイバー攻撃における攻防～

Transcription

1 ROOM D

2

3

4

5 ボリューム / インパクト Script Kiddies BLASTER, SLAMMER 目的 : 自己顕示

6 2005- 現在 組織 Script Kiddies BLASTER, SLAMMER 目的 : 自己顕示 RANSOMWARE, CLICK-FRAUD, IDENTITY THEFT 目的 : 利益

7 2012 以降 現在 Script Kiddies BLASTER, SLAMMER 目的 : 自己顕示 組織 RANSOMWARE, CLICK-FRAUD, IDENTITY THEFT 目的 : 利益 国家 BRAZEN, COMPLEX, PERSISTENT 目的 : IP の盗難, 破壊

8 サイバー攻撃の流れ :) 安全なコンピューター ユーザーがメールを受信 悪意のあるサイトへ誘導 デバイスがマルウェアに感染

9 が受信 悪意のあるサイトへ誘導 デバイスがマルウェアに感染 ヘルプデスクがデバイスにログイン 攻撃者が I D を入手

10

11

12 Windows Hello Microsoft Passport ID 保護 Enterprise Data Protection データ保護 UEFI / ELAM Device Guard Windows Defender Control Flow Guard 脅威への対抗

13 Windows Hello Microsoft Passport ID 保護 Enterprise Data Protection データ保護 UEFI / ELAM Device Guard Windows Defender Control Flow Guard 脅威への対抗

14 Hello 指紋 虹彩 顔

15

16 長くないとダメ 複雑じゃないとダメ 盗まれた時の事を考えて定期変更でダメージを低減 バレると悪用される パスワード 1 パスワード 2 忘れる! 面倒! 不正利用される!

17 FIDO 2.0 準拠 パスワードによる認証とは全く異なる安全な認証 PKI の仕組みを利用 チャレンジ & レスポンス Windows Hello との併用 忘れない! 簡単! 不正利用されない!

18 1 ユーザー登録 認証プロバイダ 2 鍵ペアを生成 クライアント 3 公開鍵をユーザーにマッピング 3 秘密鍵を TPM へ保存

19 1 2 サーバーへ ID を提示 クライアントへ nonce を送信 認証プロバイダ クライアント 3 5 秘密鍵で nonce に署名してサーバーへ送信 クライアントへトークン発行 4 ユーザーに紐づけられた公開鍵で署名を検証

20 Local Security Auth Service Virtual TPM Hyper-Visor Code Integrity アプリケーション Virtual Secure Mode (VSM) Windows

21 Isolated User Mode (IUM) High Level OS (HLOS) LSAIso NTLM サポート Kerberos サポート Clear シークレット LSASS NTLM Kerberos Clear IUM シークレット secrets Boot Persistent デバイスドライバ ハイパーバイザー

22

23 Windows Hello Microsoft Passport ID 保護 Enterprise Data Protection データ保護 UEFI / ELAM Device Guard Windows Defender Control Flow Guard 脅威への対抗

24 企業が許可したアプリケーション 企業が許可したアプリケーション同士のコピー & ペーストは可 X 企業が許可していないアプリケーションへのペーストは不可 企業が許可していないアプリケーション

25 Annual Report Draft 1 Personal Contoso

26 Marketing Plan Microsoft Work D

27 ハード ブロックオプション 2014 total return has increased significantly, outperforming both the S&P 500 and NASDAQ indices. Britta Simon

28 ハード ブロックオプション WARNING! Britta Simon Pasting content from a corporate document to a public location is not allowed. OK

29 ソフト ブロックオプション 2014 total return has increased significantly, outperforming both the S&P 500 and NASDAQ indices. Britta Simon

30 ソフト ブロックオプション WARNING! You are about to paste content from a Simon corporate document to a publicbritta domain. To continue, tell us why you are doing this. Cancel Paste anyway

31 UPDATE ARTWORK Cortana assets from Shane

32 Office

33 UPDATE ARTWORK Cortana assets from Shane Pasting content from a Fabrikam file to a personal file is discouraged, and if you choose paste anyway your action and the content will be logged for IT review.

34 Windows Hello Microsoft Passport ID 保護 Enterprise Data Protection データ保護 UEFI / ELAM Device Guard Windows Defender Control Flow Guard 脅威への対抗

35 デバイス / プラットフォームセキュリティ アプリケーションセキュリティ PC 利用中のセキュリティ 条件付きアクセス

36 デバイス / プラットフォームセキュリティ アプリケーションセキュリティ PC 利用中のセキュリティ 条件付きアクセス

37 ELAM = Early Launch Anti-Malware マルウェアが自身を隠蔽可能マルウェア対策ソフト起動前に感染する可能性 UEFI で許可した OS Loader のみが起動可能ドライバより先にマルウェア対策ソフトが起動

38 デバイス / プラットフォームセキュリティ アプリケーションセキュリティ PC 利用中のセキュリティ 条件付きアクセス

39 特になし 特になし DEP /GS SafeSEH Heap hardening v1 データ領域からのコード実行防止 スタック 例外処理 ヒープの保護 ASLR v1 SEHOP Heap hardening v2 メモリレイアウトのランダム化 例外処理 ヒープ保護の強化

40 ASLR v2 Kernel SMEP & DEP Heap hardening v3 Control Flow Guard メモリレイアウトランダム化の改善 ヒープ保護の改善 正常な関数のみ呼び出し可能

41 メモリアドレス 0x7d x7b 回目の起動 USER32 ntdll kernel32 ASLR = Address Space Layout Randamization 2 回目の起動 ntdll USER32 RCPRT4 0x x 埋め込んだウイルス GDI32 RCPRT4 kernel32 埋め込んだウイルス GDI32 アドレスが毎回異なるため ウイルスの起動は非常に困難

42 Visual Studio Windows 10 で実現 vtable overwrite 攻撃に対して有効 test_func1(); Call (*Test_Function)() 別のアドレス ShellCode X

43 デバイス / プラットフォームセキュリティ アプリケーションセキュリティ PC 利用中のセキュリティ 条件付きアクセス

44 スパイウェア対策 ウイルス対策 Microsoft Security Essentials と同等の性能

45 Windows Defender Cloud Protection

46 コード署名が付与されたアプリケーションだけが動作可能 それ以外のアプリケーションは動作不可 マルウェア その他アプリケーション

47 Zero Day / ポリモーフィックウイルス / 新種, 亜種のウイルス等への対抗手段として有効 スマートフォンのように署名されたアプリケーションだけが動作可 グループポリシー / MDM / PowerShell から管理可能 Windows Scripts Host で実行するスクリプトは署名されたスクリプトが必要 VBScript (.vbs) / Jscripts (.js) / Windows Script File (.wsf) Windows Script Component (.wsc) MSI は署名が必要 bat & cmd スクリプトは 制限不可 AppLocker やマルウェア対策ソフトとの併用で更にセキュリティ強度を向上

48 New-CIPolicy -FilePath -Audit -Level -ScanPath -UserPEs Merge-CIPolicy -PolicyPaths -OutputFilePath Set-RuleOption -Help -Option -Delete -FilePath 対象ファイル監査ログから作成詳細レベル RootCertificate, PCACertificate, LeafCertificate, FileName, Hash, FilePublisher スキャンパスユーザーモード Code Integrity を含むカンマ区切りのポリシーファイルパス対象ファイル利用可能なオプションのリスト設定オプションの識別指定されたオプションの削除ポリシーファイルのパス

49 #Create a ShadowCopy to avoid locks $s1 = (gwmi -List Win32_ShadowCopy).Create("C: ", "ClientAccessible") $s2 = gwmi Win32_ShadowCopy? { $_.ID -eq $s1.shadowid } $d = $s2.deviceobject + " " cmd /c mklink /d C: scpy "$d" #Create policy from current system New-CIPolicy -l PcaCertificate -f C: IgnitePolicy.xml s C: scpy u #Remove ShadowCopy "vssadmin delete shadows /Shadow=""$($s2.ID.ToLower())"" /Quiet" iex

50 #Create policy from audit log events New-CIPolicy -l PcaCertificate -f C: AuditPolicy.xml a u #Merge audit policy with other policy/policies Merge-CIPolicy OutputFilePath C: MergedPolicy.xml PolicyPaths C: AuditPolicy.xml,C: IgnitePolicy.xml #Set policy options e.g. Audit Mode (option 3) Set-RuleOption option 3 FilePath C: MergedPolicy.xml #Compile policy as binary ConvertFrom-CIPolicy C: MergedPolicy.xml C: MergedPolicy.bin #Install compiled policy cp C: MergedPolicy.bin c: Windows System32 CodeIntegrity SIPolicy.p7b #Policy takes effect after reboot

51 デバイス / プラットフォームセキュリティ アプリケーションセキュリティ PC 利用中のセキュリティ 条件付きアクセス

52 Measured Boot 整合性データ (PPCH) Intune や Windows PPCH クライアントポリシーウイルス対策 ファイアウォールパッチ (Intune) 重要なリソース リクエスト 3 4 承認 5 ヘルス証明 ファイルサーバー OneDrive 2 正常であることの証明要求 1 アクセス要求 メール 無線

53

54 ボリューム / インパクト Script Kiddies BLASTER, SLAMMER 目的 : 自己顕示

55 2005- 現在 組織 Script Kiddies BLASTER, SLAMMER 目的 : 自己顕示 RANSOMWARE, CLICK-FRAUD, IDENTITY THEFT 目的 : 利益

56 2012 以降 現在 Script Kiddies BLASTER, SLAMMER 目的 : 自己顕示 組織 RANSOMWARE, CLICK-FRAUD, IDENTITY THEFT 目的 : 利益 国家 BRAZEN, COMPLEX, PERSISTENT 目的 : IP の盗難, 破壊

57 Windows Hello Microsoft Passport ID 保護 Enterprise Data Protection データ保護 UEFI / ELAM Device Guard Windows Defender Control Flow Guard 脅威への対抗

58