大月勇人, 若林大晃, 瀧本栄二, 齋藤彰一, 毛利公一 立命館大学 名古屋工業大学
|
|
|
- ちとら ままだ
- 5 years ago
- Views:
Transcription
1 大月勇人, 若林大晃, 瀧本栄二, 齋藤彰一, 毛利公一 立命館大学 名古屋工業大学
2 1. 研究背景 2. Alkanet アプローチ Alkanet の構成 監視するシステムコール ログ解析 3. 解析検体内訳 4. サービスを起動する検体 5. まとめ 立命館大学 年 10 月 30 日
3 ( 億種 ) マルウェアが急速に増加! 短時間で解析し, マルウェアの意図や概略を把握したい マルウェアを実行し, 挙動を観測することで解析する動的解析が有効 しかし, マルウェアの巧妙化により, 観測自体が困難となっている アンチデバッグ : 観測ツールを検知し, 観測 解析を妨害する コードインジェクション : 一般のプロセスに感染し, 悪意あるスレッド を潜ませる 立命館大学 年 10 月 30 日 ( 年 ) 2011 年には 4 億 300 万種の新種や亜種が出現! (Symantec のデータより )
4 マルウェアに検知されない観測システムの実現 マルウェアよりも高い権限で動作 マルウェア動作環境への影響を抑制 VMM を検出されないために ハードウェア構成を固定しない ゲスト OS は実マシンのハードウェアをそのまま認識する ゲスト OS と通信せずに内部の情報を得る 立命館大学 年 10 月 30 日
5 マルウェアの意図を理解しやすい情報を提供 粒度の観点から命令単位よりも API 単位の観測が有効 悪意あるスレッドがシステムに影響を与えるには システムコールが必要 悪意あるスレッドを追跡し, 挙動を観測 コードインジェクションを構成する挙動を観測 別プロセスへのメモリ書換え, DLL 挿入, スレッド作成など システムコールの発行元をスレッドレベルで区別 立命館大学 年 10 月 30 日
6 マルウェア観測用 ユーザ モード VM ログ分析 挙動抽出 ロギング用 カーネル モード システムコールをフックし, 情報取得 システムコール観測部 ログ メモリから直接ログを取得 表示 保存 立命館大学 年 10 月 30 日
7 挙動 ファイル レジストリ 仮想メモリ ファイルマッピング プロセス スレッド ネットワーク ドライバ 立命館大学 システムコールの例 NtCreateFile, NtReadFile, NtWriteFile, NtQueryValueKey,NtSetValueKey, NtWriteVirtualMemory, NtProtectVirtualMemory, NtCreateSection, NtOpenSection, NtMapViewOfSection, NtCreateProcessEx, NtTerminateProcess, NtCreateThread,NtTerminateThread, NtSetContextThread, NtDeviceIoControlFile, NtLoadDriver, 7 NtUnloadDriver 2012 年 10 月 30 日
8 1. スレッド作成 Polipos.exe NtCreateThread Cid: c, ProcessName: winlogon.exe => STATUS_SUCCESS 2. スレッドのコンテキスト取得 Polipos.exe NtGetContextThread Cid: c, ProcessName: winlogon.exe => STATUS_SUCCESS 3. メモリ確保 & 権限設定 Polipos.exe NtAllocateVirtualMemory Pid: 370, ProcessName: winlogon.exe, BaseAddress: 0xd90000, Protect: 0x40 (PAGE_EXECUTE_READWRITE), => STATUS_SUCCESS Polipos.exe NtProtectVirtualMemory Pid: 370, ProcessName: winlogon.exe, BaseAddress: 0xd90000, NewProtect: 0x40 (PAGE_EXECUTE_READWRITE), => STATUS_SUCCESS 4. メモリ書き込み Polipos.exe NtWriteVirtualMemory Pid: 370, ProcessName: winlogon.exe => STATUS_SUCCESS 5. スレッドのコンテキスト設定 Polipos.exe NtSetContextThread Cid: c, ProcessName: winlogon.exe => STATUS_SUCCESS 6. スレッドの実行開始 Polipos.exe NtResumeThread Cid: c, ProcessName: winlogon.exe => STATUS_SUCCESS 立命館大学 年 10 月 30 日
9 No. [5212, 5213]: Polipos.exe (Cid: 54c.18c) -> svchost.exe (Cid: 480.2c4) (Code Injection) No. [5288, 5289]: svchost.exe (Cid: 480.2c4) -> svchost.exe (Cid: c) No. [5959, 5960]: svchost.exe (Cid: c) -> svchost.exe (Cid: c) No. [6392, 6393]: svchost.exe (Cid: c) -> svchost.exe (Cid: ) No. [11340, 11341]: svchost.exe (Cid: c) -> svchost.exe (Cid: ) No. [14368, 14369]: svchost.exe (Cid: ) -> rundll32.exe (Cid: 220.7f8) (Code Injection) No. [14546, 14547]: rundll32.exe (Cid: 220.7f8) -> rundll32.exe (Cid: ) No. [11844, 11845]: svchost.exe (Cid: c) -> svchost.exe (Cid: c) No. [15080, 15081]: svchost.exe (Cid: c) -> alg.exe (Cid: 34c.1c8) (Code Injection) No. [15240, 15241]: alg.exe (Cid: 34c.1c8) -> alg.exe (Cid: 34c.5ac) No. [13214, 13215]: svchost.exe (Cid: c) -> svchost.exe (Cid: 480.7e0) No. [16586, 16587]: svchost.exe (Cid: 480.7e0) -> explorer.exe (Cid: ) (Code Injection) No. [16744, 16745]: explorer.exe (Cid: ) -> explorer.exe (Cid: 538.6ac) No. [13802, 13803]: svchost.exe (Cid: c) -> svchost.exe (Cid: ) No. [14422, 14423]: svchost.exe (Cid: c) -> svchost.exe (Cid: 480.2d0) 別プロセスへ挿入されたスレッドを追跡可能 実装の簡単のため, 現在の Alkanet の実装では, マルウェアを認識するのはログ解析時 立命館大学 記録自体は全てのプロセス スレッドに対して行っている 年 10 月 30 日
![Polipos.exe が svchost.exe にスレッド作成 No. [5212, 5213]: Polipos.exe (Cid: 54c.18c) -> svchost.exe (Cid: 480.2c4) (Code Injection) No. [5288, 5289]: svchost.exe (Cid: 480.2c4) -> svchost.exe (Cid: 480.22c) No.](/docs-images/98/136776513/images/10-1.jpg "[5959, 5960]: svchost.exe (Cid: 480.22c) -> svchost.exe (Cid: 480.38c) No. [6392, 6393]: svchost.exe (Cid: 480.22c) -> svchost.exe (Cid: 480.360) No. [11340, 11341]: svchost.exe (Cid: 480.22c) -> svchost.exe (Cid: 480.720) スレッドが派生 No.")
10 Polipos.exe が svchost.exe にスレッド作成 No. [5212, 5213]: Polipos.exe (Cid: 54c.18c) -> svchost.exe (Cid: 480.2c4) (Code Injection) No. [5288, 5289]: svchost.exe (Cid: 480.2c4) -> svchost.exe (Cid: c) No. [5959, 5960]: svchost.exe (Cid: c) -> svchost.exe (Cid: c) No. [6392, 6393]: svchost.exe (Cid: c) -> svchost.exe (Cid: ) No. [11340, 11341]: svchost.exe (Cid: c) -> svchost.exe (Cid: ) スレッドが派生 No. [14368, 14369]: svchost.exe (Cid: ) -> rundll32.exe (Cid: 220.7f8) (Code Injection) No. [14546, 14547]: rundll32.exe (Cid: 220.7f8) -> rundll32.exe (Cid: ) さらに別のプロセスへ感染 No. [11844, 11845]: svchost.exe (Cid: c) -> svchost.exe (Cid: c) No. [15080, 15081]: svchost.exe (Cid: c) -> alg.exe (Cid: 34c.1c8) (Code Injection) No. [15240, 15241]: alg.exe (Cid: 34c.1c8) -> alg.exe (Cid: 34c.5ac) No. [13214, 13215]: svchost.exe (Cid: c) -> svchost.exe (Cid: 480.7e0) No. [16586, 16587]: svchost.exe (Cid: 480.7e0) -> explorer.exe (Cid: ) (Code Injection) No. [16744, 16745]: explorer.exe (Cid: ) -> explorer.exe (Cid: 538.6ac) No. [13802, 13803]: svchost.exe (Cid: c) -> svchost.exe (Cid: ) No. [14422, 14423]: svchost.exe (Cid: c) -> svchost.exe (Cid: 480.2d0) 別プロセスへ挿入されたスレッドを追跡可能 実装の簡単のため, 現在の Alkanet の実装では, マルウェアを認識するのはログ解析時 立命館大学 記録自体は全てのプロセス スレッドに対して行っている 年 10 月 30 日
11 最新のマルウェアに Alkanet はどこまで やれるのか? CCCDATAset2012 の 40 体について解析を行った 選択基準 : カスペルスキーの検出名 立命館大学 11 () 2: Backdoor.Win32.EggDrop.cpc 1 Backdoor.Win32.EggDrop.cpe 1 Backdoor.Win32.IRCBot.jwy 2 Backdoor.Win32.IRCBot.kzr 1 Backdoor.Win32.IRCBot.xu 1 Backdoor.Win32.Rbot.adqd 2 Backdoor.Win32.Rbot.bni 2 Net-Worm.Win32.Allaple.a 5 Net-Worm.Win32.Allaple.b 8 Net-Worm.Win32.Allaple.e 5 Net-Worm.Win32.Kido.dam.am 1 Net-Worm.Win32.Kido.ih 3 Trojan-Dropper.Win32.Injector.bslj 1 Trojan.Win32.Genome.rioo 1 Trojan.Win32.Genome.ujat 1 Trojan.Win32.Inject.achx 1 Trojan.Win32.Jorik.Poebot.bt 1 Trojan.Win32.VBKrypt.imgt 1 Virus.Win32.Virut.av 1 Worm.Win32.Ngrbot.jit 年 10 月 30 日
12 3: () () 33 (82.5%) 17 (85.0%) 24 (60.0%) 10 (50.0%) 2 ( 5.0%) 2 (10.0%) 22 (55.0%) 11 (55.0%) 10 (25.0%) 8 (40.0%) 15 (37.5%) 5 (25.0%) 15 (37.5%) 4 (20.0%) Run 5 (12.5%) 5 (25.0%) LocalServer32 21 (52.5%) 5 (25.0%) 21 (52.5%) 8 (40.0%) /etc/host 2 ( 5.0%) 2 (10.0%) 5 (12.5%) 5 (25.0%) 4 (10.0%) 3 (15.0%) 立命館大学 年 10 月 30 日
13 [P] 896: Injector.exe (pid:7e0, ths:1) Generated by malware executable file. [T] 926: Injector.exe (cid:7e0.7e4, #1204) Generated by malicious process. [P] 3488: Injector.exe (pid:7f0, ths:1) Generated by malicious thread. [T] 3518: Injector.exe (cid:7f0.7f4, #557) Generated by malicious process. [P] 4793: Injector.exe (pid:7f8, ths:1) Generated by malicious thread. [T] 4825: Injector.exe (cid:7f8.7fc, #74 ) Generated by malicious process. [T] 5144: explorer.exe (cid:6c8.74, #16869) Injected by malicious thread. [T] 7882: rundll32.exe (cid:73c.80, #931) Injected by malicious thread. 40 体中 10 体でこのような挙動が確認された 立命館大学 年 10 月 30 日
14 2.0% of logs are malicious. (1970/100706) [P] 886: Allaple.exe (pid:78, ths:1) Generated by malware executable file. [T] 914: Allaple.exe (cid: 78.80, #645) Generated by malicious process. [P] 2148: urdvxc.exe (pid:98, ths:1) Generated by malicious thread. [T] 2178: urdvxc.exe (cid: 98.9c, #449) Generated by malicious process. [P] 3383: urdvxc.exe (pid:a4, ths:1) Generated by malicious thread. [T] 3411: urdvxc.exe (cid: a4.a8, #440) Generated by malicious process. [P] 6820: urdvxc.exe (pid:11c, ths:1) Generated by malicious thread. [T] 6848: urdvxc.exe (cid:11c.118, #436) Generated by malicious process. 記録されたシステムコールの数に対して, マルウェアとして認識された割合が少なすぎる 立命館大学 年 10 月 30 日
15 最初に起動したマルウェアのプロセス マルウェアから起動されたプロセス マルウェアによって作成されたスレッド 立命館大学 年 10 月 30 日
16 services.exe が新たなプロセスを起動していた 39c.4cc services.exe NtCreateProcessEx Pid: a0, ProcessName: urdvxc.exe, \WINDOWS\system32\urdvxc.exe => STATUS_SUCCESS この urdvxc.exe はマルウェアによって作成されたファイル Allaple.exe NtCreateFile \??\C:\WINDOWS\system32\urdvxc.exe => STATUS_SUCCESS Allaple.exe NtWriteFile \WINDOWS\system32\urdvxc.exe => STATUS_SUCCESS services.exe が urdvxc.exe をサービスにするために レジストリを設定していることも記録されていた 39c.230 services.exe NtCreateKey \REGISTRY\MACHINE\SYSTEM\CONTROLSET001\SERVICES\MSWINDOWS => STATUS_SUCCESS 39c.230 services.exe NtSetValueKey \REGISTRY\MACHINE\SYSTEM\CONTROLSET001\SERVICES\MSWINDOWS, Type = 0x110 => STATUS_SUCCESS 39c.230 services.exe NtSetValueKey \REGISTRY\MACHINE\SYSTEM\CONTROLSET001\SERVICES\MSWINDOWS, ImagePath = "C:\WINDOWS\system32\urdvxc.exe" /service, => STATUS_SUCCESS 立命館大学 マルウェアと services.exe の間に通信があったと思われるが, 確認できず 年 10 月 30 日
17 1. マルウェアがファイルを作成 Allaple.exe NtCreateFile \??\C:\WINDOWS\system32\urdvxc.exe => STATUS_SUCCESS Allaple.exe NtWriteFile \WINDOWS\system32\urdvxc.exe => STATUS_SUCCESS 2. services.exe がレジストリを設定 39c.230 services.exe NtCreateKey \REGISTRY\MACHINE\SYSTEM\CONTROLSET001\SERVICES\MSWINDOWS => STATUS_SUCCESS 39c.230 services.exe NtSetValueKey \REGISTRY\MACHINE\SYSTEM\CONTROLSET001\SERVICES\MSWINDOWS, Type = 0x110 => STATUS_SUCCESS 39c.230 services.exe NtSetValueKey \REGISTRY\MACHINE\SYSTEM\CONTROLSET001\SERVICES\MSWINDOWS, ImagePath = "C:\WINDOWS\system32\urdvxc.exe" /service, => STATUS_SUCCESS 3. services.exe が独立したプロセスとして サービス起動 39c.4cc services.exe NtCreateProcessEx Pid: a0, ProcessName: urdvxc.exe, \WINDOWS\system32\urdvxc.exe => STATUS_SUCCESS 立命館大学 年 10 月 30 日
18 これまでの識別方法 最初に起動したマルウェアのプロセス マルウェアから起動されたプロセス マルウェアによって作成されたスレッド 今回追加 マルウェアによって書き込まれたファイルを 実行ファイルして起動されたプロセス 立命館大学 年 10 月 30 日
19 94.1% of logs are malicious. (94775/100706) [P] 886: Allaple.exe (pid:78, ths:1) Generated by malware executable file. [T] 914: Allaple.exe (cid: 78.80, #645) Generated by malicious process. [P] 2148: urdvxc.exe (pid:98, ths:1) Generated by malicious thread. [T] 2178: urdvxc.exe (cid: 98.9c, #449) Generated by malicious process. [P] 3383: urdvxc.exe (pid:a4, ths:1) Generated by malicious thread. [T] 3411: urdvxc.exe (cid: a4.a8, #440) Generated by malicious process. [P] 6820: urdvxc.exe (pid:11c, ths:1) Generated by malicious thread. [T] 6848: urdvxc.exe (cid:11c.118, #436) Generated by malicious process. [T] 3190: services.exe (cid:39c.4cc, #84 ) *** NORMAL PROCESS [P] 4481: urdvxc.exe (pid:a0, ths:5885) = [SERVICE] Generated as service by generated file. [T] 4509: urdvxc.exe (cid: a0.b0, #434) Generated by malicious process. [T] 5489: urdvxc.exe (cid: a0.ac, #20 ) Generated by malicious thread. [T] 6243: urdvxc.exe (cid: a0.bc, #166) Generated by malicious thread. [T] 6628: urdvxc.exe (cid: a0.e4, #27991) Generated by malicious thread. [T] 6638: urdvxc.exe (cid: a0.e8, #2 ) Generated by malicious thread. [T] 6654: urdvxc.exe (cid: a0.ec, #2 ) Generated by malicious thread. 立命館大学 年 10 月 30 日
20 Alkanet は TID レベルで区別 NtCreateThread や NtWriteVirtualMemory などをフック バックトレースとか File のどの辺に書いたかまで取ると 立命館大学 年 10 月 30 日
21 [P] 2332: IRCBot.exe (pid:cc, ths:2) Generated by malware executable file. [T] 2369: IRCBot.exe (cid: cc.e4, #1339) Generated by malicious thread. [T] 9446: IRCBot.exe (cid: cc.10c, #0 ) Generated by malicious thread. [T] 3520: services.exe (cid:39c.21c, #3010) *** NORMAL PROCESS [P] 3638: nservice.exe (pid:e8, ths:285) = [SERVICE] Generated as service by genereted file. [T] 3674: nservice.exe (cid: e8.ec, #356) Generated by malicious thread. 3343: [<-] (39c.42c) services.exe NtCreateKey key_handle:\registry\machine\system\controlset001\services\nservice => STATUS_SUCCESS 3349: [<-] (39c.42c) services.exe NtSetValueKey value_name:type, title_index:0, type:0x4 (REG_DWORD), data_size:0x4, data:+0x110, key_handle:\registry\machine\system\controlset001\services\nservice => STATUS_SUCCESS 3360: [<-] (39c.42c) services.exe NtSetValueKey value_name:start, title_index:0, type:0x4 (REG_DWORD), data_size:0x4, data:+0x2, key_handle:\registry\machine\system\controlset001\services\nservice => STATUS_SUCCESS 3364: [<-] (39c.42c) services.exe NtSetValueKey value_name:errorcontrol, title_index:0, type:0x4 (REG_DWORD), data_size:0x4, data:+0, key_handle:\registry\machine\system\controlset001\services\nservice => STATUS_SUCCESS 3367: [<-] (39c.42c) services.exe NtSetValueKey value_name:imagepath, title_index:0, type:0x2 (REG_EXPAND_SZ), data_size:0x42, data:c:\windows\system32\nservice.exe, key_handle:\registry\machine\system\controlset001\services\nservice => STATUS_SUCCESS 21 立命館大学 2012 年 10 月 30 日
22 1. マルウェアがドライバを作成 smsg.exe NtCreateFile \??\C:\WINDOWS\system32\drivers\sysdrv32.sys => STATUS_SUCCESS smsg.exe NtWriteFile \WINDOWS\system32\drivers\sysdrv32.sys => STATUS_SUCCESS 2. services.exe がレジストリを設定 39c.2f0 services.exe NtCreateKey \REGISTRY\MACHINE\SYSTEM\CONTROLSET001\SERVICES\SYSDRV32 => STATUS_SUCCESS 39c.2f0 services.exe NtSetValueKey \REGISTRY\MACHINE\SYSTEM\CONTROLSET001\SERVICES\SYSDRV32, Type = 0x1 => STATUS_SUCCESS 39c.2f0 services.exe NtSetValueKey \REGISTRY\MACHINE\SYSTEM\CONTROLSET001\SERVICES\SYSDRV32, ImagePath = "\??\C:\WINDOWS\system32\drivers\sysdrv32.sys" => STATUS_SUCCESS 3. services.exe がドライバをロード 39c.2f0 services.exe NtLoadDriver \Registry\Machine\System\CurrentControlSet\Services\sysdrv32 => STATUS_SUCCESS 論文では NtLoadDriver は観測されなかったと書いたが, ログ解析ツールに問題があり, 実際には観測されていた 立命館大学 年 10 月 30 日
23 Alkanet VMM を用いてアンチデバッグを回避する スレッド単位でマルウェアを追跡し, システムコールをトレースする ログを元にマルウェアの特徴的な挙動を抽出するツール群も作成 別プロセス内に作成されたスレッドも追跡可能であることを確認 今年のデータセットの 40 体解析した サービスを起動するようなものが多く見られた 今回, マルウェアの作ったファイルを別のプロセスから起動される場合に対応 今後の課題 より細かくマルウェアによるシステムコールなのか判別可能にする スタックバックトレース, メモリにマップされているファイルの位置, ファイル書き込みの挙動で書き込んだ位置 プロセス間通信の対応 システムコールトレースログを元に異常検知やクラスタリングを行う既存手法に Alkanet のログが利用できるか評価 立命館大学 年 10 月 30 日
( 億 種 ) マルウェアが 急 速 に 増 加! 短 時 間 で 解 析 し, マルウェアの 意 図 や 概 略 を 把 握 したい マルウェアを 実 行 し, 挙 動 を 観 測 することで 解 析 する 動 的 解 析 が 有 効 しかし, マルウェアの 巧 妙 化 により, 観 測 自 体
大 月 勇 人, 瀧 本 栄 二, 毛 利 公 一 立 命 館 大 学 ( 億 種 ) マルウェアが 急 速 に 増 加! 短 時 間 で 解 析 し, マルウェアの 意 図 や 概 略 を 把 握 したい マルウェアを 実 行 し, 挙 動 を 観 測 することで 解 析 する 動 的 解 析 が 有 効 しかし, マルウェアの 巧 妙 化 により, 観 測 自 体 が 困 難 となっている アンチデバッグ:
今週の進捗
Virtualize APIC access による APIC フック手法 立命館大学富田崇詠, 明田修平, 瀧本栄二, 毛利公一 2016/11/30 1 はじめに (1/2) マルウェアの脅威が問題となっている 2015年に4 億 3000 万以上の検体が新たに発見されている マルウェア対策にはマルウェアが持つ機能 挙動の正確な解析が重要 マルウェア動的解析システム : Alkanet 仮想計算機モニタのBitVisorの拡張機能として動作
テスト
NTT Secure Platform Laboratories NTT セキュアプラットフォーム研究所 テイント伝搬に基づく 解析対象コードの追跡方法 NTT セキュアプラットフォーム研究所 川古谷裕平 塩治榮太朗 岩村誠 針生剛男 2012 NTT Secure Platform Laboratories 目次 背景 問題定義 提案手法 実装 実験 関連研究 考察 まとめ 2 背景 マルウェアの動的解析が様々なところで利用されている
1 BitVisor [3] Alkanet[1] Alkanet (DLL) DLL 2 Alkanet 3 4 5 6 7 2 Alkanet Alkanet VMM VMM Alkanet Windows [2] マルウェア 観 測 用 VM SystemCall Windows System
![1 BitVisor [3] Alkanet[1] Alkanet (DLL) DLL 2 Alkanet 3 4 5 6 7 2 Alkanet Alkanet VMM VMM Alkanet Windows [2] マルウェア 観 測 用 VM SystemCall Windows System](/thumbs/40/20587794.jpg "1 BitVisor [3] Alkanet[1] Alkanet (DLL) DLL 2 Alkanet 3 4 5 6 7 2 Alkanet Alkanet VMM VMM Alkanet Windows [2] マルウェア 観 測 用 VM SystemCall Windows System")
Computer Security Symposium 2013 21-23 October 2013 Alkanet 525-8577 1-1-1 yotuki@asl.cs.ritsumei.ac.jp, {takimoto, mouri}@cs.ritsumei.ac.jp 466-8555 shoichi@nitech.ac.jp BitVisor Alkanet API DLL A Method
Microsoft PowerPoint - 鵜飼裕司講演資料shirahama_egg.ppt [互換モード]
![Microsoft PowerPoint - 鵜飼裕司講演資料shirahama_egg.ppt [互換モード]](/thumbs/96/127377560.jpg "Microsoft PowerPoint - 鵜飼裕司講演資料shirahama_egg.ppt [互換モード]")
仮想環境に依存しない動的解析システム egg の設計と実装 http://www.fourteenforty.jp 株式会社フォティーンフォティ技術研究所 アジェンダ 背景と問題 egg とは デモ : 基本的な機能 実装 (Ring-0 における汚染追跡 ) デモ : 汚染追跡 egg の制約と今後 まとめ 2 背景 : 増え続ける新種のマルウェア 100 90 80 70 60 50 40 30
bitvisor_summit.pptx
BitVisor 内蔵の lwip で Alkanet ログの送信を試みる 命館 学システムソフトウェア研究室 下雄也, 明 修平, 瀧本栄, 利公 1 はじめに (1/4) 近年, マルウェアが増加しており, マルウェアの脅威が問題となっている マルウェアの脅威に対抗するためには, 多数のマルウェアを迅速に解析する必要がある システムコールトレーサ Alkanet Windows 上で動作するマルウェアを対象とし,
ソフトウェアセキュリティ研究チーム ポスター・デモ紹介
情報セキュリティ研究センター Research Center for Information Security ゼロディ攻撃に対する異常挙動解析と挿入可能な仮想マシンモニタによるデバイス制御 Windows のゼロディ攻撃に対して 振舞いから異常動作を検出 し 仮想マシンモニタでのデバイス制御 をすることより情報漏洩 改竄を防止する 開発項目 1Windows 上での異常挙動検出 2 仮想マシンモニタインサーション
Windows 上における危険な処理の承認機構の提案 早川顕太 鈴木秀和 旭健作 名城大学理工学部 渡邊晃 はじめにマルウェアは多様化が進み, 不正インストールやスパムメールの送信, 情報漏えいといった様々な活動を行う. これらの活動はバックグラウンドで行われるためユーザが気づくことができないという
Windows 上における危険な処理の承認機構の提案 早川顕太 鈴木秀和 旭健作 名城大学理工学部 渡邊晃 はじめにマルウェアは多様化が進み, 不正インストールやスパムメールの送信, 情報漏えいといった様々な活動を行う. これらの活動はバックグラウンドで行われるためユーザが気づくことができないという課題がある. 本稿では,Windows 上において危険な処理の承認機構を提案することにより, マルウェアがバックグランドで行う活動を防止する.
侵入挙動の反復性によるボット検知方式
侵入挙動の反復性による ボット検知方式 静岡大学酒井崇裕 KDDI 研究所竹森敬祐 NICT 安藤類央静岡大学西垣正勝 1 1 ボットの検知技術 パターンマッチング法 ボットのバイトパターンを定義し マッチングすることで検出する ビヘイビアブロッキング法 ボットの振る舞いを定義し その振る舞いを行っているかを監視することで検出する 2 2 パターンマッチング法 一般的なアンチウイルスソフトの主流 既知のボット検知にあたり
目次 目次 2 著作権 3 免責事項 3 更新履歴 4 文書情報 4 1. はじめに 5 2. SpyEye の概要 動作概要 システムへのインストール 感染活動 他プロセスへの影響 SpyEye 隠ぺいルーチン H
Ver 2.00.02 SpyEye 解析レポート SpyEye vs FFRI Limosa Fourteenforty Research Institute, Inc. 株式会社フォティーンフォティ技術研究所 目次 目次 2 著作権 3 免責事項 3 更新履歴 4 文書情報 4 1. はじめに 5 2. SpyEye の概要 6 2.1. 動作概要 7 2.2. システムへのインストール 7 2.3.
マルウェア対策のための研究用データセット ～ MWS Datasets 2013 ～.pptx
1 2 3 4 5 6 MWS Datasets 2013 MWS Datasets 2013 感染 PC 群 PRACTICE Dataset 2013 サーバ型ハニーポット CCC Dataset 2013 NICTER Darknet Dataset 2013 Darknet scan ボット ワーム クライアント型ハニーポット SandBox D3M 2013 FFRI Dataset 2013
Computer Security Symposium October ,a) API API API Alkanet IDA MWS API Proposal of static analysis assistance method utilizi
Computer Security Symposium 2016 11-13 October 2016 1,a) 1 1 2 1 API API API Alkanet IDA MWS API Proposal of static analysis assistance method utilizing the dynamic analysis log Shota Nakajima 1,a) Shuhei
スライド 1
FFRI Dataset 2016 のご紹介 株式会社 FFRI http://www.ffri.jp Ver 2.00.01 1 Agenda FFRI Dataset 2016 概要 Cuckoo Sandbox 具体的なデータ項目 データの利用例 2 FFRI Dataset 2016 の概要 FFRIで収集したマルウェアの動的解析ログ 2016/1~2016/3に収集された検体 計 8,243
ダンプ取得機能強化サポートオプション Enterprise Edition
株式会社様 ダンプ取得機能強化サポートオプション Enterprise Edition Enterprise Event Recorder for Linux 2017/06 株式会社日立製作所システム & サービスビジネス IoT クラウドサービス事業部オペレーティングシステム本部 1. ダンプ取得機能強化サポート Enterprise Editionの位置付け ダンプ取得機能強化サポート Enterprise
新たな基礎年金制度の構築に向けて
[ ] 1 1 4 60 1 ( 1 ) 1 1 1 4 1 1 1 1 1 4 1 2 1 1 1 ( ) 2 1 1 1 1 1 1 1996 1 3 4.3(2) 1997 1 65 1 1 2 1/3 ( )2/3 1 1/3 ( ) 1 1 2 3 2 4 6 2.1 1 2 1 ( ) 13 1 1 1 1 2 2 ( ) ( ) 1 ( ) 60 1 1 2.2 (1) (3) ( 9
InfoTrace Mark II for Cyber
MWS2019 プレミーティング Soliton Dataset 2019 2019 年 6 月 4 日 株式会社ソリトンシステムズ Soliton Dataset 2019 について エンタープライズ向け EDR 製品である InfoTrace Mark II for Cyber( 以下 Mark II) は 内部不正対策としても利用できるログ取得を行っています この特性は 実際のフォレンジック現場で目にするデータに近いものとしてマルウェア対策研究に役立つと考え
Kullback-Leibler 情報量を用いた亜種マルウェアの同定 電気通信大学 中村燎太 松宮遼 高橋一志 大山恵弘 1
Kullback-Leibler 情報量を用いた亜種マルウェアの同定 電気通信大学 中村燎太 松宮遼 高橋一志 大山恵弘 1 背景 近年 マルウェアの検出数は増加しつつある 亜種関係にあるマルウェアも増加傾向にある マルウェア自動生成ツールの台頭が影響 ZeuS, SpyEye といったツールが蔓延 攻撃者のスキルに依らず 亜種の関係にあるマルウェアを自動的かつ大量に生成可能な環境が整えやすい マルウェアを手作業で分析し
KSforWindowsServerのご紹介
Kaspersky Security for Windows Server のご紹介 ランサムウェアに対抗する アンチクリプター を搭載 株式会社カスペルスキー 製品本部 目次 1. サーバーセキュリティがなぜ重要か? 2. Kaspesky Security for Windows Server の概要 Kaspersky Security for Windows Server の特長 導入の効果
プレゼンテーション
統合ログ管理ソリューションでマルウェアを発見し 情報漏洩を防ぐためには? McAfee SIEM と CAPLogger SFChecker マルウェアの発見概要 従来型アンチマルウェアによる発見 新型アンチマルウェアによる発見 振る舞い検知 レピュテーション サンドボックス SIEM による不審動作発見 マルウェア感染が疑われる PC の特定 発見後の課題 Copyright 2014 dit Co.,
1012 ボットネットおよびボットコードセットの耐性解析
ボットネットおよびボットコードセットの耐性解析 KDDI 研究所静岡大学竹森敬祐磯原隆将三宅優西垣正勝 1. はじめに 2. 基本的な統計情報の調査 3. ネットワーク上でのボットネット耐性解析 4. PC 上でのコードセット耐性解析 5. おわりに 1 1. はじめに ボットネット トップダウン型 P2P 型 課題 指令者は 効率的かつ安定的なボットネットの運用とボットの確保に努めている ボットネットおよびコードセットの耐性を把握することは
PowerPoint プレゼンテーション
BitVisor のための OS の状態の復元機能 2013 年 12 月 6 日 電気通信大学河﨑雄大大山恵弘 1 BitVisor Summit 2 2013/12/6 背景 近年 マルウェアなどの多くのセキュリティ脅威が発見されている OS 上のセキュリティシステムで監視や防御をするのが一般的な方法である しかし OS が乗っ取られてしまうと無効化されてしまう 監視や防御などの処理は OS の外で行いたい!
未知コンピュータウイルスを駆除するUSBフラッシュメモリの開発
本資料について 本資料は下記の論文を基にして作成されたものです. 文章の内容の正確さは保障できないため, 正確な知識を求める方は原文を参照してください. 著者 : 小池竜一, 中谷直司, 厚井祐司 論文名 : 未知コンピュータウイルスを駆除する USB フラッシュメモリの開発 出展 : 情報処理学会論文誌 Vol.48 No.4 発表日 :2007 年 4 月 未知コンピュータウイルスを駆除する USB
スライド 1
名古屋工業大学白石研究室 1 通信可視化と動的解析の連携による攻撃解析支援 義則隆之 伴拓也 宮嵜仁志 松井拓也 佐藤両 岡崎亮介 篠田昭人 廣友雅徳 毛利公美 神薗雅紀 白石善明 名古屋工業大学 佐賀大学 岐阜大学 株式会社セキュアブレイン 2012/10/31 発表概要 目的 課題 DBD(Drive-by-Download) 攻撃の被害の拡大を抑える 各組織で迅速に対策を講じられるよう支援 攻撃フローの全容を把握できれば適切な対策を講じられる
1013 動的解析によるBOTコマンドの自動抽出
動的解析による BOT コマンドの 自動抽出 Malware Workshop 2008 2008 年 10 月 10 日株式会社セキュアブレイン星澤裕二 岡田晃市郎 太刀川剛 背景と目的 背景 大量発生している BOT の感染を未然に防いだり 感染してしまった場合に被害を最小限に抑えたりするために BOT の挙動を短時間で知ることが重要 目的 短時間で BOT のすべての挙動を知りたい 感染活動だけでなく
脆弱性を狙った脅威の分析と対策について Vol 年 7 月 21 日独立行政法人情報処理推進機構セキュリティセンター (IPA/ISEC) 独立行政法人情報処理推進機構 ( 略称 IPA 理事長 : 西垣浩司 ) は 2008 年度におけ る脆弱性を狙った脅威の一例を分析し 対策をまと
脆弱性を狙った脅威の分析と対策について Vol.2 2009 年 7 月 21 日独立行政法人情報処理推進機構セキュリティセンター (IPA/ISEC) 独立行政法人情報処理推進機構 ( 略称 IPA 理事長 : 西垣浩司 ) は 2008 年度におけ る脆弱性を狙った脅威の一例を分析し 対策をまとめました 同じ攻撃手法で異なる攻撃内容 攻撃者はマルウェア作成にツールを利用 ~ 不審メール 110
スライド 1
Monthly Research 動的情報に基づいたマルウェアのクラスタリング Fourteenforty Research Institute, Inc. 株式会社 FFRI http://www.ffri.jp Ver2.00.01 Agenda 1. 背景と目的 2. クラスタリング概要 3. 実験概要 4. 実験結果 5. 考察 6. まとめ 7. 今後の課題 2 1. 背景と目的 近年 亜種を含めマルウェアが急増
CLUSTERPRO MC ProcessSaver 1.2 for Windows 導入ガイド 第 4 版 2014 年 3 月 日本電気株式会社
CLUSTERPRO MC ProcessSaver 1.2 for Windows 導入ガイド 第 4 版 2014 年 3 月 日本電気株式会社 目次 はじめに 本製品のねらい こんな障害が発生したら 導入効果 適用例 1 適用例 2 ProcessSaver 機能紹介 ProcessSaver とは? 消滅監視の概要 運用管理製品との連携 システム要件 製品価格 保守 / サービス関連情報 購入時のご注意
スライド 1
FFRI Dataset 2014 のご紹介 株式会社 FFRI http://www.ffri.jp Ver 2.00.01 1 Agenda FFRI Dataset 2014 概要 Cuckoo Sandbox 具体的なデータ項目 FFR yarai analyzer Professional 具体的なデータ項目 データの利用例 2 FFRI Dataset 2014 の概要 FFRIで収集したマルウェアの動的解析ログ
CLUSTERPRO MC ProcessSaver 2.3 for Windows 導入ガイド 第 5 版 2018 年 6 月 日本電気株式会社
CLUSTERPRO MC ProcessSaver 2.3 for Windows 導入ガイド 第 5 版 2018 年 6 月 日本電気株式会社 目次 はじめに 本製品のねらい こんな障害が発生したら 導入効果 適用例 1 適用例 2 ProcessSaver 機能紹介 ProcessSaver とは? 消滅監視の概要 運用管理製品との連携 システム要件 製品価格 保守 / サービス関連情報 商標
情報セキュリティ研究センター活動紹介
Bitvisor をベースとした 既存 Windows のドライバメモリ保護 須崎有康 八木豊志樹 古原和邦 石山智祥 村上純一 鵜飼裕司 ( 独 ) 産業技術総合研究所セキュアシステム研究部門フォティーンフォティ技術研究所 概要 背景 ドライバメモリを守る理由 ドライバメモリ保護に必要な技術 現状 インストール済みの OS の外部から挿入可能なハイパーバイザー VM Introspection 関連研究
目次 実習 1 ネットワーク接続状況の確認... 2 実習 2 不審プロセスの確認... 5
実習資料 1 仙台 CTF セキュリティ技術勉強会実習 Volatility Framework によるメモリフォレンジック 平成 29 年 11 月 12 日 仙台 CTF 実行委員会 目次 実習 1 ネットワーク接続状況の確認... 2 実習 2 不審プロセスの確認... 5 本実習の概要 あなたは 架空の企業 株式会社仙台シーテーエフ に入社したばかりの新米情報セキュリティ担当者です 営業所の社員用
Progress report
自動化されたマルウェア動的解析システム で収集した大量 API コールログの分析 MWS 2013 藤野朗稚, 森達哉 早稲田大学基幹理工学部情報理工学科 Akinori Fujino, Waseda Univ. 1 目次 研究背景 提案手法 結果 まとめ Akinori Fujino, Waseda Univ. 2 マルウェアは日々驚くべき速さで増加している. 一日当たり 20 万個の新しいマルウェアが発見されている
Alkanet[1, 2] Alkanet CPU CPU 2 Alkanet Alkanet (VMM) VMM Alkanet Windows Alkanet 1 Alkanet VMM BitVisor[3] BitVisor OS ユーザモード カーネルモード マルウェア観測用 PC VM
![Alkanet[1, 2] Alkanet CPU CPU 2 Alkanet Alkanet (VMM) VMM Alkanet Windows Alkanet 1 Alkanet VMM BitVisor[3] BitVisor OS ユーザモード カーネルモード マルウェア観測用 PC VM](/thumbs/83/87880524.jpg "Alkanet[1, 2] Alkanet CPU CPU 2 Alkanet Alkanet (VMM) VMM Alkanet Windows Alkanet 1 Alkanet VMM BitVisor[3] BitVisor OS ユーザモード カーネルモード マルウェア観測用 PC VM")
Computer Security Symposium 2014 22-24 October 2014 525-8577 1-1-1 yotuki@asl.cs.ritsumei.ac.jp, {takimoto, mouri}@cs.ritsumei.ac.jp 466-8555 shoichi@nitech.ac.jp Alkanet CPU Identifying of System Call
ET2011 SPセッション C7 08
進化しつづけるマルウェア : 仮想マシン技術からの対策 慶應義塾大学理工学部 河野健二 ルートキットの脅威 ルートキットとは? OS 内部に潜む悪質なソフトウェアのこと OS 自身の動作が信頼できなくなるため, きわめて悪質 アンチウィルスソフトからマルウェアを隠すのが目的 ファイル, プロセス, データなどを隠蔽するバックドアを仕掛ける, などなど パスワード, クレジットカード番号などを盗むための常套手段
Microsoft Word - UniversalShield_Hitachi.doc
Universal Shield 技術ノート ~ ローカル書込み禁止設定 ~ Rev. 1.0 更新 2012 年 5 月株式会社ネクステッジテクノロジー http://www.nextedgetech.com はじめに本ドキュメントは データ保護ソフトウェア Universal Shield を使ってローカルディスクへの書き込みを制限するための保護リストを作成する手順について解説しています 製品に関する基本的な機能や操作方法に関しては
04-process_thread_2.ppt
オペレーティングシステム ~ 保護とシステムコール ~ 山田浩史 hiroshiy @ cc.tuat.ac.jp 2015/05/08 復習 : OS の目的 ( 今回の話題 ) 裸のコンピュータを抽象化 (abstraction) し より使いやすく安全なコンピュータとして見せること OS はハードウェアを制御し アプリケーションの効率的な動作や容易な開発を支援する OS がないと 1 つしかプログラムが動作しない
スライド 1
Man in the Browser in Androidの可能性 Fourteenforty Research Institute, Inc. Fourteenforty Research Institute, Inc. 株式会社フォティーンフォティ技術研究所 http://www.fourteenforty.jp Ver 2.00.01 1 Android の普及と Man in the Browser
PowerPoint プレゼンテーション
KeepEye のご紹介 S&J 株式会社 KeepEye のサービスコンセプト 背景 高度化するサイバー攻撃を従来の Firewall やウイルス対策ソフトで防御することは困難になっています 一方で 高度なサイバー攻撃を防御するセキュリティ専門家が運用する前提のツールが複数のベンダーから提供されるようになっていますが 各企業でそのツールを運用するセキュリティ専門家を雇用するのが難しく 実際運用ができずに
NetworkVantage 9
DevPartner エラー検出 はじめてのエラー検出 (Unmanaged VC++ 版 ) 本書は はじめてエラー検出を使用する際に参考していただくドキュメントです 詳細な情報につきましては 製品に付属しているオンラインドキュメントならびにオンラインヘルプをご参照ください なお 本書は Visual Studio 2010 をベースとして説明しております Visual Studio 6.0 の場合は
Microsoft PowerPoint - OS07.pptx
この資料は 情報工学レクチャーシリーズ松尾啓志著 ( 森北出版株式会社 ) を用いて授業を行うために 名古屋工業大学松尾啓志 津邑公暁が作成しました 主記憶管理 主記憶管理基礎 パワーポイント 27 で最終版として保存しているため 変更はできませんが 授業でお使いなる場合は松尾 (matsuo@nitech.ac.jp) まで連絡いただければ 編集可能なバージョンをお渡しする事も可能です 復習 OS
修士論文進捗報告
TCP フィンガープリントによる悪意のある通信の分析 早稲田大学大学院基幹理工学研究科 後藤研究室修士 2 年 5108B034-7 木佐森幸太 1 研究の背景 ボットの脅威の拡大 検出の難しさ カーネルマルウェアの増加 カーネルモードで動作するマルウェア すべての動作をカーネルモードで実行できるマルウェアをフルカーネルマルウェア (FKM) と呼ぶ FKM は既存 OS の TCP/IP 実装とは異なる独自のネットワークドライバを実装
McAfee Application Control ご紹介
SHieldWARE ファイル改ざん検知 / 防御機能 株式会社富士通ソーシアルサイエンスラボラトリ ファイル変更監視概要 指定したファイル / ディレクトリへの編集操作をリアルタイムで検知 サーバ 不正ユーザー Web コンテンツディレクトリ ログファイルディレクトリ ファイル読込 ファイル書込 事前定義したファイルへの書込を検知しログ出力 事前定義したファイルへの書込を検知しログ出力 改ざん 改ざん
TOMOYO Linux
TOMOYO Linux タスク構造体の拡張によるセキュリティ強化 Linux [ 当日説明用資料 ] 平成 16 年 6 月 3 日株式会社 NTT データ技術開発本部オープンシステムアーキテクチャグループ原田季栄 haradats@nttdata.co.jp Linux セキュリティ上の課題 所有者 による 自由裁量 のアクセス制御粗い分類と 制御の粒度システム管理者に対しては効力を持たないシステム管理者権限を奪われると歯止め無し
この手の問題を診断する際に Simics は完璧なツールなのですが 実行するためには 問題が発生するプログラムを Simics に取り込まなければなりません すなわち Simics 上で Simics を実行するのです まず Simics 内部に開発ホストの複製を作成します これは何も難しいことでは
Simics 上での Simics のデバッグ 投稿者 :Jakob Engblom,, 2012/12/05 私はたびたび書いたり話したりしていますが Simics は並列処理のバグのデバッグと マルチスレッドやマルチコアシステムの障害に対するデバッグには実に有効です 非常に複雑なアプリケーション 具体的に言えば Simics 自体の上で このことを証明した例を最近経験しました この例は Simics
Computer Security Symposium October 2015 プロセス情報不可視化のための仮想計算機モニタよるメモリアクセス制御 佐藤将也山内利宏谷口秀夫 岡山大学大学院自然科学研究科 岡山県岡山市北区津島中 {sato, ya
Computer Security Symposium 2015 21-23 October 2015 プロセス情報不可視化のための仮想計算機モニタよるメモリアクセス制御 佐藤将也山内利宏谷口秀夫 岡山大学大学院自然科学研究科 700-8530 岡山県岡山市北区津島中 3-1-1 {sato, yamauchi, tani}@cs.okayama-u.ac.jp あらまし重要なソフトウェアが攻撃の対象となり無力化されると,
割込み型迎撃方式 (Intercept) ディフェンスプラットフォームのご紹介 この資料は説明員からの説明が必要な資料です 第 17 版 C2014 Humming Heads Inc. All Rights Reserved.
割込み型迎撃方式 (Intercept) ディフェンスプラットフォームのご紹介 この資料は説明員からの説明が必要な資料です 第 17 版 割込み型迎撃方式 ( インターセプト )API 監視とは ウイルスを含む全てのプログラム ( アプリケーション ) API API API API API API フック ( 割込み ) システム DLL Windows プロセスアプリケーションスクリプトファイルキーボードメモリレジストリ
Vol.03 MDS メモリ分析ベースの検知技術を搭載
2014.3 Vol.03 MDS メモリ分析ベースの検知技術を搭載 行為分析を回避するマルウェアをスマートに検知 MDS メモリ分析ベース検知技術を搭載 多くのAPTソリューションベンダーでは 未知のマルウェア unknown malware を検知する対策としてシグネチャレス signat ure-less 技術を強調している これは仮想マシン Virtual Machine やサンドボックス
ESMCommonService 本サービスは 複数の監視サービスで構成されています ESMCommonService サービス本体で検出するイベントを処理します 通報時のイベントログのソース名は "ESMCommonService" で登録されます CPU 負荷監視定期的にシステムのパフォーマンス
ESMFSService 本サービスはファイルシステム ( 論理ドライブ ) の構成, 空き容量監視を行います 本サービスに関するアラートが発生した際には ファイルシステムの空き容量等を確認してくださ イベントビューア アラートビューア ID(16 進 ) 種類 説明 概要 ( トラップ名 ) 詳細 対処 状態色 マネージャエクスプレス通報 備考 Enterprise ID Specific ID
タイトルを１～２行で入力 （長文の場合はフォントサイズを縮小）
1A3-4: MWS ドライブ バイ ダウンロード Exploit Kit の変化への適応を目的としたサイバー攻撃検知システムの改良 2015 年 10 月 21 日株式会社 NTT データ 益子博貴, 重田真義, 大谷尚通 INDEX Copyright 2014 2015 NTT DATA Corporation 2 1 Drive-by Download 攻撃の定性的特徴とその変化 2 Exploit
Soliton Dataset 2018 目的 エンタープライズ向けセキュリティログ取得製品を利用し様々なマルウェア動作ログを提供することで マルウェア対策の研究 開発の促進に寄与することを目指します 特長 Windows 上でのマルウェア動作ログ 横展開や MBR 書き換え系マルウェアも可能な範囲
MWS ポストミーティング Soliton Dataset 2018 について 2017 年 12 月 1 日株式会社ソリトンシステムズ 本資料に記載の内容は 2017 年 12 月 1 日時点の予定であり 今後変更の可能性があるものです あらかじめご了承ください Soliton Dataset 2018 目的 エンタープライズ向けセキュリティログ取得製品を利用し様々なマルウェア動作ログを提供することで
2015 TRON Symposium セッション 組込み機器のための機能安全対応 TRON Safe Kernel TRON Safe Kernel の紹介 2015/12/10 株式会社日立超 LSIシステムズ製品ソリューション設計部トロンフォーラム TRON Safe Kernel WG 幹事
2015 TRON Symposium セッション 組込み機器のための機能安全対応 TRON Safe Kernel TRON Safe Kernel の紹介 2015/12/10 株式会社日立超 LSIシステムズ製品ソリューション設計部トロンフォーラム TRON Safe Kernel WG 幹事 豊山 祐一 Hitachi ULSI Systems Co., Ltd. 2015. All rights
マルウェアレポート 2017年10月度版
DDE を悪用したダウンローダーを多く検出 ショートレポート 2017 年 10 月マルウェア検出状況 1. 10 月の概況について 2. DDE を悪用したダウンローダー 3. 新種のランサムウェアの出現 4. マイニングマルウェアの流行 1. 10 月の概況について 2017 年 10 月 1 日から 10 月 31 日までの間 ESET 製品が国内で検出したマルウェアの比率は 以下のと おりです
<4D F736F F F696E74202D E9197BF C A837B C EC091D492B28DB8284E E B8CDD8AB B83685D>
資料 9-2 ボットネット実態調査 平成 20 年 6 月 8 日 NTT 情報流通プラットフォーム研究所 Copyright 2008 NTT, corp. All Rights Reserved. 調査手法 2 種類のハニーポットと 2 種類の動的解析システムで ボットネットの実態を 攻撃検知 検体収集 検体解析 の面から調査 能動的攻撃 受動的攻撃 サーバ型ハニーポットクライアント型ハニーポットトによる能動的攻撃実態調査による受動的攻撃実態調査攻撃検知
Soliton Dataset 2018
MWS2018 意見交換会 ( プレミーティング ) Soliton Dataset 2018 2018 年 5 月 30 日 株式会社ソリトンシステムズ Soliton Dataset 2018 について エンタープライズ向け EDR 製品である InfoTrace Mark II for Cyber( 以下 Mark II) は 内部不正対策としても利用できるログ取得を行っています この特性は
スライド 1
1 システムコールフックを使用した攻撃検出 株式会社フォティーンフォティー技術研究所 http://www.fourteenforty.jp 取締役技術担当金居良治 2 お題目 System Call について System Call Protection System Call Hook 考察 3 System Call とは? ユーザアプリケーションからカーネルのサービスルーチンを呼び出す Disk
<4D F736F F F696E74202D D312E A90A78CE48AC28BAB93B193FC835C838A B E707074>
USB メモリ制御環境導入ソリューション 2009 年 4 月 17 日 株式会社ソフトウェア パートナー Copyright 2009 All rights reserved, Agenda 1. 背景 2. 目的 3. 内容 3-1. USB メモリの利用自体を制御 3-2. USB メモリの 書き込み のみを制御 3-3. USB メモリ利用の柔軟な制御と 管理機能 の提供 1. 背景 現在
レースは API 関数の先頭にソフトウェアブレークポイントを設置することで, 実現することが出来る. しかし, ソフトウェアブレークポイントを利用したブレークポイントは, 命令を置き換えるため, プログラムのチェックサムを監視するようなアンチデバッグ機能に検知されてしまうという問題がある. 2.2
メモリ拡張によるアドレスに依存しないブレークポイント技術の提案 中山心太 青木一史 川古谷裕平 岩村誠 伊藤光恭 NTT 情報流通プラットフォーム研究所 180-8585 東京都武蔵野市緑町 3-9-11 {nakayama.shinta, aoki.kazufumi, kawakoya.yuhei, iwamura.makoto, itoh.mitsutaka }@lab.ntt.co.jp あらまし近年,
1 (1) vs. (2) (2) (a)(c) (a) (b) (c) 31 2 (a) (b) (c) LENCHAR
() 601 1 () 265 OK 36.11.16 20 604 266 601 30.4.5 (1) 91621 3037 (2) 20-12.2 20-13 (3) ex. 2540-64 - LENCHAR 1 (1) vs. (2) (2) 605 50.2.13 41.4.27 10 10 40.3.17 (a)(c) 2 1 10 (a) (b) (c) 31 2 (a) (b) (c)
shio SA.ppt[読み取り専用]
![shio SA.ppt[読み取り専用]](/thumbs/78/76924044.jpg "shio SA.ppt[読み取り専用]")
2005 213 Rootkit 2 ...... GPG EFS Windows 3 Rootkit + ifconfig, ps, ls, login Tripwire lkm-rootkit NT Rootkit, AFX Rootkit OS 4 HD... NTFS ADS Alternate Data Stream... NTFS HD HD...
OS
Operatig Systems カーネルとデバイスドライバ 2019-03 1 OS の構成要素 シェル ワープロ ブラウザ さまざまなソフトウェア ] ^ _ Z ` a b c d e ` f Y Z [ \ プロセス管理通信制御ファイルシステム メモリ管理割込み制御タイマ管理 デバイスドライバ 管理プログラム 基本ライブラリ デバイスドライバ CPU メモリ ストレージ さまざまなハードウェア
Drive-by-Download攻撃における通信の 定性的特徴とその遷移を捉えた検知方式
Drive-by-Download 攻撃における通信の 定性的特徴とその遷移を捉えた検知方式 2013/10/23 MWS2013 NTT データ 北野美紗, 大谷尚通, 宮本久仁男 目次 1. 背景 2. 本研究で提案する検知方式 3. 定性的な特徴の遷移 4. 検証 5. まとめ 2 目次 1. 背景 2. 本研究で提案する検知方式 3. 定性的な特徴の遷移 4. 検証 5. まとめ 3 1-1.
(1)2004年度 日本地理
1 2 3 4 1 2 3 4 5 6 7 8 9 10 11 12-5.0-5.1-1.4 4.2 8.6 12.4 16.9 19.5 16.6 10.8 3.3-2.0 6.6 16.6 16.6 18.6 21.3 23.8 26.6 28.5 28.2 27.2 24.9 21.7 18.4 22.7 5 1 2 3 4 5 6 7 8 9 10 11 12 2.2 3.5 7.7 11.1
TRQerS - Introduction
TRQerS 導入概要 横河ディジタルコンピュータ株式会社エンベデッドソリューション事業本部サポート部 (ESC-APN-035-02 Dec,25,2015) 1 システムマクロトレースの特徴 製品構成と導入フロー 2 システムマクロトレースの特徴 システムマクロトレース printf ログ出力の発展形 (printf より高速 文字列 / タグ情報 / タスク遷移 / 関数遷移 ) ハードウェアインターフェース
感染条件感染経路タイプウイルス概要 Authplay.dll (aka AuthPlayLib.bundle) を利用する Adobe Reader 9.x ~ より前のバージョンと 10.x から 上記動作環境に一致した環境下で当該 PDF タイプウイルスを実行することで
1. Exploit.PDF.CVE-2010-2883 一般向け情報 1.1 Exploit.PDF.CVE-2010-2883 の流行情報 2011 年 12 月 17 日 朝鮮民主主義人民共和国 ( 北朝鮮 ) の金正日氏の訃報に便乗して発生したウイルスである 今回解析する Exploit.PDF.CVE-2010-2883 は PDF 形式のウイルスであり メールや Web サイトに掲載されることで被害が拡大したと想定される
製品ラインアップ 製品機能
Save the World from IT threats Kaspersky Endpoint Security for Linux 製品説明資料 2017 年 12 月 12 日株式会社カスペルスキーコーポレートビジネス本部 Copyright 2017 Kaspersky Lab. All rights reserved. 製品ラインアップ 製品機能 Kaspersky Endpoint Security
情報漏洩対策ソリューション ESS REC のご説明
ESS-REC for SuperStream の概要について 平成 18 年 6 月 株式会社ソルクシーズ ソリューションビジネス事業本部 セキュリティソリューション部 目次 背景 目的 製品概要 製品概要図 製品構成 機能概要 詳細機能 ハード構成 その他 背景 毎日のように報道される情報漏洩事故や一部企業で問題になっている財務報告に関する虚偽記載など IT の発展によりこれまでに考えられない事件が多発しています
目次 1 Kaspersky Security for Windows Server 概要製品の特長導入の効果 2 製品機能紹介 2
Save the World from IT threats Kaspersky Security for Windows Server 製品説明資料 Ver 1.3 2018/4/11 株式会社カスペルスキーコーポレートビジネス本部 Copyright 2018 Kaspersky Lab. All rights reserved. 目次 1 Kaspersky Security for Windows
<4D F736F F F696E74202D D352E8ED093E08AC28BAB835A834C A BAD89BB82CC8CE492F188C42E707074>
社内ネットワーク環境におけるセキュリティ強化の御提案 クライアント PC 操作ログ インターネットアクセスログ取得環境導入および各拠点へのファイアウォール導入の御提案 株式会社ソフトウェア パートナー 1. 御提案背景 現在 社内システム環境およびネットワーク環境におけるセキュリティ対策として Active Directory を基本とした下記各種対策を実装しておりますが 貴社 IT 環境全体から見たセキュリティ対策として
ログを活用したActive Directoryに対する攻撃の検知と対策
電子署名者 : Japan Computer Emergency Response Team Coordination Center DN : c=jp, st=tokyo, l=chiyoda-ku, Japan Computer Emergency Response email=office@jpcert.or.jp, o=japan Computer Emergency Response Team
Microsoft PowerPoint - SDK_info [äº™æ‘łã…¢ã…¼ã…›]
![Microsoft PowerPoint - SDK_info [äº™æ‘łã…¢ã…¼ã…›]](/thumbs/50/26004878.jpg "Microsoft PowerPoint - SDK_info [äº™æ‘łã…¢ã…¼ã…›]")
SP1606-A03 セキュリティ SDK Ver.5.0 のご紹介 2016 年 6 月版サイエンスパーク株式会社営業部 Copyright SciencePark Corp. All rights reserved 目次 1. 製品概要 1.1. 製品概要と特長 1.2. 動作環境 2. 製品機能 2.1. アクセス制御 2.2. ファイルアクセスログ収集 2.3. ネットワーク制御 2.4.
<4D F736F F F696E74202D204F70656E B AD955C8E9197BF5F4F70656E B82F08AC48E8B8AC7979D82B782E983528
誰がOpenStackを 張るのか? OpenStackを監視 管理するコンポーネントたち NTT ソフトウェア株式会社 クラウド & セキュリティ事業部第一事業ユニット 本上 丸 Copyright 2016 NTT Software Corporation 発表者について 本上 丸 NTT ソフトウェア株式会社所属 Github アカウント :rkmrhonjo EssexリリースからOpenStackクラウドの設計
橡matufw
3 10 25 3 18 42 1 2 6 2001 8 22 3 03 36 3 4 A 2002 2001 1 1 2014 28 26 5 9 1990 2000 2000 12 2000 12 12 12 1999 88 5 2014 60 57 1996 30 25 205 0 4 120 1,5 A 1995 3 1990 30 6 2000 2004 2000 6 7 2001 5 2002
O
11 2 1 2 1 1 2 1 80 2 160 3 4 17 257 1 2 1 2 3 3 1 2 138 1 1 170 O 3 5 1 5 6 139 1 A 5 2.5 A 1 A 1 1 3 20 5 A 81 87 67 A 140 11 12 2 1 1 1 12 22 1 10 1 13 A 2 3 2 6 1 B 2 B B B 1 2 B 100 B 10 B 3 3 B 1
PowerPoint プレゼンテーション
1 第一回輪講 Linux 渡邊研究室 4 年早川顕太 本の紹介 Linux エンジニア養成読本 編集 :SoftwareDesign 編集部 出版社 : 技術評論社 発売日 :2011 年 4 月 8 日 2 Linux とは? Linux とは 1991 年にリーナス トーバルズ氏 ( 当時 21 歳 ) により作られた UNIX 互換なカーネル 開発動機 Minix は教育用で機能が劣る 商用
感染条件感染経路タイプウイルス概要 前のバージョン Adobe Reader and Acrobat より前のバージョン Adobe Reader and Acrobat before より前のバージョン Adobe Flash Player before
1. PDF-Exploit-m 情報 1.1 PDF-Exploit-m の流行情報 2011 年 9 月に 日本の防衛産業メーカーの 1 社が標的型のサイバー攻撃被害に遭い 複数のサーバやパソコンが本ウイルスに感染する被害が発生したと報じられた ( 被害に遭ったのは同年 8 月 ) 今回解析する PDF-Exploit-m は そのウイルスの亜種と思われる PDF ファイルである この標的型攻撃は
脆弱性の公開件数 (MS 他 ) 脆弱性公開の経緯 セキュリティ情報と CVE 件数 Security 情報毎の平均 CVE 件数 セキュリティ更新の普及 セキュリティ更新の普及 2
Microsoft Security Intelligence Report Volume9 2010 年 1 月 ~6 月 マイクロソフトが半期に一度公表している分析レポート 情報ソース (MMPC, MSEC, MSRC) Forefrontなどのマイクロソフトのセキュリティ製品 MSRT, Defender, MSEなどの無償で提供しているセキュリティ製品 マルウェアの動向と事業者としての対策
ライフサイクル管理 Systemwalker Centric Manager カタログ
for Oracle Oracle Live Help ICTシステム管理 安定稼働 わかりやすい監視と復旧支援 監視コンソールを統合化 わかりやすい監視画面 リモート操作による対処復旧 Windowsや各種Unix Linux メインフレーム 遠隔地のサーバやクライアントの画面を 管理者 など マルチプラットフォーム環境の統合運用管理 の手元の画面から直接操作できます 複数のパソ が可能です
2-3- 基 Linux のシステム管理に関する知識 1 独立行政法人情報処理推進機構
2-3- 基 Linux のシステム管理に関する知識 1 2-3- 基.Linux のシステム管理に関する知識 オープンソースオペレーティングシステムとしてもっとも利用が期待される Linux のシステム管理に関して 実際の開発 運用の際に必要 Ⅰ. 概要な管理知識 手法の種類と特徴 内容を理解し Linux をサーバとして運用するために必要なノウハウを実務レベルとして学ぶ 基本編ではサーバ単体の管理を中心に学ぶ
内容環境... 3 対応 OS の変更... 3 関連アプリケーションの追加... 4 機能追加... 5 グラフ機能... 5 稼働率... 8 サービス一括削除 自動復旧エスカレーションコマンド AWS カスタムメトリックス監視 NRPE 任意監視... 11
株式会社エクストランス X-MON 3.3.0 アップデート内容 内容環境... 3 対応 OS の変更... 3 関連アプリケーションの追加... 4 機能追加... 5 グラフ機能... 5 稼働率... 8 サービス一括削除... 10 自動復旧エスカレーションコマンド... 10 AWS カスタムメトリックス監視... 11 NRPE 任意監視... 11 IIS 再起動コマンド Windows2012R2
PowerPoint プレゼンテーション
MWS Cup 2017 課題 2: 静的解析 中津留勇 石淵一三 石丸傑 課題 2 担当 中津留勇 ynakatsuru[at]secureworks.com SecureWorks Japan 株式会社 石淵一三 kazumi.ishibuchi.hh[at]hitachi.com 日立製作所 石丸傑 suguru.ishimaru[at]kaspersky.com 株式会社カスペルスキー 2
Red Hat Enterprise Linuxのcron(8)デーモンにデフォルト定義されたtmpwatch命令の動作による、WebOTXのトラブル対処方法
Red Hat Enterprise Linux の cron(8) デーモンにデフォルト定義された tmpwatch 命令の動作による WebOTX のトラブル対処方法 2009 年 2 月 NEC 第二システムソフトウェア事業部 1. 概要 Red Hat Enterprise Linux では OS インストール後の初期状態において cron(8) デーモンによって実行される命令が複数定義されます
今さら聞けない!? Oracle入門 ～後編～
Oracle Direct Seminar 今さら聞けない!? Oracle 入門 ~ 後編 ~ 日本オラクル株式会社 Agenda 1. Oracle の基本動作 2. Oracle のファイル群 3. Oracle のプロセス群と専用メモリ領域. データベース内部動作 今さら聞けない!? オラクル入門 ~ 後編 ~. データベース内部動作 検索時の動作更新時の動作バックアップについて
重要インフラがかかえる潜在型攻撃によるリスク
2009 年 2 月 20 日 重要インフラがかかえる潜在型攻撃によるリスク 騙しのテクニック ソーシャル エンジニアリング とセキュリティ脆弱性を巧みに利用した標的型攻撃 独立行政法人情報処理推進機構 セキュリティセンター情報セキュリティ技術ラボラトリー 研究員鵜飼裕司 1 アジェンダ 発表概要 IPA を語った標的型攻撃の事例 本攻撃の手口 本攻撃で想定される被害 本攻撃の対策 攻撃のトレンドと今後
スライド 1
オープンソースカンファレンス 2008 Nagoya TOMOYO Linux のある暮らし ~Linux の勉強からセキュリティ強化まで ~ TOMOYO Linux プロジェクト http://tomoyo.sourceforge.jp/ 武田健太郎 TOMOYO は株式会社 NTT データの登録商標です Linux は Linus Torvalds 氏の日本およびその他の国における登録商標または商標です
2016 年度未踏 IT 人材発掘 育成事業採択案件評価書 1. 担当 PM 竹迫良範 PM( 株式会社リクルートマーケティングパートナーズ専門役員 ) 2. 採択者氏名 クリエータ ( 代表 ): 佐伯学哉 ( 東京大学大学院 ) クリエータ : 西脇友一 ( 東京大学大学院 ) 3. 委託金支払
2016 年度未踏 IT 人材発掘 育成事業採択案件評価書 1. 担当 PM 竹迫良範 PM( 株式会社リクルートマーケティングパートナーズ専門役員 ) 2. 採択者氏名 クリエータ ( 代表 ): 佐伯学哉 ( 東京大学大学院 ) クリエータ : 西脇友一 ( 東京大学大学院 ) 3. 委託金支払額 2,304,000 円 4. テーマ名 ハイパーバイザ技術を用いたクロス OS な Linux バイナリ互換プラットフォーム
2014 年電子情報通信学会総合大会ネットワークシステム B DNS ラウンドロビンと OpenFlow スイッチを用いた省電力法 Electric Power Reduc8on by DNS round- robin with OpenFlow switches 池田賢斗, 後藤滋樹
ネットワークシステム B- 6-164 DNS ラウンドロビンと OpenFlow スイッチを用いた省電力法 Electric Power Reduc8on by DNS round- robin with OpenFlow switches 池田賢斗, 後藤滋樹 早稲田大学基幹理工学研究科情報理工学専攻 1 研究の背景 n インターネットトラフィックが増大 世界の IP トラフィックは 2012
<4D F736F F F696E74202D E9197BF C A F B A834C C A5F C52E B8CDD8AB B83685D>
資料 8-3 モバイル環境における Malware 等の調査 株式会社セキュアブレイン 2008 年 5 月 23 日 目的と調査概要 目的 現状および近い将来における携帯電話やスマートフォンに おけるモバイル環境に関して Malware 等の情報セキュリティの現状の脅威や今後発生する可能性のある脅威を把 握 検討するとともに Malware の収集方法および対策について調査研究する 調査概要 携帯電話とスマートフォンのハードウェア及びソフトウェアの構造調査を細部まで調査することにより
Microsoft PowerPoint - OS02.pptx
オペレーティングシステム 第 2 回 割り込みと OS の構成 http://www.info.kindai.ac.jp/os 38 号館 4 階 N-411 内線 5459 takasi-i@info.kindai.ac.jpkindai ac プログラムの実行中の動作 CPU プログラム キーボードからの入力 遊び 画面への出力 遊び IO 装置 入力処理 出力処理 CPU の遊び時間ができてしまう
スライド 1
2018 年度コースラインナップ コース一覧 コース名 日時 期間 時間 単位 価格 最低履 行 フォレンジックツール導入支援 随時半日 13:00~17:00 54,000 円 ( 税込 ) 108,000 円 ( 税込 )~ 証拠保全の基礎随時 1 日間 10:00~17:00 54,000 円 ( 税込 ) 108,000 円 ( 税込 )~ フォレンジックの基礎随時 1 日間 10:00~17:00
スライド 1
続 Man in the Browser in Androidの可能性 Fourteenforty Research Institute, Inc. Fourteenforty Research Institute, Inc. 株式会社フォティーンフォティ技術研究所 http://www.fourteenforty.jp Ver 2.00.01 1 はじめに この資料は 2013 年 2 月 28
6-2- 応ネットワークセキュリティに関する知識 1 独立行政法人情報処理推進機構
6-2- 応ネットワークセキュリティに関する知識 1 6-2. ネットワークセキュリティに関する知識 OSS 動作環境におけるセキュリティリスク それに対応するセキュリ ティ要件とその機能 構成に関して 実際の開発 運用の際に必要な Ⅰ. 概要 管理知識 手法の種類と特徴 内容を理解する 特に Linux サーバ による実務の手順に即して ネットワークセキュリティを確保するため の手順を学ぶ Ⅱ.