本セッションの内容エンカレッジテクノロジ会社紹介セキュリティ脅威の巧妙化多様化で高まる特権アカウント管理の必要性弊社ソリューションを活用した対策の具体例お客様事例のご紹介今後検討すべきシステム領域 2

ID Management Conference 2017 セッションNo. B3-05 講演資料事例で示す特権アカウント&証跡管理の最前線オンプレミスからクラウド IoTまでそのポイントと効果とは 2017年9月29日エンカレッジテクノロジ株式会社 ENCOURAGE TECHNOLOGIES

エンカレッジテクノロジ会社紹介 3

会社概要設立資本金所在地事業内容上場市場代表者 2002年11月1日 5億738万円 2017年3月末現在東京都中央区日本橋浜町3-3-2 トルナーレ日本橋浜町7F コンピュータシステムソフトの開発保守並びに販売コンピュータ運用管理に関するコンサルティングコンピュータ運用管理BPOサービス東京証券取引所マザーズ証券コード 3682 代表取締役社長石井進也 Value & Satisfaction お客様の視点で新たな価値を創造し満足いただける製品とサービスを提供します Happiness 社員と会社の目的を一致させ物心一体の幸福を追求します Compliance 国内外の法令と企業倫理を遵守し誠実かつ公平に業務を遂行します 4

お客様一覧弊社ソフトウェアは累計で540社以上のお客様にご採用されています 2017年3月末現在 IHI運搬機械株式会社あいおいニッセイ同和損害保険株式会社藍澤證券株式会社株式会社i.JTB 株式会社アイネス株式会社アイネットアイフル株式会社アイレット株式会社アニコム損害保険株式会社株式会社アプラスいちよし証券株式会社株式会社インテック SMBC日興証券株式会社 SMBCファイナンスサービス株式会社 SCSK株式会社 NECネッツエスアイ株式会社 NTTコムウェア株式会社株式会社NTTデータ株式会社NTTデータSMS 株式会社NTTドコモオリックスシステム株式会社オリンパス株式会社カブドットコム証券株式会社川口信用金庫関西電力株式会社キヤノンITソリューションズ株式会社株式会社山陰合同銀行湘南信用金庫株式会社新生銀行シンプレクス株式会社株式会社スカイアーチネットワークススバルシステムサービス株式会社ソニー銀行株式会社ソフトバンク株式会社第一生命保険株式会社 TIS株式会社株式会社ディーエヌエー東京海上日動システムズ株式会社株式会社東京証券取引所株式会社東京スター銀行五十音順敬略称東濃信用金庫ドコモシステムズ株式会社ニッセイ情報テクノロジー株式会社株式会社ニッセイコム株式会社日本総研情報サービス日本電気株式会社日本電信電話株式会社日本ユニシス株式会社沼津信用金庫ネットワンシステムズ株式会社浜松信用金庫富士通株式会社ポケットカード株式会社株式会社みずほ銀行三井住友アセットマネジメント株式会社三井生命保険株式会社三井ダイレクト損害保険株式会社三菱総研DCS株式会社三菱電機インフォメーションシステムズ株式会社三菱UFJ信託銀行株式会社 5

弊社主要パートナー様順不同 6

セキュリティ脅威の巧妙化多様化で高まる特権アカウント管理の必要性

特権アカウントとはコンピューターシステムサーバーネットワークデータベースアプリケーションなど)に対してあらゆる権限を有する特別なアカウント特権アカウントでないと行えない作業例アプリケーションのインストールネットワーク設定の変更システム構成ファイル設定ファイルの置き換えユーザーの作成削除パスワード変更権限変更システムの再起動電源シャットダウンデータ/ファイルの作成更新または削除システムの構築設定または変更を行う際特権アカウントが必要 Copyright Encourage Technologies Co. LTD. 8

特権アカウントの考慮すべきリスク要因内部者や委託先の内部不正対策内部統制システムの確立標的型攻撃に対する内部対策 9

システム管理者の不正行為内部不正事例集より抜粋企業において社員が機密情報の入ったCD-ROMを持ち出し機密情報を換金していたこの社員は情報システムから機密情報を取り出す際に部下に仕事の一環と説明して正規の手続きで機密情報の入ったCD-ROMを作らせて隠蔽を図っていた企業においてシステム管理者の社員が自宅で業務を行うために機密情報を持ち出し Winny ファイル交換ソフトがインストールされた自宅のPCで業務を行ったことで機密情報を漏えいさせてしまった金融機関のATMの保守管理業務を委託している企業の社員が ATM の取引データから顧客のカード情報を不正に取得したこの情報から偽装キャッシュカードを作成所持し現金を引き出した企業において顧客データベースを保守管理するグループ会社の業務委託先の社員が販売目的で個人情報を不正に取得し持ち出した企業においてシステム管理者が機密情報を繰り返し持ち出して換金していた繰り返す度に機密情報の持ち出し行為がエスカレートしていった企業においてメンテナンス業務を委託した際に渡した個人情報が再委託先のアルバイトによって複製され換金された中小企業においてシステム管理者が社長のPCの設定を変更して社長宛のメールを自身のメールアカウントに転送して読んでいた企業において委託先のサイト構築運営会社の従業員が不正行為と知りつつもその企業の顧客情報を他社に渡していたその他社はその顧客情報を使って営業活動を行っていたいずれもシステム保守運用業務担当者またはその委託先が関わる事件組織における内部不正防止ガイドライン第4版独立行政法人情報処理推進機構 2017 年 1 月 10

なぜシステム管理者が問題なのか ①管理者権限特権アカウントの使用システムの変更や問題修正には特権アカウントが不可欠であり使用を回避できない不正使用や濫用誤用の影響範囲が大きい ②IT技術と管理対象システムの専門知識 ③システム管理の外部委託化など構造的問題 IT技術の知識や経験が豊富責任の所在があいまいに管理対象システムの仕様等に詳しい現場の担当者の境遇とシステム上の権限のアンマッチ一般に認識されていない抜け穴を知っている証拠を隠滅される恐れ不正を行う動機を抱える境遇労働環境ミスや不正により影響範囲の大きな問題が発生発見が遅れ水際の対策が取れない 11

標的型攻撃による管理者権限の搾取攻撃者は様々な手法で特権アカウントの認証情報を狙っているマルウェアが管理者IDの認証情報を取得する主な手法リスト型攻撃総当たりキャッシュ/ファイルパスワードハッシュ内部メモリキーロガースクリーンキャプチャ OSやアプリの脆弱性 12

2016年度重要インフラにおける補完調査実際に発生したIT障害等の事例について現地調査ヒヤリング等を行い重要インフラ事業者等において今後の取組にも資するよう事例の概要原因とともに得られた気付き教訓等をとりまとめ公表した資料事例１メールフォームへの攻撃事例２アクセス制限の不備事例３ランサムウェア被害事例４管理サーバへの不正アクセス事例５ソフトウェアの継続的なセキュリティ対策事例６システムの不具合によるサービス障害出典 2016年度重要インフラにおける補完調査について 2017年3月16日内閣官房内閣サイバーセキュリティセンター(NISC) 13

リスク要因の違いに伴う対策の考え方の比較比較項目内部統制内部不正サイバー攻撃の内部対策目的内部統制システムの確立内部不正対策サイバー攻撃対策目的法令順守認証取得実被害の防止軽減内部者社員派遣社員外部委託先ベンダー外部の悪意のある攻撃者ルールプロセスの規定従業員の教育契約罰則規定技術的アプローチによる防御または早期発見手段の確立リスク度合いの影響要素社内の管理体制委託先への依存度システム構成脆弱性体組織内の自己点検監査 SOC 監視即時アラート対象者対策の考え方制 14

今特権アカウント管理の高度化効率化が求められます標的型攻撃など外部脅威に対する内部の対策としてルールや規定にとどまらず技術的な仕組みを整備人手を介する不効率な仕組みを解消し効率性を向上 15

講じるべき対策のポイント特権アカウントの使用箇所使用経路の限定正当なアクセスの経路特権アカウントの使用箇所を限定し不正アクセスを防御または発見しやすくするとともに重要システムにアクセスできる特権アカウントの認証情報をマルウェアによる搾取からより強固に保護するシステム管理作業スケジュールの明確化/承認プロセスの確立管理者権限/管理ツールを使用して重要システムへアクセスするシステム管理作業は事前の申請承認プロセスを通して事前にスケジュールとその作業内容を明確にしておき不正なアクセスの識別を容易にするパスワード等認証機能の強化/パスワード漏洩防止対策パスワードの複雑性強化変更頻度の短期化または多要素認証を用い仮にパスワードが漏えいしたとしても不正アクセスを防止できるようにするまた使用者の特定手段を設ける特権アカウントを使用した操作内容の監視記録と点検重要システムに対する管理者権限/管理ツールを使った操作を監視記録し不適切な操作や予定外の操作が行われていないかについて定期的に確認する 16

弊社ソリューションを活用した対策の具体例

弊社の特権アカウント&証跡管理システム特権アカウント管理ソフトウェア ESS AdminControl ユーザー/端末/サーバーのふるまいの監視記録とアラート ESS REC 18

ESS AdminControl EAC 特権アカウント管理をエージェントレスで実現 EACによって実現できること EACの管理下に特権アカウントをおくことで承認ベースでのID貸し出し返却の仕組みを提供またアクセスのスケジュールを明確化できることで不正アクセスとの識別を容易に特権アカウントのパスワードを定期的/使用の都度にランダム化使用時にも隠蔽されたままにすることにより漏えいリスクの低減を実現また攻撃者にパスワードを搾取されたとしても有効期限を短期化し不正アクセスを防止する効果を発揮サーバーのログイン履歴を収集し EACの管理下でのID貸し出し履歴と比較することで不審なアクセスの有無を点検します作業申請承認 ID貸し出し作業 ID返却確認 OSやデータベースの特権アカウントを一元的に管理し特権アカウントの不正使用リスクを低減 19

パスワードを隠ぺいして特権アカウントを貸与作業者の個人IDによる認証により承認されたアクセスの一覧が表示される作業者A 専用ツールの自動ログオン機能により特権アカウントのパスワードは隠ぺいされたまま接続完了共有IDを使用しても使用した個人を特定できる履歴を保存パスワードは隠ぺいされているので直接アクセスもできない作業者Aの個人IDで認証作業者Aの許可されたアクセス一覧操作対象のサーバーへ自動接続し作業開始専用接続ツール EAC Operation Authenticator を使用してサーバーへ接続 Windows/UNIX/Linuxへの接続に対応サポートする接続方法はリモートデスクトップクライアント WindowsサーバーとTera TermによるSSH接続 UNIX/Linuxサーバーサポート対象の接続ツール Tera TermによるSSH接続 RDPクライアントによるWindowsリモートデスクトップ接続 20

計画にない不審なログインを発見 21

ESS REC ESS RECによって実現できることシステム操作の内容を動画とテキストで克明に記録し誰がいつどのような操作を行ったのかを明確にします記録されていること自体の作業者に対する抑止牽制効果視覚的直感的な証跡による容易な点検監査要注意操作に対してリアルタイムにアラートを発信し事故トラブルを未然に防止します自由に設定可能な検知ルールとアクション画面ロックによる作業の強制制御ネットワーク通信やプロセスを監視し悪意のある攻撃者による内部の情報収集活動を捕捉ログインが発生しないバックグラウンドプロセスの監視とアラート記録の取得が可能 22

端末やサーバー上のユーザーのふるまいを克明に記録デスクトップ画像起動プロセスウィンドウイベント GUIアプリケーションの操作画面上の描画文字列リモート接続時の接続元の情報ファイルアクセスキーボード打刻マウス軌跡ドライブの状態カスタムアプリケーション IPアドレス MACアドレスユーザー名日付/時間コンピューター名 USBポートの状態ウィンドウタイトルネットワークI/O モバイルデバイスの接続 MTP/PTP 23

複雑な条件を設定しリアルタイムアクション条件設定できる監視項目条件はAnd/Orで組み合わせ可能検知アクションメール送信記録データ送信画面のロックイベントログ出力ファイル出力 ESSへ通知画面上の描画文字列キー入力ドライブの状態 USBポートプロセスの起動ファイルアクセスネットワークI/O 時間帯ウィンドウタイトルウィンドウイベントカスタムアプリケーションモバイルデバイスの接続外部コマンド実行 IDI 本人確認ポップアップ表示 24

システム証跡監査ツール ESS REC ESS RECはシステム管理者の操作を動画テキストで記録するシステム証跡監査ツール市場で 7年連続シェアNo.１を獲得しています出典情報セキュリティソリューション市場の現状と将来展望2016 内部漏洩防止型ソリューション編 2016年9月発刊株式会社ミック経済研究所 25

システム構成例データセンター/サーバールームアクセス&監視レイヤー外部ベンダー守るべき情報の保管場所不正な特権アカウント使用の検査申請ベースの特権アカウント貸出中継サーバーへのファイル入出力は第三者の関与のもとで実施特権アカウント管理 EAC 特権アカウントパスワードの定期ランダム化シンクライアント端末の併用でさらにセキュアに操作端末への直接のファイルのやり取りを仕組みで不可能に操作内容監視記録 REC マルウェア感染リスク可搬媒体が使用できる端末から重要システムを隔離操作端末リスクを中継サーバーに集約し集中して監視中継サーバー 26

お客様事例のご紹介

お客様取り組み事例ソフトバンク様快適なモバイルインターネット環境を支えるオペレーションセンターオペレーション内容の保証改善にESS RECが貢献 28

お客様取り組み事例山陰合同銀行様特権アカウントの使用環境と管理プロセスを改善し 20社に及ぶ委託先ベンダーのシステム保守運用業務に対するリスク管理体制を強化 29

最新事例丸善石油化学株式会社様リスクマネジメントとIT統制の観点から特権ID管理を一から見直し多様なシステムを一括管理することで情報セキュリティを強化 30

今後検討すべきシステム領域

仮想化基盤の管理者の統制プライベートクラウドを自社で構築するユーザー企業やクラウドサービスを運営する事業者などで仮想基盤の管理者権限の統制も含めて対応するケースが増加中ーーーーーー仮想マシン群ーーーーーー Hypervisor システム管理担当者仮想環境管理ツール仮想基盤管理担当者アクセス管理レイヤー仮想基盤の管理者権限は基盤上で稼働する仮想マシンやネットワーク構成にも影響を与えるため OSレベルの特権以上の権限を有すると解釈される仮想環境ツールではGUI操作が中心で操作内容の克明なログが取得できないものが多いことから動画で記録を取得する方法が採用される場合が多い 32

お客様取り組み事例クオリカ様クラウドサービス基盤の保守運用体制を強化し認証機関からも高く評価されるセキュリティレベルへ 33

クラウドサービスの管理者権限の統制 IDaaSや認証フェデレーションサービスと連携させることで外部のクラウドサービスの管理者アカウントに対する統制についてもカバーすることが可能となります IDaaS等との連携による外部クラウドサービスの管理者アカウントに対する統制例 IDaaSサービス社内Active Directory ID連携 ID連携 EAC自体は社内ADのアカウントを管理クラウドサービス管理者 ID連携所属シングルサインオン SaaS/PaaSサービスクラウドサービスの管理者権限を使用する際に事前申請承認が必要な仕組み特権アカウント管理 EAC 管理者アクセス専用サーバー社内ネットワーク承認ベースで貸与された管理アクセス用アカウントで専用サーバーにログイン管理アクセスに対する操作を専用サーバー上で記録監視 IaaSサービス 34

IoT/AI基盤への適用ユーザー人が必ず介在する従来型のシステムとは異なりモノデバイスに対して直接制御されるようなIoT/AIシステムにおいてはセキュリティ侵害等による影響の内容とその範囲がこれまでとは異質のものになる可能性があるシステム種別影響範囲備考社内基幹システム会計販売購買などオンラインシステム顧客管理システム社内業務の停止財務諸表など会計業務データの滅失社員のマニュアル対応などで業務を継続するなどしてお客様への影響を最小限にとどめることが可能直接の販売機会喪失顧客情報の流出顧客との直接の接点であるシステムが停止すると直接販売機会を逸するなどの損害につながる AI/ IoTシステムモノデバイスを直接制御されることによる異常処理大量のセンサー情報の漏えい人が介在せずモノデバイス間やデータセンターとデバイス間で直接制御が行わることでリスクも増大 35

お客様取り組み事例エンカレッジテクノロジの証跡管理ソリューションをトランスネットが採用 2017年6月20日システム運用のリスク管理ソリューションを提供するエンカレッジテクノロジ株式会社(本社東京都中央区代表取締役社長兼CEO:石井進也以下当社 )は株式会社トランスネット本社東京都千代田区代表取締役社長:谷野春雄以下トランスネットが保守運用を担当する重要インフラ事業者のIoT基盤におけるセキュリティ対策として当社製品 ESS REC を採用本格運用を開始したことを発表いたしますトランスネットは1985年に電気通信事業の自由化を背景に設立交通や情報通信などの公共性の高い分野を中心に情報システム技術とネットワーク技術を活用した事業を展開しています現在はコンサルティングから設計運用に至るまで一貫したサービス提供を行っておりシステム開発や保守運用クラウドサービスなどを提供しています今回トランスネットが保守運用を受託したシステムは今後サイバー攻撃などのセキュリティ脅威への対策が求められる社会の重要インフラを担う事業者の技術革新の実現に向けたIoT基盤であることから保守運用における不正アクセスを防止するための仕組み特にベンダーによるリモートでのシステム操作に対して対策が必要でしたトランスネットでは様々なツールを比較検討した結果システム操作を動画テキストで克明に記録ができ不審な操作に対してはリアルタイムにアラート送信が可能である当社の証跡管理製品 ESS REC を採用しこの課題に対応することを決定しました 36

中小システムに最適な簡易版 ESS AdminGate 特権アカウント&証跡管理に必要な機能をオールインワンで提供する仮想アプライアンス主要機能 ①管理者権限の使用制限 ②データ入出力制限監視 ③作業者の監視/記録と点検特権アカウントのパスワード管理ファイル入出力制御操作内容の動画記録 Windows パスワード隠ぺい機能個人情報マイナンバー検出コマンド入出力の記録 Linux 禁止コマンド検知アラート Linux 特権アカウントの不正使用検出 ④管理プロセスの自動化簡便なアクセス申請ワークフロー 37

まとめ

まとめセキュリティリスクの多様化攻撃手法の巧妙化に伴いかつては内部不正内部統制の確立のためにルールや規則で対策を講じていた内部の対策にも見直しが迫られています特に特権アカウントの適正な管理は外部からの攻撃に対する内部対策として見直しが必要な重要なポイントです特権アカウントは従来のオンプレミスのシステムだけではなく仮想基盤クラウドサービス IoT/AI システムなどシステムの適用範囲の広がりや変化とともに対応すべき範囲も変化しており正しいリスク認識の下で必要な対処を講じる必要があります弊社エンカレッジテクノロジは特権アカウントとその利用内容に関するリスク低減を実現するソリューションをご提供しお客様のシステムの安全対策のご支援を行っております 39