データのデータの保護と保護とシステムのシステムの安全性維持（株）大和ソフトウェアリサーチ
大和ソフトウェアリサーチ

DaiwaSoftwareResearch1Agenda∗ 会社概要∗ DSRが提案するPCIDSS準拠の範囲∗ カード会員データの保護∗ 暗号化∗ アクセスコントロール、監査ログ∗ システムコンポーネントの安全性の維持＆管理∗ システムコンポーネントの安全性確保∗ 適用範囲の違い ⇒ FireWall、IPS/IDS、WAF∗ 攻撃の検知方法∗ 最近の攻撃 『 アノニマス 』

DaiwaSoftwareResearch2１．会社概要【会社名】

株式会社大和ソフトウェアリサーチ【代表者】

代表取締役社長 竹末 圭五【所在地】

本社：東京都千代田区麹町1丁目5番2号
TEL：03-3262-8558（代表） FAX：03-3262-8867
システムサービスセンター：千葉県茂原市緑ヶ丘3丁目17番1号
TEL：0475-25-8111（代表） FAX：0475-25-8130【設立日】

1969年 7月 3日【資本金】

4億450万円【従業員数】

148名（2012年4月1日）【認定資格】

情報セキュリティマネジメントシステム：ISO/IEC27001：2005認証（対象事業所：システムサービスセンター）
品質マネジメントシステム：ISO9001：2008認証（対象事業所：本社 ）プライバシーマーク：JIS Q 15001:2006【主要株主】

大興電子通信株式会社№4135-ISO9001
認証取得事業所：本社№I018-ISO/IEC27001
認証取得事業所：
ｼｽﾃﾑｻｰﾋﾞｽｾﾝﾀｰ

株式会社大和総研
株式会社大和証券グループ本社 他【取引銀行】

三井住友銀行、三菱東京ＵＦＪ銀行、みずほコーポレート銀行 他【U R L】

http://www.dsr.co.jp

DaiwaSoftwareResearch3はじめに：変化＆増大化するサイバー攻撃の状況◇ 攻撃の攻撃の内容が内容が犯罪化の犯罪化の傾向
従来、従来、サイトへのサイトへの攻撃への攻撃は攻撃は悪戯や悪戯や興味本位での興味本位での侵入での侵入と侵入と言った内容
った内容でしたが内容でしたが、でしたが、昨今は昨今は、『機密情報の機密情報の入手』『入手』『情報』『情報の情報の改竄』『改竄』『サービス』『サービス機能サービス機能の機能の停止』
停止』と言った、った、明らかに悪意らかに悪意を悪意を持った犯罪化った犯罪化した犯罪化したアクセスしたアクセスがアクセスが増えています。
えています。
➪標的型攻撃（標的型攻撃（APT）
APT）➪アノニマス集団
アノニマス集団による集団による攻撃による攻撃狙われる企業
われる企業・企業・団体も団体も、政府や政府や公共機関に公共機関に止まらず、まらず、国家的な国家的な安全性に安全性に関係する関係するサイトするサイトであったり、であったり、一般社会へ一般社会へ与える影響える影響の影響の大きな企業きな企業を企業を狙ったりという傾向ったりという傾向にあります傾向にあります。にあります。
サービスをサービスを提供する提供する側する側としては、としては、被害に被害に遭ってしまってからユーザーってしまってからユーザーへユーザーへ謝罪しても謝罪しても、しても、全く、意味がありません
意味がありません。
がありません。如何に如何に未然に未然に防ぐかと言ぐかと言う点に注力した注力した取した取り組みが必要
みが必要です必要です。
です。
IPAでもIPAでも日常業務
でも日常業務の日常業務の中で、自衛手段としての自衛手段としての取としての取り組みを喚起
みを喚起しています
喚起しています。
しています。

（１）取り扱う組織情報の組織情報の重要度、重要度、機密度を機密度を精査する精査する（２）企業の企業の社会的責任と社会的責任と事業継続性の事業継続性の観点から観点から、から、相応の相応の対策を対策を選択することが選択することが重要することが重要（３）グループ企業グループ企業や企業や連携している
連携している組織
している組織では組織では、では、統制された統制されたポリシーされたポリシーとポリシーと対策が対策が必要

２．DSRのPCIDSS要件準拠に向けたソリューション

◇ DSRが提供するPCIDSS要件（目的）を準拠するソリューションの分野

DaiwaSoftwareResearch5クレジットカードデータの保護
暗号化製品～D’Amo

DaiwaSoftwareResearch

6３．データ保護のPCIDSS準拠に向けた取り組み◇ 暗号化製品 【D’Amo （ディアモ】 が対応する要件は ３及び７になります
要件３
要件３ 及び７でのサポート
でのサポート項目
サポート項目

サポート状況
サポート状況

3.5.2 暗号化キーの保存場所と形式を最小限にし、安全に保存する。
3.5.2.a システム構成ファイルを調査し、キーが暗号化された形式で保存され、キー暗号化キーがデータ暗号化キーとは別個に保存されていることを確認する。
3.6.5 キーの完全性が弱くなったとき（たとえば、平文キーの情報を持つ従業員が業務から離れる場合）またはキーが危険にさらされている疑いがあるときに必要とみなされる、キーの破棄または取替。キーの破棄または取替とは、たとえば、アーカイブ、破棄、または廃止（あるいはこれらのすべて）である。
3.6.5.a キー管理手順で、キーの完全性が弱くなった場合にキーの破棄が要求されることを確認する。
3.6.5.b キー管理手順で、危険にさらされされたことがわかっている、またはその疑いがあるキーの取替が要求されていることを確認する。
3.6.5.c 破棄された、または取り替えられた暗号化キーを保持する場合、そのキーが暗号化処理で使用されないことを確認する。
7.1 システムコンポーネントとカード会員データへのアクセスを、業務上必要な人に限定する。アクセス制限には以下の項目を含める必要がある。
7.1.1 特権ユーザ IDに関するアクセス権が、職務の実行に必要な最小限の特権に制限されていることを確認する。
7.1.2 特権の付与が、個人の職種と職能に基づいていることを確認する（「役割ベースのアクセス制御」（RBAC）とも呼ばれる）。
7.1.4 自動アクセス制御システムによるアクセス制御が実装されていることを確認する。
7.2 複数のユーザが使用するシステムコンポーネントで、ユーザの必要性に基づいてアクセスが制限され、特に許可のない場合は「すべてを拒否」に設定された、アクセス制御システムを確立する。 アクセス制御システムには以下の項目を含める必要がある。
7.2.1 アクセス制御システムがすべてのシステムコンポーネントに実装されていることを確認する。
7.2.2 職種と職能に基づいて個人に特権を付与するように、アクセス制御システムが構成されていることを確認する。
7.2.3 アクセス制御システムに「すべてを拒否」がデフォルト設定されていることを確認する。

DaiwaSoftwareResearch7データベースセキュリティソリューションのごデータベースセキュリティソリューションのご紹介のご紹介

統合DB
統合DBセキュリティソリューション
DBセキュリティソリューション
『Ｄ‘Ａｍｏ（ディアモＡｍｏ（ディアモ）ディアモ）』 DB内
DB内のデータをデータをカラム単位カラム単位で単位で選択して選択して暗号化して暗号化
 DBアカウント
DBアカウント/IP/アカウント/IP/応用/IP/応用プログラム
応用プログラム/プログラム/時間帯別/MAC
時間帯別/MACアドレス/MACアドレスなど
アドレスなどDB全体
DB全体または全体または暗号化
または暗号化カラム
暗号化カラムへのカラムへのアクセスコントロール
へのアクセスコントロール
 非暗号化カラム
非暗号化カラムもカラムもカラム単位
カラム単位で単位で監査ログ
監査ログ取得可能ログ取得可能

データ
暗号化
アクセスコントロール

 暗号化カラム
暗号化カラムにカラムに対する保護機能
する保護機能を保護機能を提供

監査 迅速な迅速な設置による設置によるシステム
によるシステムのシステムの統合：
統合：インストール製品
インストール製品
 複数のAmoコンソール
複数のDBをDBを1台のD’Amo
Amoコンソールでコンソールで統合管理

ユーザー管理ユーザー管理D’Amo（D’Amo（ディアモ）ディアモ）は,応用プログラム
応用プログラムのプログラムの修正なしに修正なしにDBなしにDBのDBのデータをデータをカラム単位カラム単位で単位で暗号化し暗号化しアクセスコントロール、アクセスコントロール、監査を監査を実装できる実装できる統合できる統合DB
統合DBセキュリティソリューション
DBセキュリティソリューションです
セキュリティソリューションです。
です。
DaiwaSoftwareResearch

8

D’AmoのD’Amoの機能
 D’Amo
AmoはAmoは、コンソールとコンソールとセキュリティエージェントでセキュリティエージェントで構成します構成します。
します。

DaiwaSoftwareResearch

9導入事例（１）【ニッセイアセットマネジメント株式会社様】
適用業務：投資運用業務

DaiwaSoftwareResearch

10導入事例（２）【学校法人東京農業大学様】
適用業務：学事基幹システム

DaiwaSoftwareResearch11システムコンポーネントに対する安全性の維持＆管理

DaiwaSoftwareResearch

12４．システム安全性のPCIDSS準拠に向けた取組
要件6.6
要件6.6 Webアプリケーションファイアウォール
Webアプリケーションファイアウォールのアプリケーションファイアウォールの推奨される
推奨される能力される能力

WAPPLESのWAPPLESのサポート状況
サポート状況

カード会員のデータ環境のシステム構成要素に関する、適用可能なすべての PCI DSS 要件を満たす。
少なくとも OWASP トップ 10 または PCI DSS 要件 6.5 で特定されている、関連のある脆弱性に対する脅威に、適切に（アクティブなポリシーまたはルールによって定義）対処する。
Web アプリケーションへの入力を調査し、アクティブなポリシーまたはルールや、実行されたログアクションに基づいて応答（許可、ブロック、アラート）する。
データ漏えいの回避 - Web アプリケーションからの出力を調査し、アクティブなポリシーまたはルールや、実行されたログアクションに基づいて応答（許可、ブロック、マスク、アラート）する機能が備わっている。
ポジティブとネガティブの両方のセキュリティモデルの実装。ポジティブモデル（「ホワイトリスト」）では、許可する動作、入力、データ範囲などを定義し、定義されていないものはすべて拒否します。ネガティブモデル（「ブラックリスト」）では、許可しないものを定義します。これらのシグネチャと一致するメッセージはブロックされ、シグネチャと一致しない（「ブラックリストに掲載」されていない）トラフィックは許可されます。
HTML（Hypertext Markup Language）、DHTML（Dynamic HTML）、CSS（Cascading Style Sheets）などの Web ページコンテンツと、HTTP（HypertextTransport Protocol）、HTTPS（Hypertext Transport Protocol over SSL）などのコンテンツの送信基盤となるプロトコルの両方を調査する（HTTPS には、SSL だけでなく、TLS による HTTP も含まれます）。

Web サービスが公共のインターネットに公開されている場合は、Web サービスのメッセージの調査。HTTP に加え、通常、これにはドキュ
メント指向モデルと RPC 指向モデル両方のSOAP（Simple Object Access Protocol）と XML（eXtensible Markup Language）が含まれます。
Web アプリケーションとの間でのデータ転送に使用されるすべてのプロトコル（独自または標準的なもの）またはデータ構造（独自または標準的なもの）が、メッセージフローの他のポイントで調査されない場合、これらを調査する。

WAF 自体を標的とした脅威を防ぐ。

SSL または TLS ターミネーションに対応する。または、暗号化された送信内容を復号化してから調査できる位置に配置されている。調査エンジンの手前で SSL が終端しない限り、暗号化されたデータストリームは調査されません。
DaiwaSoftwareResearch

13

PCI DSS適合証明
DSS適合証明についての適合証明についての報道資料についての報道資料
PCI DSSの適合証明取得☆ 報道資料（2009年12月）
WAPPLESがこのたびPCI DSS（Payment Card Industry Data Security
Standard：PCIデータ・セキュリティ基準）適合証明を取得いたしましたことをお知らせします。
このたびの適合証明取得において、WAPPLESはPCI DSSののバージョン1.2、バージョン 、要件6.6オプション
Card Industry Security
要件 オプション2を満たしました。また、すでにPaymentオプション
Standards Council（PCI SSC：PCIセキュリティ基準協議会）承認のQualified
Security Assessors Company（QSAC：認定審査機関）であるテュフラインランドジ
ャパン株式会社（www.jpn.tuv.com）が実施している100種類以上のテストにも合格しています。
WAPPLESは製品開発の段階からPCIDSS準拠に向けて取り組み、規格がVer.1.2という早い時期で、既に適合証明を取得しています
DaiwaSoftwareResearch14システムコンポーネントの安全性
安全なＩＴシステムをつくるにはＩＴアーキテクチャで分割されているそれぞれのレイヤ―ごとに、適切なセキュリティを実装することが望ましいです。１つのレイヤ―が他のレイヤ―までもカバーするようなセキュリティ実装の仕方は望ましくありません。

IT アーキテクチャー

IT セキュリティ

アプリケーションセキュリティAPPLICATIONSWeb Application Firewall (WAF)
システムセキュリティ（クライアントサーバセキュリティ）SYSTEMS
IPS, IDS, Anti-virus software

NETWORKS

ネットワークセキュリティ
Network Firewall

DaiwaSoftwareResearch

15

WAFのWAFの守備範囲
WAFだけがWebアプリケーションの脆弱性に完璧に対応できる
OWASPが発表したWebアプリケーションの脆弱性について、確実に防御できるのはWAFだけとなります。
OWASP Top 10 Application Vulnerabilities for 2010 の脆弱性

FirewallIPS/IDS

WAF

1.インジェクション
1.インジェクション（インジェクション（SQLインジェクション
SQLインジェクション、インジェクション、OSインジェクション
OSインジェクション等
インジェクション等）

×

△

○

2.クロスサイトスクリプティング
2.クロスサイトスクリプティング

×

△

○

3.不完全
3.不完全な
不完全な認証と認証とセッション管理
セッション管理

×

△

○

4.危険
4.危険な
危険な直接的オブジェクト
直接的オブジェクト参照
オブジェクト参照××○

5.クロスサイトリクエストフォージェリ
5.クロスサイトリクエストフォージェリ（クロスサイトリクエストフォージェリ（CSRF）
CSRF）

×

×

○

6.セキュリティ
6.セキュリティ設定
セキュリティ設定の設定の間違い
間違い

×

×

○

7.安全
7.安全ではない
安全ではない暗号保管ではない暗号保管

××

○

8.URL
8.URLアクセス
URLアクセス制限
アクセス制限の制限の不備

××

○

9.安全
9.安全ではない
安全ではない通信
ではない通信

×

○

○

10.安全
10.安全ではない
安全ではないリダイレクト
ではないリダイレクトとリダイレクトとフォワード

××○

DaiwaSoftwareResearch

16

WAPPLES主要機能
WAPPLES主要機能＆主要機能＆特徴•••••

多様な多様なウェブセキュリティ機能
ウェブセキュリティ機能を機能を提供– ルールベース（ロジック分析エンジン：日本で特許を取得） によるウェブ攻撃を検知、遮断– アクセスコントロール– 攻撃に対し多様な対応を提供
個人情報流出防止及び個人情報流出防止及びコンテンツ保護コンテンツ保護– マスキング処理によりクレジットカード番号流出防止– 不適切単語の自動変換機能を搭載
便利な
便利な強力な強力な管理ツール
管理ツールをツールを提供– 各種情報を22種類のチャートで表示– 設定ウィザードにより容易にセキュリティポリシーを設定
多様な多様なウェブ環境
ウェブ環境を環境をサポート– 暗号化通信（SSL）の内容を検査– 冗長化構成をサポート（アクティブ‐アクティブ、アクティブスタンバイ）
安定した
安定したサービス
したサービス提供
サービス提供のために提供のためにトラブルのためにトラブル対応機能
トラブル対応機能を対応機能を提供– 自己診断機能（Watchdog）– バイパスモード– 監査機能DaiwaSoftwareResearch

17検知方法の検知方法の違いによる長所
いによる長所＆長所＆短所
ブラックリストとホワイトリスト
事前にリストアップされた接続は全て遮断する／事前にリストアップされた接続のみ許可する

シグネチャベースのパターンマッチングとは？
基本はブラックリストタイプで、過去に認識された攻撃リクエストのパターン（シグネチャ）をデータベース化し、リクエストの内容をシグネチャと比較することで攻撃検知を行う手法です。

※ ブラックリストもホワイトリストも、事前にリストへ登録された内容に対してのみ有効であり、未知の接続や新たな接続には有効ではありません。シグネチャベースも含めて、常にリストの定期的な更新が必要です。

ルールベース（ロジック分析エンジン）とは？
予めプログラミング
プログラミングされた
未知のプログラミングされた26
された26（26（現時点）現時点）種類の種類の攻撃検知エンジン
攻撃検知エンジンのエンジンの集まりです。このロジック分析により、未知まり未知の攻撃へも攻撃へも対応出来へも対応出来ます
対応出来ます。更に個々が独立することで処理の高速化と運用の簡素化を実現しています。
ます

クレジットカード番号を識別できるか？
一見ランダムに生成されていそうなクレジットカード番号は、実は発行会社により番号の作り方が定められている
クレジットカード番号

他社製

WAPPLES

12123-4214-1232-7584 （発行会社の発行会社のルールにルールに基づいた番号づいた番号）
番号）

検知できない検知できない

検知21111-2222-3333-4444 （ランダムにランダムに入力したもの入力したもの）したもの）

検知できない検知できない

検知しない
検知しない

※WAPPLESはクレジットカード番号の作り方（生成ロジック）を認識しており、クレジットカード番号であると判断することが可能です。
DaiwaSoftwareResearch18

アノニマス攻撃
アノニマス攻撃について
攻撃について１．アノニマス(Anonymous)
アノニマス(Anonymous)による(Anonymous)によるサイバーによるサイバー攻撃
サイバー攻撃6月25日、世界的ハッカー集団・アノニマス（Anonymous）により日本の重要Webサイトが立て続けに攻撃を受けました。（財務省、裁判所、JASRAC、民主党、自民党、知的財産高等裁判所、国土交通省関東整備局霞ヶ浦河川事務所など）
アノニマスは、特定の目的をやり遂げるため、特定されたターゲットを狙うと意味では標的型攻撃に該当するとも言えます。
２．アノニマスの攻撃ツール＆手口
アノニマス(Anonymous)がDDos攻撃を行う際に使っているという「HOIC（High Orbit
Ion Cannon）」ツールです。
このツールのもっとも強力な機能は、「Booster」であります。
シグネチャーベース製品
シグネチャーベース製品だと製品だと、だと、BoosterによってBoosterによってランダムによってランダムにランダムに生成された
生成されたリクエスト
されたリクエストにはリクエストには対応できず対応できず、できず、どれだけシグネチャーどれだけシグネチャーをシグネチャーを登録すればやり登録すればやり切すればやり切れるかも不明れるかも不明であります
不明であります。
であります。
（シグネチャーベースのシグネチャーベースのWAFのWAFの根本的限界とも根本的限界とも言とも言われています。
われています。）
３．防御方法の一例
WAPPLESのWAPPLESのロジック分析
ロジック分析エンジン
分析エンジンによりエンジンにより、により、様々のDos系攻撃Dos系攻撃が系攻撃が持っている動っている動きの特きの特徴を取り入れたリクエスト
れたリクエストのリクエストの時間差による時間差による対応による対応（
対応（MayblockTimeのMayblockTimeの実装）実装）にてランダムにてランダムで生成される生成されるリクエストされるリクエストにもリクエストにも対応にも対応できます
対応できます。
できます。
DaiwaSoftwareResearch19

株式会社大和ソフトウェアリサーチ
株式会社大和ソフトウェアリサーチ
アウトソーシング事業本部
アウトソーシング事業本部〒102-0083
東京都千代田区麹町1-5-2
tel:03-3262-8558
e-mail:outsales@dsr.co.jp
DaiwaSoftwareResearch20