必見！PCI DSS要件11.1の実効性を担保する
Wi-Fi監視ソリューション
1部/ｆｊコンサルティング株式会社

代表取締役CEO

2部/株式会社スプライン・ネットワーク

代表取締役社長

瀬田 陽介
雪野 洋一

2019年6月11日
PCI DSSセキュリティフォーラム2019 講演資料

2019/6/11
PCI DSSセキュリティフォーラム2019 講演資料

必見！PCI DSS要件11.1の実効性を担保する
Wi-Fi監視ソリューション

キャッシュレス社会に安心をｆｊコンサルティング株式会社
2019年6月11日

アジェンダ
１．自己紹介２．PCI DSSと無線アクセスポイント検査

３．無線IDS/IPSによる監視
４．PCI DSSへの適用事例© fjconsulting, INC. All Rights Reserved.

1

会社概要
• 会社名

ｆｊコンサルティング株式会社
ｆｊの由来は”From Japan”• 役員

代表取締役CEO 瀬田 陽介
取締役COO
大澤 志津
非常勤取締役
須田 騎一朗（ユナイトアンドグロウ株式会社 代表取締役社長）
非常勤取締役
谷口 芳伸（ユナイトアンドグロウ株式会社 執行役員）
監査役
肥後 一雄（ユナイトアンドグロウ株式会社 常勤監査役）• 顧問弁護士大井 哲也（TMI総合法律事務所 弁護士）

• 本社

〒101-0062
東京都千代田区神田駿河台4-3
新お茶の水ビルディング3F• 加盟団体日本カード情報セキュリティ協議会
一般社団法人キャッシュレス推進協議会
一般財団法人沖縄ITイノベーション戦略センター© fjconsulting, INC. All Rights Reserved.

2

代表者紹介• 氏名 瀬田 陽介（1972年3月23日生）• 経歴– 1999年11月～2007年9月
インフォリスクマネージ(株)ボードメンバー– 2007年4月～2013年1月
国際マネジメントシステム認証機構(株)代表取締役社長– 2010年8月～2013年2月
Payment Card Forensics(株)取締役（現・P・F・C・Fronteo(株)）– 2009年11月～2013年3月
エヌシーアイ(株) ボードメンバー （現・アイティーエム(株)）– 2013年4月～
fjコンサルティング(株) 代表取締役CEO(現任)– 2014年7月～(株) GRCS （旧：NANAROQ (株)） アドバイザー(現任)– 2015年11月～
BSI Professional Services Japan テクニカルアドバイザー(現任)– 2016年8月～
日本カード情報セキュリティ協議会（JCDSC） ユーザー部会世話役(現任)© fjconsulting, INC. All Rights Reserved.

3

執筆①• 改正割賦販売法でカード決済はこう変わる （共著）
日経BP社 2018年4月発行
2,000円（税別）• PCI DSS Version2.0 徹底解説
CardWave編集部 2011年9月発行

50,000円(税別）• PCI DSS Version1.2 徹底解説
TIプランニング 2010年2月発行

90,000円(税別)• 経済産業省委託調査『平成22年度コンピュータセキュリティ早期警戒体制の整備事業
安全な電子決済実現に向けた情報セキュリティ対策に関する調査事業』© fjconsulting, INC. All Rights Reserved.

4

執筆②• CardWave 2015年11・12月号 Special Report『POSマルウェア攻撃に備えるPCI P2PEとは POS加盟店のPCI DSS準拠を現実的なものに』• CardWave 2016年3・4月号 特集 カード情報を守れ！非対面決済編『官民共同案のセキュリティ対策でECにおけるカード決済はどう変わる？』• CardWave 2016年9・10月号 Special Report『ATM18億円不正引き出し事件を検証 銀行の国際ネットワーク対応に影響？』• CardWave 2017年3・4月号 特集 クレジットカードのセキュリティ考察『セキュリティの指針「実行計画2017』のポイント
改正割賦販売法対応に向けた加盟店の取り組みが焦点に』• CardWave 2017年9・10月号～2018年5・6月号 PR特集 銀聯カードを理解する『「銀聯=中国のデビットカード」という誤解』 他 （5回連載）• CardWave 2018年3・4月号 Special Report『カード決済セキュリティの指標「実行計画2018」 MOTO加盟店の非保持化・不正使用対策も明確に』• CardWave 2018年5・6月号 Special Report『カード決済セキュリティの指標「実行計画2018」 内回り方式の選択肢が増えたPOS加盟店』• CardWave 2018年9・10月号 Special Report『キャッシュレス推進協議会が目指す「QR コード決済標準化」を読み解く• CardWave 2019年3・4月号 Special Report『「実行計画2019」変更ポイントを解説 EC加盟店に求められる新たな不正対策』© fjconsulting, INC. All Rights Reserved.

5

アジェンダ
１．自己紹介２．PCI DSSと無線アクセスポイント検査

３．無線IDS/IPSによる監視
４．PCI DSSへの適用事例© fjconsulting, INC. All Rights Reserved.

6

PCI DSS 要件11.1
要件11.1
四半期ごとにワイヤレスアクセスポイントの存在をテストし（802.11）、すべての承認されているワイヤレスアクセスポイントと承認されていないワイヤレスアクセスポイントを検出し識別するプロセスを実施する。

• 検出対象には少なくとも以下を含む。
– サーバーのネットワークポートとUSBポート– ネットワーク機器のネットワークポートとUSBポート– ネットワークポートまたはネットワークデバイスに接続されたワイヤレスデバイス• 承認されていない無線アクセスポイント（無線AP）が検出された場合は、インシデント対応計画を発動（要件11.1.2／要件12.10）• 無線なしのネットワークでも実施する必要がある。
• 全てのPCI DSS対象範囲の拠点が対象となる。

© fjconsulting, INC. All Rights Reserved.

7

従来の無線AP検査の方法①
要件11.1（続き）
注）プロセスで使用される方法には、ワイヤレスネットワークのスキャン、システムコンポーネントおよびインフラストラクチャの論理的/物理的な検査、ネットワークアクセス制御（NAC）、無線 IDS/IPS が含まれるがこれらに限定されるわけではない。

現在の実施手法は以下のいずれかであることが多い。
1. 無線（ワイヤレス）ネットワークのスキャン
2. システムコンポーネントおよびインフラストラクチャの論理的/物理的な検査© fjconsulting, INC. All Rights Reserved.

8

従来の無線AP検査の方法②
１．無線ネットワークのスキャン• PCI DSS対象範囲の拠点をウォークスルーして無線ネットワークスキャンを実施• 未知の無線APを発見した場合、バックボーンネットワークスイッチを調査し、ネットワーク接続の有無を調査• PCI DSS対象範囲内のネットワークに無許可の無線APが接続されていた
らインシデント対応計画を発動【問題点】①

スマートフォンのWi-Fiを無線APとして検出してしまう。

②

悪意ある攻撃者がMACアドレスやSSIDを偽装することは容易③

検査に人手がかかるが、有効性に疑問④ 人手がかかるため、実施頻度を上げることが難しい。
⑤

四半期ごとの検査の間の期間に接続された場合、発見できない。
© fjconsulting, INC. All Rights Reserved.

9従来の無線AP検査の方法③
2．システムコンポーネントおよびインフラストラクチャの物理検査• 全てのネットワーク機器のポートやサーバのUSBポートに無許可の無線APが接続されていないことを目視確認• スマートフォンのWi-Fi等により、無線ネットワークに影響を受けやすいオフィス
環境では、効率的で安定した手法なので多くの組織で実施されている。
【問題点】①

サーバ数が多かったり、ネットワーク機器数（ポート数）が多かったりするシステムには不向き②

対象範囲内でスマートフォンのテザリングやモバイルWi-Fiルータなど、ネットワークに有線接続されていない無線APを発見できない。

③

人手がかかるため、実施頻度を上げることが難しい。

④

四半期ごとの検査の間の期間に無許可の無線APが接続された場合、発見できない。
© fjconsulting, INC. All Rights Reserved.

10

PCI DSS要件11.1対応の現状の課題• 従来の方法は手間や人手がかかるのに、有効性が不十分• 「無許可の無線AP」は発見次第インシデント対応計画が発動されるほどの重大インシデントであり、本来は四半期に一度の検査ではなく24時間/365日の監視が望ましい。
• PCI DSS要件11.1では、プロセスで使用される方法の例として「無線IDS/IPSの導入」を挙げているが、これまで有効な方法がなかった。

© fjconsulting, INC. All Rights Reserved.

11

アジェンダ
１．自己紹介２．PCI DSSと無線アクセスポイント検査

３．無線IDS/IPSによる監視
４．PCI DSSへの適用事例© fjconsulting, INC. All Rights Reserved.

12

無線IDS/IPSでできること• 無線ネットワークを24時間/365日監視• 無許可の無線AP（SSID/MACアドレス）を検知して即時遮断• 偽装したMACアドレスやSSIDについても検知可能

攻撃者によるアクセス③業務端末のWi-Fi
テザリングを遮断
スマホ
テザリング

✘

自動遮断
①無許可の無線
AP経由の攻撃者のアクセスを遮断

PCI DSS対象範囲

✘
自動遮断

業務端末

無許可の無線AP

正規の無線AP
センサー

管理サーバ

業務端末

無線IDS/IPS© fjconsulting, INC. All Rights Reserved.

✘自動遮断

無許可の無線AP②業務端末からの無許可の無線APへの接続を遮断
13

アジェンダ
１．自己紹介２．PCI DSSと無線アクセスポイント検査

３．無線IDS/IPSによる監視
４．PCI DSSへの適用事例© fjconsulting, INC. All Rights Reserved.

14

PCI DSS対象範囲における無線IDS/IPSの事例• PCI DSS対象範囲内にある無線AP情報（SSID、MACアドレス）および端末情報（MACアドレス）をあらかじめIDS/IPSの管理サーバにホワイトリストとして登録• 端末ごとの許可された接続先などのセキュリティポリシーも同様に登録• PCI DSS対象範囲内に設置したセンサーで常時範囲内の無線AP情報・端末情報を受信し、それぞれの接続状態をを無線IDS/IPS管理サーバに送信＜無許可の無線APが接続された時のIDS/IPSの動作＞
業務端末【PCI DSS対象範囲】• 無線AP情報（SSID、MACアドレス等）• 端末情報（接続先AP等）• セキュリティポリシー

④警告を発報正規の無線AP
24×365モニタリング

業務端末

センサー
管理サーバ
無線IDS/IPS③管理サーバに登録された無線AP情報と②SSID、MACアドレスなどをネットワークに送信①無許可の無線AP接続接続情報を照合して、無許可の無線APや通信する端末の存在を識別© fjconsulting, INC. All Rights Reserved.

✘

攻撃者によるアクセス
15

データセンタにおける無許可の無線APの検知• 多数のサーバラックがあるマシンルーム内で物理検査により無線APを探すのは困難• スキャンしても場所の特定が困難でウォークスルーの有効性が低下• 無線IDS/IPSセンサーの電波受信強度を元に無線APまでの距離を推定できる。
• センサー3台を使い三点測位を利用してアクセスポイントの位置を特定する。

IDS/IPSセンサー

IDS/IPSセンサー

IDS/IPSセンサー© fjconsulting, INC. All Rights Reserved.

16

まとめ
• 無許可の無線APはPCI DSSにおいて重大なセキュリティインシ
デントにつながる。
• スマートフォンの普及によりオフィス環境での無線スキャンは困難に• 無線IDS/IPSにより、人手・手間をかけず無許可の無線APの常時監視が可能になる。

© fjconsulting, INC. All Rights Reserved.

17

ご質問＆お問い合わせなど
Email： admin@fjconsulting.jp
http://www.fjconsulting.jp/
TEL:03-4570-8580
Facebook：
facebook.com/fjconsultinginc© fjconsulting, INC. All Rights Reserved.

18

Wi-Fi Security Assurance~ 無線LAN IDS/IPSサービス ~Wi-Fiセキュリティ
脆弱性診断

Wi-Fiマネージド
セキュリティ

PCI DSSセキュリティフォーラム2019 講演資料

2019年6月11日

株式会社スプライン・ネットワーク
CONFIDENTIAL©2019 Spline-Network Inc. All Rights Reserved

１．Wi-Fi セキュリティ脆弱性診断とは？

Wi-Fi 環境（アクセスポイント/端末）の可視化＆分析ソリューション
半径25m

Wi-Fiネットワーク状況の可視化

Wi-Fiネットワーク
セキュリティ脅威のの明確化

Wi-Fiネットワーク環境（電波皮質）の最適化

周囲アクセスポイント
及び端末の詳細情報をレポート

不正アクセス端末の検知、偽装アクセスポイント等の可視化＆シグネチャ分析

電波干渉、電波の不感知、微弱電波状況の調査と最適化

CONFIDENTIAL

19©2019 Spline-Network Inc. All Rights Reserved

2．Wi-Fi セキュリティ脆弱性診断 ～概要～

Wi-Fi 環境（アクセスポイント/端末）の可視化＆分析ソリューション
Wi-Fiネットワーク状況の可視化

Wi-Fiネットワーク
セキュリティ脅威の明確化

Wi-Fiネットワーク環境（電波品質）の最適化

周囲アクセスポイント
及び端末の詳細情報をレポート

不正アクセス端末の検知、偽装アクセスポイント等の可視化＆シグネチャ分析

電波干渉、電波の不感知、微弱電波状況の調査と最適化

調査・報告

Wi-Fiのアクセスポイント及び、端末を調査し報告
Wi-Fiで通信を行う機器が対象：PC、スマートフォン、ポータブルWi-Fi、プリンター など

取得項目■アクセスポイント及び端末のSSID■プロトコル■MAC Address■利用チャンネル■接続先アクセスポイント■電波の強度など■認証方式■暗号化方式※Wi-Fi通信でのパケットキャプチャはしません。
※プロトコルのみを取得して分析。通信データの内容は対象外です。
CONFIDENTIAL

20©2019 Spline-Network Inc. All Rights Reserved

3．Wi-Fi セキュリティ脆弱性診断 ～サービスメニュー～

1Day

1Week

1Month

調査期間

調査期間

調査期間

１日（24時間）

1週間（24時間 x 7日間）

1ヶ月
（24時間 x 30日間）

とりあえずWi-Fi状況を見てみたい

曜日別のWi-Fi使用状況の傾向を把握したい

月末月初のWi-Fi使用状況の傾向を把握したい

Wi-Fi分析内容◆ Wi-Fi使用状況の分析：アクセスポイント数、端末数、接続状況◆ セキュリティ分析：セキュリティの状態を分析※ご使用のアクセスポイント、端末情報「MAC Address,SSID」を提示が必要◆ リスク分析：シグネチャによるリスク分析

報告内容◆ Wi-Fi電波状況の統計報告◆ 各サービス毎の時系列報告※報告書のサンプルは、P.26 ～ P.30 をご参照ください）特徴◆ センサーの取得ログは暗号化◆ お客様のネットワーク環境は使用しません（LTE回線を使用するため）
CONFIDENTIAL

21©2019 Spline-Network Inc. All Rights Reserved

4．Wi-Fi セキュリティ脆弱性診断 ～オプションサービス～
オプションサービス

CONFIDENTIAL

22©2019 Spline-Network Inc. All Rights Reserved

5．Wi-Fi マネージドセキュリティとは？

～ PCI DSS 要件11.1のためのWi-Fi監視運用ソリューション ～Wi-Fi利用状況を24時間365日

常時監視

検知・遮断 Wi-Fi不正利用を自動で即座に！
アラート通知CONFIDENTIAL

ログ管理

対策自動化

位置追跡23©2019 Spline-Network Inc. All Rights Reserved

6．Wi-Fi マネージドセキュリティとは ～概要～

運用監視項目

１．登録アクセスポイントと端末のアクセス管理
SSID、MAC Address、認証方式、暗号化方式、プロトコル、利用チャンネル、電波強度、端末の接続先アクセスポイントの管理

２．セキュリティポリシー違反、不正接続を検知、通報、遮断登録した機器以外のセキュリティポリシー違反、未登録機器の不正接続を検知、通報、遮断３．シグネチャにより脅威を検知、通報、遮断
シグネチャによりWi-FiネットワークでのDDoS攻撃などの脅威を検知、通報、遮断

月次報告書

１．Wi-Fi環境使用状況
２．セキュリティ状況
３．シグネチャ状況分析
４．PCI DSS要件11.1の基準を満たす定期報告※上記は、機器間の通信を暗号化したLTE回線使用が前提です。
自社ネットワークの利用をご希望の場合は、別途ご相談下さい。
CONFIDENTIAL24©2019 Spline-Network Inc. All Rights Reserved

7．Wi-Fi マネージドセキュリティ ～オプションサービス～

オプションサービスa. アクセスポイント、端末の電波検知状況（アクセスポイント、端末の数）

b. 指定されたアクセスポイント(MAC Address）のチャンネル別c. 指定されたアクセスポイント(MAC Address）の電波強度
d. 指定されたアクセスポイント（SSID）と端末の接続状況※ センサーの設置位置、電波状況により特定位置に誤差が発生します

CONFIDENTIAL

25©2019 Spline-Network Inc. All Rights Reserved

報告書サンプル

CONFIDENTIAL

26©2019 Spline-Network Inc. All Rights Reserved

8．基本報告書サンプル
アクセスの現況

報告書（表紙）イベント現況

要約報告書 XXX株式会社様

アクセスの現況
データ取得最終日： 12:00で の現況で す。

報告書 XXX株式会社様

分析対象
分析期間
報告者

データ取得最終日： 12:00で のイベント現況で す。

アクセスポイント現況

全体

イベント現況

区分

アクティブ非アクティブ合計

探知遮断

認可

171027

セキュリティー

673

0673

ゲスト

12618

シグネチャ

5,412

05,412

不正

000

外部

30

3

未分類

000

2019.03.16 00:00 ~ 2019.03.22 23:59
spline-network

要約報告書 XXX株式会社様イベント現況

端末の現況
区分

アクティブ

非アクティブ

合計

区分

セキュリティー 探知 TOP 5

合計

セキュリティー 遮断 TOP5

区分

探知

非認可ステーション

295

ソフトAP

181

ハニーポットAP

81

認可

0192

192

MAC Spoofing

56

ゲスト

000

Misbehaving ステーション

49

不正

000

外部

202

未分類

101

区分

遮断

シグネチャTOP 5• センサーの現況
アクティブ

非アクティブ合計

対象期間中のアクセスポイント、端末、センサーの現況
1

トラフィックの現況

01

セキュリティ脅威現況

要約報告書 XXX株式会社様区分

探知RTS Flooding

4,517Broadcast Probe Request flood

874

CTS Flooding

17

Deauthentication Flood4

対象期間中のイベント検知、セキュリティ検知、シグネチャ検知の現況

セキュリティ脅威TOP
要約報告書 XXX株式会社様

要約報告書 XXX株式会社様

トラフィックの現況

認可デバイスセキュリティー脅威現況

認可端末セキュリティー脅威TOP

データ取得最終日： 12:00で のトラフィックの現況は、次の通りで す。

データ取得最終日： 12:00で の認可デバイス に発生したセキュリティー脅威は、次の通りで す。

データ取得最終日： 12:00で のセキュリティー脅威が発生した 認可端末TOPは、次の通りで す。

トラフィックの現況
RX(byte)TX(byte)57,87445,484端末

5,741,749

RX TOP 5 アクセスポント

532,882

分類

探知遮断

合計

MAC Address

SSID

発生件数

アクセスポイント

1690

169

00:00:00:00:01

ap-12345

46

非認可ステーション(29) MAC
Spoofing(17)

端末103

0

103

00:00:00:00:02

ap-12345

23

非認可ステーション(17) MAC Spoofing(6)00:00:00:00:03

ap-12345

21

非認可ステーション(20) MAC Spoofing(1)00:00:00:00:04

ap-12345

13

非認可ステーション(10) MAC Spoofing(3)00:00:00:00:05

ap-12345

13

MAC Spoofing(9) 非認可ステーション(4)00:00:00:00:06

ap-12345

6

非認可ステーション(5) MAC Spoofing(1)00:00:00:00:07

ap-12345

6

MAC Spoofing(3) 非認可ステーション(3)00:00:00:00:08

ap-12345

6

非認可ステーション(6)ユーザー

RX TOP 5 端末

MAC Address

SSID

RX(byte)

MAC Address

RX(byte)00:00:00:00:01

ap-12345

57,87400:00:00:10:01

5,741,749

00:00:00:00:02

ap-12345

56,14400:00:00:10:02

4,306,817

認可アクセスポイントセキュリティー脅威
分類
Mis-Configuration AP

00:00:00:00:03
00:00:00:00:04
00:00:00:00:05

ap-12345
ap-12345
ap-12345

36,05430,76825,647

TX Top 5 アクセスポイント

00:00:00:10:03
00:00:00:10:04
00:00:00:10:05

TX TOP 5 端末
MAC

TX(byte)00:00:01:10:01

ap-12345

45,48400:00:00:20:01

532,882

00:00:01:10:02

ap-12345

45,40200:00:00:20:02

254,21800:00:00:20:03

Misbehaving ステーション

備考

発生件数
49

非認可ステーション

127

ハニーポットAP

49Misbehaving ステーション

0

MAC Spoofing

0

MAC Spoofing42

不正デバイス

0

不正デバイス

0

Telecom AP

0

ハッキングデバイス

0

Prevention

0

1,996,383

TX(byte)42,6010

分類

2,154,319

SSID

ap-12345

発生件数

認可端末セキュリティー脅威

2,981,110

MAC

00:00:10:10:03

認可 アクセスポイント TOP

認可デバイスセキュリティー脅威現況

区分
アクセスポイント

認可端末 TOP

ソフトAP

5

MAC Address

発生件数

備考

モバイルAP

0

00:00:00:10:01

61

Misbehaving ステーション(41) ハニーポッ
トAP(20)アドホック・ネットワーク

0

00:00:00:10:02

29

ハニーポットAP(29)Prevention

000:00:00:10:03

6

Misbehaving ステーション(6)00:00:00:10:04

4

Misbehaving ステーション(2) ソフトAP(2)00:00:00:10:05

1

ソフトAP(1)00:00:00:10:06

1

ソフトAP(1)00:00:00:10:07

1

ソフトAP(1)

177,616

対象期間中のアクセスポイント、端末のRX/TXトラフィック状況とTop5の現況

対象期間中の許可端末のセキュリティ状況、セキュリティ区分の現況

CONFIDENTIAL©2019 Spline-Network Inc. All Rights Reserved

00:00:10:10:04

ap-12345

41,73600:00:00:20:04

152,572

00:00:10:10:05

ap-12345

38,09300:00:00:20:05

128,031

対象期間中の許可端末のセキュリティ脅威端末リスト

27

9．オプション報告書サンプル

日別推移グラフ60

週間推移グラフ

アクセス
ポイン総数

端末総数

管理アクセス
ポイント数

管理アクセス
ポイント接続端末数

アクセス
ポイン総数

端末総数

管理アクセス
ポイント数

管理アクセス
ポイント接続端末数

50件
数

6060
4050

50件
数

4030

4030
2020301010100000 01 02 03 04 05 06 07 08 09 10 11 12 13 14 15 16 17 18 19 20 21 22 23020

01/01/2019 01/02/2019 01/03/2019 01/04/2019 01/05/2019 01/06/2019 01/07/2019
(SAT)
(SUN)
(MON)
(TUE)
(WED)
(THU)
(FRI)

Xx/xx/2019 (MON)

アクセスポイントおよび端末の24時間のアクセス数を時系列分析

CONFIDENTIAL

アクセスポイントおよび端末の24時間x7日間のアクセス数を時系列分析

28©2019 Spline-Network Inc. All Rights Reserved

10．オプション報告書サンプル

電波強度時系列グラフ

2.4G電波状況とチャンネル別接続状況グラフ

MAC Address 34:76:c5:cc:d4:31 2.4GHz
MAC Address 34:76:c5:cc:d4:30 5GHz-30

電波
強度

-40

-50

-60
01/03/2019 01/04/2019 01/05/2019 02/06/2019 01/07/2019
(MON)
(TUE)
(WED)
(THU)
(FRI)

最大：MAC Address x10

最大：MAC Address x10

指定されたアクセスポイントと接続された端末の電波状況分析

CONFIDENTIAL指定されたアクセスポイントのMAC Addressのチャンネル別の端末との接続数

29©2019 Spline-Network Inc. All Rights Reserved

11．オプション報告書サンプル

位置情報検知

センサー②

検知端末

センサー①

センサー③

※事前に平面図をマネージャに設定する必要があります。

CONFIDENTIAL

30©2019 Spline-Network Inc. All Rights Reserved