脆弱性診断を中心にその留意点や関連の対策ソリューションご案内
三和コムテック株式会社
営業部 エマージングテクノロジーグループ
シニアマネージャー

岡山 大
２０２３年１月２０日

会社概要◆ 社名：三和コムテック株式会社◆ 設立：1991 年 8 月◆ 本社：東京都港区虎ノ門2-1-1 商船三井ビルディング 4F（2019年11月にに移動）◆ 情報セキュリティ分野の取り組み◆ IBMi のセキュリティソリューションの提供◆ 情報システム学会◆ 日本ガイドシェア（JGS）IP部会メンバー2004年より自動脆弱性診断サービスを継続的に提供◆ 手動診断、 Web アプリケーションファイアウォールなど、包括的な脆弱性管理ソリューションを展開◆ JCDSC(日本カード情報セキュリティ協議会)設立に参画◆ 2014 年、サイバーセキュリティ診断ブランド「SCT SECURE」を立ち上げ
2022©Sanwa Comtec K.K. All Rights Reserved.

アジェンダ１. 最近のインシデント状況
２. 国内カードセキュリティの流れ
３. 診断系 対策ソリューションご紹介a> V4.0対応
b> EC加盟店（非保持対応）向け
c> 重要インフラ指定会社 など
2022©Sanwa Comtec K.K. All Rights Reserved.

最近のインシデント状況

インシデント状況 クレレジットカード不正
１）クレジットカード不正被害は激増！ ＜前年比: 30%増＞
内訳： カード偽造は、更に減少傾向（ 割合: 0.65% => 0.2% )カード盗用は、大幅増加傾向（ 155.6億/1H => 206.5億/1H => 同期比: 32%増 ）2022©Sanwa Comtec K.K. All Rights Reserved.

インシデント状況（２）フィッシングサイト
２）フィッシング被害は、2020年から急増＜報告件数は、13倍以上、URL数も、11倍以上＜2019年比＞

フィッシング対策協議会 HPより

2022©Sanwa Comtec K.K. All Rights Reserved.

国内のカードセキュリティの流れ国内カードセキュリティの流れ
１）PCIDSS 準拠 < 2022/04: V4.0発表 >２）改正割賦販売法（３度の改正） 準拠（割賦販売法で義務付けられているカード番号等の適切管理及び不正利用防止措置の実務上の指針）
2016～2020: 「実行計画」対応
2021～:「クレジットカード・セキュリティガイドライン」へ移行
2022/8～： クレジットカード決済システムのセキュリティ対策強化検討会
対策の強化策の検討 => ガイドラインへ反映

３）その他法規制
改正個人情報保護法 （ 2022/4 罰則強化 ）犯罪収益移転防止法（2021/11: クレジット分野におけるマネロンガイドライン改定)
サイバーセキュリティ基本法（2021/9 戦略改定 重要インフラ指定 50社向け）
経済安全保障一括推進法（ 2022/5 法案成立）
指定事業者の重要設備導入時等の事前審査の施行
2022©Sanwa Comtec K.K. All Rights Reserved.

「クレジットカード決済システムのセキュリティ対策強化検討会」

・2022年8月より、５回の検討会を開催
・第5回検討会（2022年12月23日）にて、クレジットカード決済システムの更なるセキュリティ対策強化に向けた主な取組のポイント（案）※が開示された。
内容＞ 非対面取引におけるクレジットカード決済の更なるセキュリティ対策強化を図るため、クレジットカード決済網に関わる多様なプレーヤーによる多面的・重層的なセキュリティ対策の取組を整理。
視点＞ １）漏洩防止
ECサイト自体の脆弱性対策を必須化（システム上の設定不備改善、脆弱性診断、ウイルス対策等）－例：OSS（オープンソースソフトウェア）を利用したサイト等への対策、WAFの導入）
２）不正利用防止・本人認証の強化 / EMV3DSの義務化 / リスクベース認証
３）犯罪抑止・広報周知※ https://www.meti.go.jp/shingikai/mono_info_service/credit_card_payment/pdf/005_02_00.pdf
2022©Sanwa Comtec K.K. All Rights Reserved.

まとめ１）２０２０年以降、クレジットカード不正を含め、サイバー攻撃が激化した。
２）コロナ禍の長期化で、リモートワーク化が進む中、我が国でもサイバーリスクが高まっている。
３）サイバーリスクの高まりを受けて、PCIDSS及び様々な国内法により、カードセキュリティ対策の強化が望まれている＝＞ 高サイバーリスク環境を前提にした、セキュリティ対策が必要

2022©Sanwa Comtec K.K. All Rights Reserved.

診断系 対策ソリューションのご案内＜PCIDSS V4.0新規要件＞

V4.0 新規要件対策ソリューション
１> 内部診断支援サービス（ 11.3.1.対応 )認証スキャン実施計画から、診断実施、実施、対策まで、スムーズな移行、準拠を支援致します。
・ 実施計画- サンプリング診断支援- 結果に基づくGAP分析、実施計画支援・ 実施支援- 設定支援 （ サービス / 教育 ）・ 対策支援- コンサルティング（優先順位づけ、対策ソリューション案内）2022©Sanwa Comtec K.K. All Rights Reserved.

V4.0 新規要件対策ソリューション
2> JavaScript改ざん監視ソリューション<jscrambler>
昨今のカード情報詐取の主な手口となっているWEB（オンライン）スキミング対策。ユーザーのWEBページにて使われているJavaScriptの監視や制御を可能とし、PCIDSS V4.0の新規要件への準拠を可能にします。

・6.4.3 -消費者のブラウザに読み込まれ、実行されるすべての決済ページスクリプトの管理

・11.6.1 -消費者ブラウザが受信した決済ページのHTTPヘッダとコンテンツに対する不正な変更を警告する、変更と改ざんの検出メカニズム
2020©Sanwa Comtec K.K. All Rights Reserved.

13なぜ、対策ソリューションなのか？
課題）一般的には、CSP（Content Security Policy）は、マニュアルでの管理・運用が困難対策）対策ソリューションの利用（jscrambler ）・ JavaScriptエージェント型
・ 認可前の新規・変更スクリプトのブロック
・ 悪意な動きは、自動防御ソリューション・デモ動画）
1. V4.0のWEBスキミング防止要件の理解（ウェビナー）https://www.youtube.com/watch?v=XVUspnZnJFg&feature=youtu.be

2. ECサイト用 (インベントリー管理）- https://youtu.be/IzBNnfFgzo0
3. 機密情報データ - https://youtu.be/F1i9ELo5Dhs
2022©Sanwa Comtec K.K. All Rights Reserved.

診断系 対策ソリューションのご案内＜EC加盟店向け＞

加盟店様向け対策ソリューション
１）システム上の設定不備改善 < cloudsec v2 >クラウド環境を継続的にモニターし、セキュリティ状況を分析
結果は、CISベンチマークなど、セキュリティ基準によって判断

２）脆弱性診断 < SCT SECURE クラウドスキャン など >ネットワーク（プラットフォーム）診断 < 年間 / ワンタイム >WEBアプリケーション診断< 年間 / ワンタイム >モバイルアプリケーション診断< 年間 / ワンタイム >ペネトレーションテスト など

2022©Sanwa Comtec K.K. All Rights Reserved.

Cloudsec v2とはクラウド環境のセキュリティ状況を解析

クラウド環境を継続的にモニターし、セキュリティ状況を分析

セキュリティリスクを検知した時点で、リスクの内容を修正方法とともに報告

結果はCISベンチマークをはじめとするセキュリティ基準に沿って判断

AWSやAzureなどのクラウドプラットフォームを横断的に解析©2022 Sanwa Comtec K.K. All Rights Reserved.

17

Cloudsec v2の特長
自動検知・分析
境界の変化を捕捉
CISベンチマーク準拠/200以上の観点による分析設定作業は最小限IaaS、コンテナのためのワークロード分析
DevOpsを支援
Dockerの分析

マルチクラウド、ハイブリッド環境対応

包括的かつ詳細なレポート

パブリック、ハイブリッド、プライベート環境に対応

リスクと対策、双方の詳細な情報を提供

同時に複数環境を監視・セキュリティリスクを検知

PDFフォーマットをサポート©2022 Sanwa Comtec K.K. All Rights Reserved.

18

サンプルレポート

2022©Sanwa Comtec K.K. All Rights Reserved.

診断系 対策ソリューションのご案内＜重要インフラ指定会社など＞

重要インフラ対象企業様向け
カード業界関連の国内法・コンプライアンス対策への推奨ソ
リューション（特に、重要インフラ対象企業）
ファームウェア脆弱性管理ソリューション
従来の脆弱性診断ではカバーできていないOS以下の脆弱性（VBOS：

Vulnerability below the OS)の定期診断を実施・対策することで、ファームウェアの脆弱性を突いた攻撃を防ぎます。

2022©Sanwa Comtec K.K. All Rights Reserved.

ファームウェア脆弱性の怖さ背景）APT（Advanced Persistent Threat ）や昨今の標的型攻撃、ランサムウェア攻撃、HACTIVISMなどで、ファームウェアの脆弱性を突いたものが増えている。

脆弱性）米国CISA(サイバーセキュリティ・社会基盤安全保障庁）公表のKEV(実際にサイバー攻撃に利用されたことのある本当に危険な脆弱性)
計856の脆弱性のうち、サーバーソフトやOS、WEBブラウザーなどを抑えて、ファームウェアの脆弱性がもっとも多く（185以上）リストアップされている。

検出例）

脆弱性名

CVE登録番号

重要度

スコア

Intel ME Out Of Bounds Write

CVE-2020-8752

Critical

9.4

Improper Authentication In Intel ME

CVE-2019-14598 Severity:

High

8.2

Improper Buffer Restrictions In Intel ME Firmware

CVE-2020-0594 C...

Critical

9.8

Heap Overflow In Intel ME Firmware

CVE-2019-0169 C...

Critical

9.6

Insufficient Access Control In Intel ME Firmware

CVE-2019-0089 C...

Critical

9High

8.2

Insufficient Input Validation In Intel ME Subsystem

CVE-2018-12190 ...
2022©Sanwa Comtec K.K. AllRights Reserved.

ファームウェア脆弱性の怖さ（実例）
MoonBounce（2021年）
APT41起因とされるUEFI bootkit（ファームウェアに感染するマルウェア）
UEFIブート時の初期段階で実行される既存のコードの内容を変更する
改ざんされたファームウェアにより、OS起動時にメモリ上に直接マルウェアが展開される→ファイル（感染の痕跡）を残さず、OSより先に起動するため検知が困難

2022©Sanwa Comtec K.K. All Rights Reserved.

さいごに…
年度末を迎え、下記ソリューションに関して、・ クラウド設定チェック <cloudsec v2>

・ 各種脆弱性診断
・フォームウェア脆弱性診断＜eclypsium＞

キャンペーンを実施いたします。もちろん、再販もできますのでご活用ください！
2022©Sanwa Comtec K.K. All Rights Reserved.

ご清聴ありがとうございました！
三和コムテック株式会社
営業部 エマージングテクノロジーグループ
Tel：03-3583-4003
Email：et-sales@sct.co.jp / okayama@sct.co.jp