エンタープライズICT総合誌 月刊ビジネスコミューニケーション(Webサイトへ)

マネージドセキュリティサービス
第３回 − 実例ベースで考える −〜クラウドへの移行時に発見したセキュリティインシデント事例〜

攻撃者の動線から見える狙いとその対策
NTT コミュニケーションズ㈱ 経営企画部
マネージドセキュリティサービス推進室長

NTT コムセキュリティ㈱オペレーション＆コンサルティング部

与沢 和紀

羽田 大樹

連載第 3 回となる今回は、前回に引き続き、我々がインシデント対応した事例の中からクラウドへの移行時に攻撃者が長期に渡ってシステムに潜伏して様々な行動をとっていたことを追跡した興味深い事例を紹介する。調査の結果から推測できる攻撃者の狙いとそこから導き出される対策について考察したい。

インシデント発見のきっかけかかった。サーバーにはバックドアや侵入のための攻A 社は全国に店舗を展開するだけでなく、インターネ撃ツールが多数設置されていたことに加え、データベットでの通信販売も積極的に展開している。同社はイースから情報を抽出していた痕跡が確認された。さらンターネット販売を強化しようと新しいデータセンタにシステム全体にアクセス可能なシステム管理サーバーのクラウド環境にシステムの移設を行っており、予ーでも侵入の痕跡が確認され、システム全体を掌握さ定されていた数百台のサーバーのうち半分ほどの移行れてしまった可能性もあることが分かった。

が完了していた。ある日、この新しいシステムにおい最初は侵入方法が分からず捜査が難航したが、しばて特定サーバーの負荷が異常に高まり、業務に影響がらく調査を進めていくうちにサーバーで記録していた出たというのだ。お客さまが調査したところ、何台かログに微妙な不整合を発見し、そこから侵入者は侵入のサーバーでバックドアが動作していたという。何者

経路を隠ぺいするようログを改ざんしていた証拠を押かに侵入されていることは明らかなのだが、何が原因さえた。そこで、隠ぺいしきれなかった部分を解析すでどこまで侵入されているのか全く見当がつかなかっることで、侵入者が辿った経路を逆に探索していくこた。A 社はセキュリティ対策機器を導入してネットワーとができた。ところが、ある地点で全く異なるアドレクを監視していたが、不思議なことに侵入の痕跡とな

ス体系のプライベート IP アドレスから侵入されていたる通信ログは見当たらなかった。

ことを発見した（図１）。顧客に確認したところ、これは旧データセンターの IP アドレスであるという。

調査の内容

調査範囲を拡大してお客さまの旧データセンターの相談を受けた弊社はこのインシデントの調査にとり調査を開始したところ、調査時点から半年以上前にイ
新データセンタ？

Internet
セキュリティ
監視

その他
サーバー群

管理サーバー

Webサーバー

図 1 侵入経路を逆順に探索

6

ビジネスコミュニケーション

2013 Vol.50 No.12

エンタープライズICT総合誌 月刊ビジネスコミューニケーション(Webサイトへ)

新データセンタ①不正プログラムの動作でCPU使用率が異常値を示し発覚

Internet
セキュリティ
監視

その他
サーバー群

管理サーバー②多数のサーバーに不正侵入の痕跡を確認

新Webサーバー

旧データセンタ③侵入者は数か月前から不正アクセスをしていたことが判明

Internet
侵入経路
旧Webサーバー

図 2 侵入経路の全体像

ンターネットから Web アプリケーションの脆弱性を悪対策について用してバックドアを設置していたことが判明した。侵今回のインシデントを振り返ると、Web サーバーに入者はその間このシステムに潜伏し、徐々に侵入範囲脆弱性が存在したことが最初の侵入のきっかけであっを広げていたのである。

たため、まず入口の対策の一つとしてシステム構築時に脆弱性がないか、また運用フェーズに入った後も新攻撃者の行動とその狙いたな脆弱性が露呈していないかを定期的に確認してお侵入から発見まで実に半年もの間、攻撃者は侵入したく必要があった。また、たとえ侵入されていたとしてことに気づかれないような工夫を行い、様々な手法を使も、システム全体の不正な通信を監視していれば情報って試行錯誤をしながら侵入範囲を拡大していた（図２）。

漏洩に至る前に発見できていた可能性が高い。既設の侵入したサーバーに目的の情報が入っていないとみるとセキュリティ対策機器はインターネットの出入口とい次々に奥まで潜り込み、目的の情報に辿りつけないかとう限定的な範囲しか監視していなかったため、攻撃者いう狙いが見て取れた。直接侵入されたサーバーのデーの活動がログには残らなかった。インターネットとのタベースには重要な情報は入っていなかったが、そのた接続点の防御・監視のみで全てのリスクの回避はできめさらに奥に進んでいったと考えられる。

ない点を理解し、システムの構成と役割、重要データ旧データセンターから侵入され、閉域網経由で新システの格納場所等からリスクの所在を洗い出した上で、多ムに侵入されていたことになるが、新旧システム間は直結層的に適切な対策を行うことが必要である。さらに、Aの閉域網でありセキュリティ対策を講じていなかったため、社の場合、ここで例示した事象の他に、新システム側発見することができなかったのである。今回は侵入者の不のインターネット接続点において別の攻撃と考えられ手際によりシステムの負荷が高まり、それがきっかけで調るログも確認されており、注意が分散、調査が複雑化査を開始することができたが、侵入者がそのようなミスをしてしまっていたということにも留意する必要がある。

しなければこのまま気づくことはできなかったであろう。

各々のセキュリティ機器やサーバーのログを相関的に

ビジネスコミュニケーション

2013 Vol.50 No.127

エンタープライズICT総合誌 月刊ビジネスコミューニケーション(Webサイトへ)

マネージドセキュリティサービス
第３回 − 実例ベースで考える −GROC

セキュリティ運用基盤（WideAngle PF）

分析官

予兆
検知
ノウハウの反映

セキュリティ
対策製品のログ

各種サーバーなどのログ

ネットワーク
機器のログ

脅威
検知

影響
判断

深刻度
判定

影響度マトリックス手法
カスタマイズ／チューニング

イ
ベン
ト＆ログの収集

検知精度向上誤検知率改善分析官の報告

カス
タ
マー
ポー
タル

自動通知

相関分析
独自ノウハウによる新たな脅威の検知

Batch Based
Analysis Engine
Real Time
Analysis Engine

NTTセキュアプラット
フォーム研究所
独自データベース

お客さま

お客さま別情報
・地域別データベース
・お客様システムの情報

NTT Com独自ブラックリスト
3

図 3 相関分析を実現するセキュリティ運用基盤（SIEM）

分析することでより精度の高い監視を行い、これまで最も攻撃の対象となっていると言われる米国国防総省

気づくことのできなかったシステムの異常な状況を早のネットワークであっても、情報漏洩のトリガーとな期に発見することが可能と考える。

るマルウェアの侵入後、感染を検知するのに平均６〜なお、入口を守るファイアウォール（FW）や侵入防御９か月かかっているとのことである。

装置（IPS）、既知のウイルスの通過を防御するアンチウイ

最後に、高度化、変遷する攻撃手法に完全に対抗しルスなどのセキュリティ対策に加え、外部との通信の媒介侵入を防御することはもはや困難であることを認識し、を司るプロキシサーバーや、データベースサーバーなどの基本的な防御策を講じた上で、情報漏洩や消失の前に動作ログを総合的に俯瞰することにより、高度な攻撃手法攻撃を遮断するために、さらなるリスクマネジメントであっても侵入の形跡を発見できる可能性が生まれる。

手法もしくはサービスの導入を検討することをお勧め

また、バックドアは一旦設定されてしまえば、あとする。弊社グループではマネージドセキュリティサーは通常の通信と区別できない形で外部の攻撃者（C ＆ C

ビスに加え、子会社の NTT コムセキュリティ社を通じサーバー等）との通信を確立するため、多層防御でもて、グローバルで現状のリスク分析、定量的な評価、容易に検知できず、侵入された後の早期発見を可能と必要な追加対策の推奨及び導入サービスを顧客のニーするために、前回紹介したような、一歩踏み込んだリズに合わせて実施しており、本号の「びじねす玉手箱」

スクマネジメントサービスであるプロファイリングサ（P.94 〜 95）でも紹介されているが、日本においても 11ービスによるシステム内部での通常と異なる通信・ア月より本格的に提供を開始している。

プリケーションレイヤの使用の検知、外部との通信内※ RTMD ： Real Time Malware Detect

容にまで踏み込んだマルウェアの動作検知をする
RTMD ※サービスが有効に機能する。参考までに、世界で最高レベルの防御態勢を取っており、かつ世界で8NTT コミュニケーションズ㈱お問い合わせ先 経営企画部 マネージドセキュリティサービス推進室
E-mail ： mss-sp-cp@ntt.com

ビジネスコミュニケーション

2013 Vol.50 No.12