2023年度沖縄県⼤学図書館協議会第1回研修会, 8 March, 2024, 那覇

情報セキュリティとその対策
升井洋志

北⾒⼯業⼤学 情報処理センター
センター⻑・教授

情報セキュリティの基礎

最近の事例より

沖縄の最近の事例
那覇市⽴図書館の図書館システムのランサムウェア攻撃
2022年10⽉、那覇市⽴図書館の図書館システムがランサムウエア攻撃を受けた。
バックアップを含むデータが暗号化され、貸し出しサービスを⼀時停⽌した。
侵⼊経路はシステムを遠隔からメンテナンスするためのVPN装置とみられる。
⾝代⾦を⽀払うことなく、システムの代替となる⼿段を講じながら開館を続けた。
攻撃の3カ⽉後である2023年1⽉から、再構築したシステムを順次稼働させた。

⽇経クロステック／⽇経コンピュータ
https://xtech.nikkei.com/atcl/nxt/column/18/01157/040500083

沖縄の最近の事例
那覇市⽴図書館の図書館システムのランサムウェア攻撃
1. 発⽣⽇時, 場所（対象）, 状況
2. 対象となる情報資産
3. 被害状況・影響範囲
4. 侵⼊経路
5. 復旧への対応
6. 再発防⽌1. 発⽣⽇時, 場所（対象）, 状況
⽇時: 2022年10⽉13⽇発⽣
場所（対象）: 那覇市図書館・図書館システム
状況: 図書館システムへのランサムウェア攻撃

2. 対象となる情報資産
・那覇市図書館システムの蔵書データ
・図書館システムのアプリケーションファイル
・ログ等のシステムファイル

3. 被害状況・影響範囲
・システム本体およびバックアップが暗号化・貸出作業不能のためサービスを⼀時停⽌
・その後⼿動（Excelファイル）でサービス再開

4. 侵⼊経路
・リモートメンテナンス⽤のVPN装置から侵⼊した（と⾒られる）「安全なはず」のVPN装置から侵⼊

メンテナンス業者

VPN装置

情報（サーバ・アプリ）

4. 侵⼊経路
・リモートメンテナンス⽤のVPN装置から侵⼊した（と⾒られる）「安全なはず」のVPN装置から侵⼊

攻撃者

VPN装置

情報（サーバ・アプリ）

5. 復旧への対応
ハンディスキャナでの貸出作業開始（翌⽇から⼀旦中⽌）Excelの共有による貸出作業復旧
利⽤者の再登録
Excelはクラウド上で共有管理
クラウド上のExcelと各図書館のバーコードリーダを連携
本格的な復旧は3ヶ⽉後

6. 再発防⽌VPN装置のこまめなアップデート（できれば以下も）接続元の制限データの分散バックアップ
ランサムウェア対応のストレージ導⼊

情報セキュリティとインシデント対応
1. 発⽣⽇時, 場所（対象）, 状況

記録

2. 対象となる情報資産

情報資産の分類（格付け）3. 被害状況・影響範囲

情報資産の分類（格付け）4. 侵⼊経路

セキュリティ対策の分類

5. 復旧への対応

インシデント発⽣時の運⽤

6. 再発防⽌対策の具体化類似の事例
⽇野市図書館システムのランサムウェア攻撃
令和4年12⽉17⽇に、図書館の⼀部の業務⽤ファイルサーバ等がコンピュータウィルスのランサムウェアに感染したことが判明いたしました。現在、原因究明と被害範囲の特定を進めています。貸出システム等⼤部分のシステムは被害を受けていないため、図書館は通常通り開館しています。
ファイルサーバ内に格納されているデータが暗号化されて開けない状態。その中に個⼈情報（図書館主催のイベントの参加者、障害者サービスの利⽤者・ボランティアの名簿等）があることを確認しています。なお、現時点で情報の流出は確認されていません。
⽇野市HPよりhttps://www.city.hino.lg.jp/press/1022253/1023008.html

類似の事例
埼⽟⼤学業務システムのランサムウエア被害
埼⽟⼤学は業務利⽤のシステムがランサムウエアに感染し、データの⼀部が改変されたと公表した。
不正アクセス被害に遭ったのはNAS（ネットワーク接続型ストレージ）。2022
年6⽉7⽇午前8時ごろに実施したネットワークアクセス制限の設定変更に不備があり、外部からNASにアクセスできるようになった。同⽇正午には攻撃者から複数回のログオンが試⾏され、2台のNASのパスワードが破られた。さらに、そのNASを踏み台に別の4台のNASが不正アクセスを受け、ランサムウエアによってデータの⼀部が改変されたという。
⽇経クロステック／⽇経コンピュータ
https://xtech.nikkei.com/atcl/nxt/mag/nnw/18/031800050/031600049

類似の事例
島根⼤学附属図書館のWebサーバに不正アクセス
島根⼤学によると、同学附属図書館のホームページ等を公開しているWebサーバ
において，利⽤者向けのアンケート調査や主催するイベントへの申込みを受け付けるために公開していたアンケート管理システムのサイバーセキュリティ対策に脆弱性が⾒つかり、アンケート調査やイベントへの参加申込みのために⼊⼒された個⼈情報が外部から閲覧可能な状態になっていたことが分かったとのことです。
個⼈情報漏えいの可能性がある利⽤者には，郵送やメール等で個別にご連絡と，お詫びとご報告を実施するとしています。

サイバーセキュリティソリューションズ
https://www.cybersecurity.co.jp/incident/島根⼤学%E3%80%80附属図書館のwebサーバに不正アクセス/類似の事例
⼤英図書館へのサイバー攻撃
Yahoo Newsによると、⼤英図書館は利⽤者データがサイバー攻撃でハッキングされ、ダークウェブで売りに出されていることを確認した。同図書館は、他の場所で同じパスワードを使⽤している利⽤者に対し、パスワードを変更するよう勧告している。この攻撃は10⽉31⽇に発⽣し、図書館のウェブサイト、オンラインシステム、⼀部のオンサイトサービスに影響が続いている。Rhysidaランサムウェアグループはこの攻撃の責任を主張し、盗まれたデータをオークションにかける計画を発表している。

Coinilve
https://www.coinlive.com/ja/news-flash/342874

インシデント発⽣状況⼀覧サイト
サイバーセキュリティ.com 「個⼈情報漏洩事件・被害事例⼀覧」
https://cybersecurity-jp.com/leakage-of-personal-information

3つのセキュリティ
1. 物理的セキュリティ
盗難、不法侵⼊、破壊
2. 技術的セキュリティ
ハッキング、脆弱性攻撃、DoS攻撃
3. ⼈的セキュリティ
ウィルス感染、パスワード漏洩、設定ミス

1. 不正プログラム対策「不正プログラム」
通常の動作・期待される機能でなく、悪意を持った動作をするプログラム「悪意のある」という意味の”malicious”という単語から、⼀般には「マルウェア(malware)」と呼ばれる

昔は「コンピュータウィルス」または単に「ウィルス」と呼ばれていたが、現在ではスパイウェアやランサムウェア等、いろいろなものが出てきたので「マルウェア」と読んでいる。

不正プログラムの種類
・ウィルス︓通常のソフトウェアに「感染」する形で侵⼊するもの
・ワーム: 「感染」を必要とせず、単体で動作するもの
・トロイの⽊⾺:有益なソフトに⾒せかけて侵⼊するもの・スパイウェア: 侵⼊したコンピュータの情報を盗むもの・アドウェア: 広告を勝⼿に表⽰するもの
・ルートキット: コンピュータの管理者権限を利⽤して改竄等を⾏うもの
・ランサムウェア: コンピュータ内の情報を「⼈質」にして⾦銭を要求するもの
・ボット: 外部から標的を攻撃するもの

不正プログラムの⽬的
昔はどちらかと⾔えばコンピュータ内の情報を破壊するものが主流
ウィルス

ハードディスクの初期化
ソフトウェアの改竄「情報」はお⾦になるコンピュータ内の情報を盗む、情報をお⾦にする
スパイウェア
トロイの⽊⾺ランサムウェア

代表的なランサムウェア“WannaCry” （ワナクライ） “泣きたい”
2017年ごろに世界中で猛威を振るったランサムウェア
コンピュータ上のファイルを勝⼿に暗号化し、⾝代⾦としてビットコインを要求した（現⾦だと「⾜がつく」ので）世界中の企業・個⼈が被害にあった
⾝代⾦要求の画⾯

脆弱性と感染源
OSやソフトウェアの不備をついて、感染を⾏う脆弱性
感染ルートは多岐にわたる
・メールの添付ファイル
・Excelのマクロ・USBメモリ・ブラウザのリンク、ダウンロード・ネットワークを通じて外部から

脆弱性を排除するには※原理的には、コンピュータ内の全てのプログラム・ライブラリ等が完璧であれば脆弱性は発⽣しない。
→ もちろん、そんなのは無理な話である「どのくらい脆弱性があるか」は検疫ソフトウェア等の脆弱性診断を⽤いることでわかる
が、⼀般的にはお⾼いアンチウィルスソフト
通常、マルウェア対策にはアンチウィルスソフトを使う「アンチウィルス」だとウィルスにしか対応してないみたいなので、最近では「エンドポイントプロテクション（末端保護）」や「エンドポイントセキュリティ」と呼ぶ・パターンマッチング・振る舞い検知・動作制御
膨⼤なデータをAI処理することで、より検知精度を上げているファイアウォール
特定の通信内容、特定のIPアドレス以外を遮断する

攻撃者

ファイアウォール

情報（サーバ・アプリ）

通常はコンピュータ（PC）⾃体にもファイアウォールが⼊っているさまざまな防⽌策
・不正侵⼊検知システム（IDS: Intrusion Detection System)
・侵⼊阻⽌システム（IPS: Intrusion Prevention System)
・検疫システムネットワークに接続された端末が安全かを⾒張るシステム
・アプリケーションファイアウォール（WAF: Web Application Fiwewall)
Webサーバの脆弱性をカバーするように動作するファイアウォール

防御の限界永遠のイタチごっこ
情報（サーバ・アプリ）

攻撃者

対策

別の⽅法
1. システムの固定化
コンピュータのシステムファイルが変更できないようにする
・再起動時に初期化
・固定イメージから起動し、イメージを書き換えさせない
情報端末室のPCはこの⽅法
2. システムのバックアップ
改竄された場合に備えてバックアップしておく3つのセキュリティ
1. 物理的セキュリティ
盗難、不法侵⼊、破壊
2. 技術的セキュリティ
ハッキング、脆弱性攻撃、DoS攻撃
3. ⼈的セキュリティ
ウィルス感染、パスワード漏洩、設定ミス

「物理的セキュリティ」• サーバ、データの物理的な盗難防⽌• 電⼦データ媒体、紙媒体の管理・破棄• 電源のバックアップ

1. 物理的セキュリティ「盗難」や「不法侵⼊」に気をつけましょう⇒これは、だいたいわかっているつもり、、、

以下の点に注意•鞄の中にPCやスマホを⼊れっぱなして⾷堂の席取り•クルマのエンジンをかけっぱなしでコンビニ•アパートの鍵をかけないで外出「技術的セキュリティ」• サーバ、PCのセキュリティ対策• ネットワークのセキュリティ対策• 攻撃防御と攻撃検知脆弱性• 古いバージョンのOS, アプリケーション• デフォルト設定のサーバ・ファイアウォール• 暗号化されていない通信• アプリケーション、スクリプトのデフォルト設定• 簡単なパスワード、ブルートフォースアタック⾮対策

「⼈的セキュリティ」• ID/パスワード漏洩対策• メール添付ファイル対策• 設定ミスの解消• 共有ユーザの管理• ユーザのライフサイクル管理

IPA: 情報処理推進機構「情報セキュリティ10⼤脅威 2021」
https://www.ipa.go.jp/security/vuln/10threats2021.html
https://www.ipa.go.jp/files/000088835.pdf

認証: ログインのアクセス制御
ID管理
パスワード管理認証⽅式の複雑化（多要素認証）
・簡単な⽂字列にしない
・初期パスワードのままにしない「定期的な変更」は必ずしも良い結果になるとは限らない

・同じパスワードを別サービスで使わない・他⼈に教えない、紙に書いておかない電⼦メールのセキュリティ
・メールアドレスの信憑性なりすましメール（送信者偽装）・メール送受信時の暗号化
通信経路の暗号化（とくに無線LAN）
メール本体の暗号化（PGP, S-MIME）
・ウィルス対策
ウィルス除去サーバ
エンドポイントセキュリティ（アンチウィルスソフト）

メールアドレスの信憑性
インターネット上でメールを送受信するにはSMTPと⾔われるプロトコルを⽤いる。
（SMTP: Simple Mail Transfer Protocol）
これはインターネット黎明期からある仕組みで「なりすまし防⽌」や「暗号化」等の直接の実装が無い。
（「古き良き時代」の名残りを使い続けている状態）

なりすまし防⽌にはメール配送時にDNSで送信メールサーバが実在するかを確認する仕組み（SPF等）を⽤いる。
しかし、実在するメールサーバからSPAMメールを送りつけられるような場合に対しては無⼒である。

まとめ・セキュリティは⽇々の積み重ね
記録
情報資産の分類（格付け）
セキュリティ対策の分類
インシデント発⽣時の運⽤対策の具体化
・「なにも起こっていない」ということはあり得ない・何事も疑ってかかるのも⼀つ“That's one small step for (a) man, one giant leap for mankind.”
Neil Armstrong, On the surface of the moon, 1969.