今、企業のセキュリティ対策は、何を求められているのか
2007/11/28 “Email Security Conference” ベルサール神田

有限責任中間法人
JPCERT コーディネーションセンター
小宮山 功一朗

Copyright© 2007 JPCERT/CC
All rights reserved.

最初に 左上隅の青い三角は…
 JPCERT/CCとは…
 インシデント報告してください。
 貴社内にCSIRTを作りませんか？
 Cyber Clean Centar プロジェクトでがんばってます。

 私は…

Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 2

Agenda 内外に存在するリスク
 外部からの脅威 メールを使った、様々な攻撃手法の傾向

 内部の脅威 メールを介した企業の情報漏洩

 対策
 サーバサイド(MTA)の対策
 クライアントサイド(MUA)の対策
無料かつ、導入が容易なものだけ。
Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 3

メールはインフラ
 ハイレベルな可用性、拡張性が要求される
 ユーザの増加、ストレージ容量の増加、バージョンアップ、パッチ対応
 可用性を保つための運用・検証

 メールの保存(ストレージ)
 増え続けるメールをいかに保存するか?

 メンテナンス JVN#19445002: APOP におけるパスワード漏えいの脆弱性
http://jvn.jp/jp/JVN%2319445002/index.html
Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 4

組織内に存在するリスク

外部の脅威

アドレスの入力ミスによる誤送信スパム

間違った添付ファイルを送付し情報漏洩

フィッシング

BCCとCCを間違えてメールアドレス流出

ウイルスメール

Webメールの使用による情報漏洩

ゼロデイ攻撃標的型攻撃

私的利用

メールはインフラ
メールシステムは動き続けて当たり前
Copyright© 2007 JPCERT/CC All rights reserved.
ユーザの増加、ストレージ容量の増加、バージョンアップ、パッチ対応
2007/11/28 - Email Security Conference
Page 5

外部の脅威1. スパム2. 株価操作スパム
3. フィッシング
4. 標的型攻撃 スピアフィッシング
 Targeted Trojan Attack

5. ウイルスメール(ウイルスが添付されたメール)
Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 6

外部の脅威① スパム
 Botによるスパム送信
www.ccc.go.jp

 様々な形式のファイルが届きます

画像(jpg, gif, png)
PDF
MS Office文書 (xls)MP3

 共通するのは:文字認識技術による検知を回避するための工夫

Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 7

外部の脅威② 株価操作スパム
 Pump and Dumpなどと呼ばれる
 特定銘柄の株式を購入することを推奨するメールなどを送り株価を不正につりあげた上で、自分が所有していた株式を売り抜ける行為
 2007年3月、米国証券取引委員会(SEC)により特定銘柄の取引が停止させられるという処置もとられた 特徴
 狙われるのは米国のピンクシート銘柄とよばれる小規模の株式
 株価操作から売り抜けまでは長くて1ヵ月

Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 8

外部の脅威② 株価操作スパム 続き
600,000

株価（単位 USドル）
0.50

出来高
0.45
484,568

500,000

400,000

出来高
終値•6セントだった株価が翌週45セントに跳ね上がった

0.45
0.40
0.35
0.30
0.25

300,000

0.20
200,000

100,000

0.15
0.10

0.06

0.05

3,500
02006/1
20 1/106
6/1
120/06 20/1
20 1/206
2/1
20 1/206
7/1
220/06 01/1
20 2/006
5/1
20 2/006
7/1
20 2/106
1/1
20 2/106
5/1
20 2/106
9/1
20 2/206
1/1
20 2/206
6/1
20 2/207
8/0
20 1/007
3/0
20 1/007
8/0
20 1/107
0/0
20 1/107
2/0
20 1/107
7/0
20 1/107
9/0
20 1/207
3/0
20 1/207
5/020 1/2
07
9/0
1/31

0.00

Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

SEC公開資料より作成

Page 9

外部の脅威③ フィッシング
 国内企業を狙うフィッシング詐欺
 銀行、消費者金融が中心 フィッシングサイトを用いて認証情報を盗むという事例は、2006年の1件から220件に増加(経済産業省 『不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況について』)

Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 10

外部の脅威③ フィッシングメールは増えているか?

 スパム全体の6.2%強 『インターネット白書2007』より
Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 11

外部の脅威③ フィッシング 報告
 JPCERT/CCに寄せられるフィッシング報告のほとんどが、国内のサーバが侵入されフィッシングサイトとして使用されているケース
 増加傾向に鈍りが見えたか?
フィッシング報告件数の月次推移
件数
100806040200456782004

9 10 11 12 12345672005

8

9 10 11 12 12345678

9 10 11 12 1

2006

23456782007

9月
年

JPCERT/CCへのフィッシング報告 : 2004/4 ~ 2007/9

Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 12

外部の脅威③ フィッシング対応の難しさ
 フィッシング対応の難しさ
 減らない、放置されているテストサーバ
 何度も蘇るフィッシングサイト
 ISPの対応にばらつき 各国にフィッシングサイト
 国境を跨るコーディネーションのややこしさ

Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 13外部の脅威③ フィッシング対応の難しさ 続き
 被害の70%は最初の12時間で起こっている

出典： Social Phising, Indiana University (Dec 12, 2005)
http://www.indiana.edu/~phishing/social-network-experiment/phishing-preprint.pdf

Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 14

外部の脅威④ 標的型攻撃 標的型攻撃とは?
 スピアフィッシングとは?
 ケーススタディ: Lhazへのゼロデイ攻撃
 時期:2007/8/17
 メール受信: 日本の一部組織
 添付ファイル: lhazをインストールしていると開いた瞬間にマルウェアがインストールされる

画像出典: Malware Blog - by Trend Micro
http://blog.trendmicro.com/yet-another-japanese-zero-day-trojan-discovered/

Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 15

外部の脅威④ 標的型攻撃
過去1年間に11.7%

標的型攻撃を受けた経験

2.5

1.8

8.2%
0.8

回答組織を装った顧客宛のウィルスメール

1.2

5.4%
2.5%

2.6

6.5

回答組織を装った顧客宛のフィッシング
「D o S をしかける」という脅迫メール
関係者を装った社員宛のウィルスメール
スピアフィッシング

JPCERT/CC 『標的型攻撃についての調査』
http://www.jpcert.or.jp/research/2007/targeted_attack.pdf

Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 16

外部の脅威⑤ ウイルスメール
 昔ながらの手口
 送信者が・・・
 大統領候補、福田首相

 セキュリティプログラムを装う

Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 17

内なる脅威 「つい、うっかり・・・」
1. 大量のTo、Ccでメールアドレス漏洩
2. 添付ファイルを間違える
3. 誤った宛先へ送信

 社内ポリシーが問われる メールの私的利用

関連:個人契約のメールサービスを業務に使用しない
http://www.jpcert.or.jp/wr/2006/wr063401.html

 無料のWebメール使用
Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 18

内なる脅威① 大量の同報送信
 ToやCcに複数のアドレスを入力して送信 本来であればBccを使うべき

Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 19

内なる脅威② 添付ファイルを間違える
 送る必要のないファイルを送ってしまう

内なる脅威③ アドレスの入力ミス
 社内に送るはずのメールを、取引先に・・・

Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 20

組織内に存在するリスク
アドレスの入力ミスによる誤送信

外からの攻撃メールサーバ管理者にしか出来ない対策がある・・・

スパム

間違った添付ファイルを送付し情報漏洩

フィッシング

BCCとCCを間違えてメールアドレス流出

ウイルスメール
ゼロデイ攻撃Webメールの使用による情報漏洩

標的型攻撃

私的利用

メールはインフラ再掲
メールシステムは動き続けて当たり前。
Copyright© 2007 JPCERT/CC All rights reserved.
ユーザの増加、ストレージ容量の増加、バージョンアップ、パッチ対応
2007/11/28 - Email Security Conference

Page 21

対策

Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 22

海外での対策
 アメリカ
 SPF
 Fortune Top 500企業でのSPF導入率
 DKIM Yahoo，Gmailなどが採用

 韓国
 KISA-RBL
 http://www.kisarbl.or.kr
 Sinkhole (Bot対策）
 http://www.cert.org/archive/pdf/BotSinkhole_Kr
CERTCC.pdf
Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 23

サーバサイド(MTA)の対策
 無料で効果が高そうなもの
 同時送信数の制限
 添付ファイルのフィルタ
 送信ドメイン認証 SPF

 「コンピュータにできることはコンピュータに!」

Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 24同時送信数の制限
 MTAに以下の設定を行う
 Sendmail

 define（confMAX_RCPTS_PER_MESSAGE‘, `<設定値>’）

 Postfix

 smtpd_recipient_limit = <設定値>
 デフォルト 1000

 Exchange Server 2007

 MaxRecipientPerMessage を変更する
 デフォルト 200

 Max値を越えるとエラー”452 Too manyrecipients”
Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 25

添付ファイルの制限
 その添付ファイル、本当に必要ですか?
 過去に悪用されたことのある拡張子
 止めても良いのでは?
 exe chm scr wmf vbs wsh hta com mp3 js

 悪用されるけど、フィルタは難しい doc ppt pdf xls zip lzh

Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 26

送信ドメイン認証 SPF
 なりすましを見破ることが可能 スパム対策・フィッシング対策に-bash-2.05b$ dig TXT jpcert.or.jp; <<>> DiG 8.3 <<>> TXT jpcert.or.jp;; res options: init recurs defnam dnsrch;; got answer:;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 51445;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0;; QUERY SECTION:;;jpcert.or.jp, type = TXT, class = IN;; ANSWER SECTION:
jpcert.or.jp. 1H IN TXT "v=spf1 ip4:210.148.223.5
ip4:210.148.223.6 ~all"jpcert.or.jpでのSPFレコード設定例

Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 27

送信ドメイン認証 SPF
 普及状況
 .jpドメインの7.47%が対応済み(2007/10 現在)

ドメイン認証の普及率に対する測定結果
http://member.wide.ad.jp/wg/antispam/stats/index.html.ja

 設定を確認したい?


http://www.seoconsultants.com/tools/spf/
WIDEプロジェクト ドメイン認証の普及率に対する測定結果

Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 28

クライアントサイド(MUA)の対策
 Mozilla Thunderbirdとアドオンを使ってメール環境をセキュアにするTips
1. HTMLメールを表示しない
2. SPFレコードをチェックする
3. このメールはどこの国から?

Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 29

HTMLメールを表示しない

デフォルトでテキスト表示。必要に応じてHTML表示に切り替えAllow HTML temp
https://addons.mozilla.org/ja/thunderbird/addon/1556

ワンクリックで切り替え

Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 30

SPFレコードをチェックする

メールのヘッダーとドメインのSPFレコードを照合する
Sender Verification Extension
https://addons.mozilla.org/ja/thunderbird/addon/345

Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 31このメールはどこの国から?


メールが経由した国を表示する。経由したSMTPサーバのIPアドレスで判断Display mail routehttps://addons.mozilla.org/ja/thunderbird/addon/1244

Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 32

組織内に存在するリスク
アドレスの入力ミスによる誤送信外からの攻撃メールサーバ管理者にしか出来ない対策がある・・・

スパム
SPF
SPF

間違った添付ファイルを送付し情報漏洩
BCCとCCを間違えてメールアドレス流出
Max
Maxrecipientsrecipients設定
設定
Webメールの使用による情報漏洩

フィッシングウイルスメール
添付ファイル制限
ゼロデイ攻撃添付ファイル制限
標的型攻撃
予防接種
予防接種

私的利用

メールはインフラ
再掲
メールシステムは動き続けて当たり前
Copyright© 2007 JPCERT/CC All rights reserved.
ユーザの増加、ストレージ容量の増加、バージョンアップ、パッチ対応
2007/11/28 - Email Security Conference
Page 33

協力のお願い 標的型攻撃への訓練=予防接種
 社員や職員を対象に疑似攻撃
 New York State Office (アメリカ)
 IRS (アメリカ)
 TWNCERT (台湾)

Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 34

お問い合わせ先 JPCERTコーディネーションセンター
 Email：office@jpcert.or.jp
 Tel：03-3518-4600
 http://www.jpcert.or.jp/

 インシデント報告
 Email：info@jpcert.or.jp
PGP Fingerprint ：BA F4 D9 FA B8 FB F0 73 57 EE 3C 2B 13 F0 48 B8

 報告様式
http://www.jpcert.or.jp/form/
Copyright© 2007 JPCERT/CC All rights reserved.
2007/11/28 - Email Security Conference

Page 35