Japan Computer Emergency Response Team Coordination Center

電子署名者 : Japan Computer Emergency Response Team Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku, email=office@jpcert.or.jp, o=Japan Computer Emergency Response
Team Coordination Center, cn=Japan Computer Emergency Response Team Coordination Center
日付 : 2011.02.28 18:42:25 +09'00'

コンピュータセキュリティの歴史とSecurity Development Lifecycle
高橋 正和
日本マイクロソフト
チーフセキュリティアドバイザーWindows Products and Security: never end story
2008

OF 2003
SQL 2K 3
EXC 2K-3
Etc..

Security Push+ Final Security Review• Skype• Slammer• Blaster

課題：開発期日、規模、古いコード、互換性
Security Push: 8500人へのトレーニングと検証の実施• YouTubeSDLSecurity Development Lifecycle• Sasser

Ad hocからEngineeringへ• Brown orifice• Agobot• WiityWorm• Back Orifice
SDLの確立とその適用• DDoS on DNS root
•DDoS tools• Targeted Attack• Attacks for JP Soft• Yahoo DDoS • SPAM Mails• Phishing proliferated• Spyware• Huge Data Leak
• Melissa• Sobig • MyDoom• Winny•
Winny Incident• JP Gov. HP•NetSky• I LOVE YOU• SolarSunrise•Bagle• ADSL• mixi

TwC (Trustworthy Computing)• テレホーダイ
SWI/Pen-Test/PREfix
Security = SHIP STOPPER

Cyber Crimes

2003
.NET

• statd,named,popd

Worm communization
Virus via E-Mail

SWI  Educate, 記録
Protocol Weaknesses/Remote Buffer overflow
Computer Crimes• CodeRed• NimdaPREfastWorm in the wild
Virus via Media

task ForceXP• Concept

PREfix• First SPAMMSRC (secure@microsoft.com)• Blog • mySpace

Pentest• Netcat

STF:
Internal Security• Virus Creation
Laboratory• AT&T Janes
•IIJ

W2K

STF
• Ping of• Death
Google• INN/phf

OS=マルチユーザー
 First Security•Win Server 2008

SWI(Secure Windows Initiative)• MOSAIC•Internet Explorer
MSRCの設立• Netscape• JavaScript
窓口の一本化• PDF• Real Player• Michelangelo

2007•Mac OS-X• Amazon
製品ごとの個別対応• Yahoo
マーケティング部門•eBay•Win Vista•Win Server 2003

•NetWare• Little Black Book2006•Win XP SP2•Win XP•Win 2000• Net BSD

脆弱性の発見と攻撃の日常化

2005• NT 4.0•Free BSDADHOC /Product/Marketing

OS=シングルユーザー
 No Security

2004• Java • Linux

2003•NT3.1

2002

Broad band Network• Windows 95 • Windows 98• Windows 3.0

2001

2000

1999

1998

1997

1996

1995

1994

1993

1992

1991

1990

Internet

Client-server/PC-LAN

Security Day/ Bug BashFirst Security Pushのスタート
Document TwC:/ Local
BO
すべてのエンジニアを投入

2

SDLに関して学んだこと• セキュリティテストは、重要な要素だが、十分ではない• セキュアコーディングは、重要な要素だが、十分ではない• 脅威分析は、重要な要素だが、十分ではない• エンジニアの啓発とトレーニングは、重要な要素だが、十分ではない• 経営陣のコミットメントは重要な要素だが、十分ではない– これらのすべては、個別に実施していたのでは効果的ではな
い• 必要とされる要素を、効果的かつ安定したエンジニアリングとしてプロセスとする必要がある。

3

最近思うこと #1• Security ≠ Quality– 不具合は、Functionが機能しないこと（ある程度の検証が可能）– 脆弱性は、想定していない使い方をされた時の異常な動作の話• 意図（悪意）への着目

Office 2003
80
60
40
20
2007/05

2007/01

2006/09

2006/05

2006/01

2005/09

2005/05

2005/01

2004/09

2004/05

2004/010• 思い込みはないのだろうか？
– 作り込みなので大丈夫、ネットワークは独立している等• 検証はされているのだろうか？

– Fail Safeの機構と、その是非• そもそも汎用システムのFail Safeは成り立つのか？
4最近思うこと #2• 広域化と局所化の同時進行– 攻撃技術の広域的な共有– 攻撃対象の局所化• 脆弱性対策以外のセキュリティ対策
プログラムのホワイトリスト化等– Windows 7で導入された、AppLockerによる、動作プログラムのホワイトリスト化は、有効性の高い対策であることが確認されている。
– 他にも、アプリケーションのサンドボックス化など、脆弱性対策以外のセキュリティ対策は多数存在する

5

SDL 関係の資料•

MSDNセキュリティデベロッパーセンター–•

信頼できるコンピューティングのセキュリティ開発ライフサイクル–•

http://www.microsoft.com/technet/community/columns/secmgmt/sm1007.mspx (English)
http://www.microsoft.com/japan/technet/community/columns/secmgmt/sm1007.mspx （日本語）“Windows Server 2003 by the Numbers: One of the Biggest Product Launches in Microsoft History–•

http://www.news.com/At-software-giant%2C-pain-gives-rise-to-progress/2009-7349_3-6220566.html?tag=st.nl (English)
http://japan.cnet.com/special/story/0,2000056049,20363043,00.htm （日本語）TechNet: 脆弱性の防御では、切り札である「プロセス」が「多くの目」に勝ります––•

http://www.microsoft.com/mscorp/twc/default.mspx （English）
http://www.microsoft.com/japan/mscorp/twc/security/default.mspx （日本語）Read the CNET report: MSセキュリティのこの10年：手痛い教訓をバネに––•

http://msdn2.microsoft.com/en-us/library/bb288454.aspx

Trustworthy Computing––•

http://www.princeton.edu/~echi/ele572/Howard%20-%20Windows%20security%20push.pdf

Security Development Lifecycle (SDL) Banned Function Calls–•

http://www.microsoft.com/japan/msdn/security/general/sdl.aspx

Inside the Windows Security Push–•

http://www.microsoft.com/japan/msdn/security/

http://www.microsoft.com/japan/technet/community/columns/secmgmt/sm1007.mspx

Windows Vista 1年間の脆弱性レポート–

http://download.microsoft.com/download/c/d/c/cdcc38a5-50fa-4425-be75-9d165065d0c8/vista-one-year-vuln-report-ja.pdf•

Operating System Vulnerability Scorecard•“Days-of-risk in 2006: Linux, Mac OS X, Solaris, and Windows”, CSO.com––•

http://blogs.technet.com/security/archive/2007/08/16/july-2007-operating-system-vulnerability-scorecard.aspx
http://blogs.csoonline.com/days_of_risk_in_2006

Compare Security–

http://www.microsoft.com/windowsserver/compare/linux/security.mspx

6© 2008 Microsoft Corporation. All rights reserved. Microsoft, Windows, Windows Vista and other product names are or
may be registered trademarks and/or trademarks in the U.S. and/or other countries.
The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the dateof this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment
on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation.

MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.

7