なぜシーサートが必要なのか〜 CSIRTの現状と構築のすすめ〜

⽇本コンピュータセキュリティ
インシデント対応チーム協議会(NCA)
副運営委員⻑ 萩原 健太
平成28(2016)年10⽉18⽇

⽬次
サイバー攻撃に対するセキュリティ施策として、インシデント対応、情報交換や組織間の連携など、 Computer Security Incident Response Team(CSIRT、シーサート)体制による活動への期待が⾼まっています。⽇本シーサート協議会では、連携と問題解決の場の提供を通して、シーサート活動を⽀援しています。本講演では、⽇本シーサート協議会の活動ならびに企業におけるシーサートの役割を紹介します。





シーサートとは⽇本シーサート協議会の活動アンケートから⾒えてきたシーサート活動体制
企業におけるシーサートの役割
シーサートの構築
⽇本シーサート協議会の役割

Copyright © 2016 CSIRT Association, All rights reserved.

2

シーサートとは1Computer Security Incident Response/Readiness Teamの略

シーサート(CSIRT)
Computer Security Incident Response Teamコンピュータセキュリティにかかるインシデントに対処するための組織の総称(機能)インシデント関連情報、脆弱性情報、攻撃予兆情報を収集、分析し、対応⽅針や⼿順の策定などの活動

シーサートの⽬的、⽴場(組織内での位置付け)、活動範囲、法的規制などの違い
からそれぞれ各チームがそれぞれの組織において独⾃の活動している。
⇒ CSIRTに規格はなく、各組織の実態に即したCSIRTを実装⇒ 1つとして同じCSIRTは存在しない

注︓Cyber Security Incident Readiness Teamと呼ぶ場合もある。
Copyright © 2016 CSIRT Association, All rights reserved.

3

1

シーサートとは

出典︓⽇本シーサート協議会 http://www.nca.gr.jp/imgs/CSIRT.pdf
Copyright © 2016 CSIRT Association, All rights reserved.

4

シーサートとは

1


⼀般的に認識されているシーサートの役割
レディネス︓事前対処
攻撃予告Xの情報公開

攻撃予告Xによる侵害活動が発⽣した場合脆弱性Yの発⾒脆弱性Yの情報公開

被害の未然防⽌(再発)防⽌策の検討と展開
Copyright © 2016 CSIRT Association, All rights reserved.

侵害活動の沈静化

インシデント対応期間

脆弱性Yを悪⽤した侵害活動の発⽣

脆弱性対策期間

脆弱性ハンドリング

レスポンス︓事後対処

攻撃予告Xによる侵害活動の発⽣

脆弱性対策期間公開された脆弱性Yを悪⽤した侵害活動が発⽣した場合

インシデントハンドリング

脆弱性や攻撃予告に関する情報の収集分析と早期検知

5

侵害活動の沈静化

インシデント対応期間
発⽣

被害の極⼩化

適材適所への迅速な情報伝達と技術⽀援

1

シーサートとは 〜歴史〜

 インターネットワームの出現を契機に、⽶CERT/CC 設⽴
1988年のインターネットワームの出現を契機に、インシデントの原因や対応⽅法などの情報を共有することの重要性が認識された。



1988年

国防総省⾼等研究計画局 (DARPA: Defense Advanced Research
Projects Agency) が中⼼となり、CERT/CCを設⽴した。
1989年10⽉、SPAN VAX/VMS システムを攻略するWankワームが出現した際に、国境、組織をまたがったシーサート間のコミュニケーションの⽋落が適切なインシデント対応の推進を妨げた。

1990年

1996年

インシデント対応チームの組織間ならびに国際間連携のため、⼤学、研究機関、企業、政府、軍などのシーサートコミュニティから構成されるFIRSTが組織された。
国内初のシーサート組織、JPCERT/CC(Japan Computer Emergency
Response Team/Coordination Center)が活動を開始した。

Copyright © 2016 CSIRT Association, All rights reserved.

6

1


シーサートとは 〜歴史〜
2007年

電⼦メール型ワーム(1999年〜)、ネットワーク型ワーム(2000年〜)、ボット(2004年〜)、標的型メール攻撃(2005年〜)

国内のインシデント対応チームの組織間連携のため、⽇本シーサート協議会が設⽴された。
標的型攻撃の顕在化(2011年〜)



2012年

内閣官房情報セキュリティセンター内に、情報セキュリティ緊急⽀援チーム(CYber incident Mobile Assistant Team︓CYMAT)が発⾜された。

(設⽴当初はComputer EmergencyResponse Teamの略であった)

FIRST (Forum of Incident
Response and Security Teams)
http://www.first.org/

⽶国におけるセキュリティ事案情報、脆弱性情報の収集ならびに調整機関

信頼関係に結ばれた世界におけるシーサートの国際コミュニティ、2015年９⽉
末現在、73カ国328チームが加盟

CERT/Coordination Center
http://www.cert.org/

Copyright © 2016 CSIRT Association, All rights reserved.

7

シーサートとは 〜歴史〜

1

 より⾼度なシーサート連携が求められてきている。
年代

特徴

被害の模式図

2000年〜2001年

均⼀的かつ広範囲に渡る単発被害
Webサイトのページ書き換え

2000年〜2005年

均⼀的かつ広範囲に渡る連鎖型被害
ウイルス添付型メールの流布
ネットワーク型ワームの流布

2005年〜

類似した局所的な被害
SQLインジェクションによるWebサイト侵害
Winny、Shareによる情報流出
フィッシング、スパイウェア、ボットなど

異なる組織のシーサート同⼠がつながり、⼿段を共有することで問題解決を図る

すべてが異なる局所的な被害
標的型攻撃
攻撃組織基盤化

2006年〜
2009年〜

異なる組織のシーサート同⼠がつながり、侵害活動を⿃瞰する
ことで問題解決を図る

攻撃組織間連携

Copyright © 2016 CSIRT Association, All rights reserved.

8

1

シーサートとは 〜分類〜

 シーサートは多種多様

活動範囲の視点から、組織内シーサート、国際連携シーサート、コーディネーションセンター、分析センター、製品対応チーム、インシデントレスポンスプロバイ
ダなどに分類されることもあるが、サービス対象、内容、体制などの違いによって、多種多様なシーサートが構成されている。


対象範囲︓国、⾃組織、顧客
内容(フェーズ)︓事前対処、事後対処
内容(機能)︓脆弱性ハンドリング、インシデントハンドリング、動向分析、リスク分析など
体制︓集約型／分散型、専任型／兼務型

組織内シーサート
⾃組織内に関係したインシデントに対応するシーサートと定義する。
Copyright © 2016 CSIRT Association, All rights reserved.

製品／サービス対応シーサート
提供する製品やサービスのインシデントに対応するシーサートと定義する。
9

シーサートとは 〜分類〜

1

 対象範囲、内容(フェーズ)、内容(機能)による分類
サービス対象、内容、体制などの違いによって、多種多様なシーサートが構成されている。
対象範囲︓国製品／サービス対応チーム

HIRT

US‐CERT

Rakuten‐CERTJPCERT/CC

IBM‐CSIRT

事前対処

NTT‐CERTJSOC

OKI‐CSIRTNCSIRT

組織内
シーサート

HIRT
NTT‐CERT
インシデント
レスポンス
プロバイダ

http://www.nca.gr.jp/member/index.html
Copyright © 2016 CSIRT Association, All rights reserved.

事後対処

10

OKI‐CSIRT
対象範囲︓組織1

シーサートとは 〜実装形態〜

 組織における実装形態

専任のメンバー

兼務のメンバー（バーチャルチーム）
出典︓JPCERT/CC 「CSIRTガイド」
http://www.jpcert.or.jp/csirt_material/files/guide_ver1.0.pdf

Copyright © 2016 CSIRT Association, All rights reserved.

11

1

シーサートとは 〜内容（機能）〜

出典︓⽇本シーサート協議会「CSIRTスタータキット」

Copyright © 2016 CSIRT Association, All rights reserved.

12

⽬次
サイバー攻撃に対するセキュリティ施策として、インシデント対応、情報交換や組織間の連携など、 Computer Security Incident Response Team(CSIRT、シーサート)体制による活動への期待が⾼まっています。⽇本シーサート
協議会では、連携と問題解決の場の提供を通して、シーサート活動を⽀援しています。本講演では、⽇本シーサート協議会の活動ならびに企業におけるシーサートの役割を紹介します。




シーサートとは⽇本シーサート協議会の活動
アンケートから⾒えてきたシーサート活動体制
企業におけるシーサートの役割
シーサートの構築
⽇本シーサート協議会の役割

Copyright © 2016 CSIRT Association, All rights reserved.

13

組織概要

2
 設⽴


2007年3⽉

正式名称︓⽇本コンピュータセキュリティインシデント対応チーム協議会
略称︓⽇本シーサート協議会
英語名︓NIPPON CSIRT ASSOCIATION
ウェブ︓ http://www.nca.gr.jp/

 名称

 使命


本協議会の全会員による緊密な連携体制等の実現を追及することにより、会員間に共通する課題の解決を⽬指す
社会全体のセキュリティ向上に必要な仕組みづくりの促進を図る

Copyright © 2016 CSIRT Association, All rights reserved.

14

加盟企業の推移

2 加盟数(累積)の推移
173チーム(2016年8⽉1⽇現在)



このままいくと、2020年には、 500チーム???

500
500
400
400
300
300
200
200
100
100

647
13 15 17 27 3100

Copyright © 2016 CSIRT Association, All rights reserved.

156917310630200
⽔産
鉱業
建設
⾷品
繊維
パルプ・紙
化学⼯業
医薬品
⽯油
ゴム
窯業
鉄鋼業
⾮鉄⾦属・⾦属製品
機械
電気機器
造船
⾃動⾞・⾃動⾞部品
その他 輸送機器
精密機器
その他 製造業
商社
⼩売業
銀⾏
証券
保険
その他 ⾦融業
不動産
鉄道・バス
陸運
海運
空運
倉庫・運輸関連
通信
電⼒
ガス
サービス業(IT関連)
サービス業(⾮IT関連)
学術(⼤学・研究機関)
その他

2



加盟企業の分類

 業種による分類
多様な分野でシーサート構築が進んでいる。

40[N=173]

2016

2015

-2014

10

Copyright © 2016 CSIRT Association, All rights reserved.

16

2

加盟企業の分類 シーサート設⽴年と加盟年の推移


2013年以降、シーサート設⽴と加盟が急速に進んでいる。 2015年6⽉

公共機関（特殊法⼈）への標的型攻撃2015年4⽉
⾦融庁「⾦融機関に係る検査マニュアル」︓シーサート設置に⾔及

80

60

40

2015年3⽉
総務省「地⽅公共団体における情報セキュリティポリシーに関するガイドライン」︓シーサート設置の⾔及[N=173]
設⽴
シーサート設⽴
⽇本シーサート加盟

20

2015年12⽉
経済産業省「サイバーセキュリティ経営ガイドライン」︓シーサート設置やNCAに⾔及

協議会加盟

2014年5⽉「政府機関の情報セキュリティ対策のための統⼀基準群」︓シーサートに⾔及
2013年3⽉
FISC「⾦融機関等コンピュータ・システムの安全対策基準・解説書(第8版追補)」︓シーサート設置に⾔及
2012年1⽉19⽇
情報セキュリティ対策推進会議「情報セキュリティ対策に関する官⺠連携の在り⽅について」︓シーサートに⾔及
2011年9⽉、防衛産業企業への標的型攻撃2011年4⽉、⼤規模サイバー攻撃事案

2010年7⽉、制御システムを攻撃対象とした
Stuxnet(スタクスネット)の流布

0

Copyright © 2016 CSIRT Association, All rights reserved.

17

2

⽇本シーサート協議会の特⾊

 ボランタリーな活動

問題提起と解決のためのワーキンググループ活動
MLサービス、ドメイン、ウェブ運⽤事務局
運営委員

 マインド、モチベーションの⾼い仲間

Copyright © 2016 CSIRT Association, All rights reserved.

 多様性


18

情報関連企業だけでなく製造(⾃動⾞、家電)
⾦融、建設、流通 他

⽬次
サイバー攻撃に対するセキュリティ施策として、インシデント対応、情報交換や組織間の連携など、 Computer Security Incident Response Team(CSIRT、シーサート)体制による活動への期待が⾼まっています。⽇本シーサート協議会では、連携と問題解決の場の提供を通して、シーサート活動を⽀援しています。本講演では、⽇本シーサート協議会の活動ならびに企業におけるシーサートの役割を紹介します。







シーサートとは⽇本シーサート協議会の活動
アンケートから⾒えてきたシーサート活動体制
企業におけるシーサートの役割
シーサートの構築
⽇本シーサート協議会の役割

Copyright © 2016 CSIRT Association, All rights reserved.

19

3

アンケートから⾒えてきたシーサート活動体制※日本シーサート協議会加盟組織向け
2014年アンケート結果より

 加盟組織の体制(1)

加盟組織の多くは、『情報システム管理部⾨系』が取り纏め部署
チーム⼈数は、活動開始後に増員しており、全体としてスモールスタート取り纏め部署

Copyright © 2016 CSIRT Association, All rights reserved.

チームの⼈数(上︓設⽴時、下︓活動開始後)
20

3

アンケートから⾒えてきたシーサート活動体制※日本シーサート協議会加盟組織向け
2014年アンケート結果より

 加盟組織の体制(2)

シーサート実装の多くは、専任のシーサート要員を抱えた部署を核とした部署横断型⇒部署間を横断した組織体制の構築

実装の形態
Copyright © 2016 CSIRT Association, All rights reserved.

専任の割合
21

3

アンケートから⾒えてきたシーサート活動体制※日本シーサート協議会加盟組織向け
2014年アンケート結果より

 加盟組織のサービス


7割近くが、シーサートが所属する組織のインシデント対応を想定した活動(社内インフラ、顧客向けサービスのシステム)対象とする利⽤者

Copyright © 2016 CSIRT Association, All rights reserved.

対象とする分野22

3

アンケートから⾒えてきたシーサート活動体制

 インシデント対応時のシーサートの位置付け
※日本シーサート協議会加盟組織向け
2014年アンケート結果より

これまでの⽇本企業独⾃の形態として紹介してきた『技術アドバイザ』という側⾯に加え、組織内の横断的な協⼒体制整備のためのコーディネーター(調整役)の側⾯が顕在化

インシデント対応時のシーサートの位置付け

Copyright © 2016 CSIRT Association, All rights reserved.

23

⽬次
サイバー攻撃に対するセキュリティ施策として、インシデント対応、情報交換や組織間の連携など、 Computer Security Incident Response Team(CSIRT、シーサート)体制による活動への期待が⾼まっています。⽇本シーサート協議会では、連携と問題解決の場の提供を通して、シーサート活動を⽀援しています。本講演では、⽇本シーサート協議会の活動ならびに企業におけるシーサートの役割を紹介します。





シーサートとは⽇本シーサート協議会の活動
アンケートから⾒えてきたシーサート活動体制
企業におけるシーサートの役割
シーサートの構築
⽇本シーサート協議会の役割

Copyright © 2016 CSIRT Association, All rights reserved.

24

4

企業におけるシーサートの役割 シーサート活動から導かれる企業におけるシーサートの役割
 対外的な連絡窓⼝であること
 技術的な問合せに関して対応が可能であること
 インシデントレスポンス(事後対処)だけではなく、インシデントレスポンスなどの実践的な活動経験を元に、インシデントレディネス(事前対処)を進めていること
 部署間を横断した組織体制をとっていること

Copyright © 2016 CSIRT Association, All rights reserved.

25

4

対外的な連絡窓⼝

 対外的な連絡窓⼝が明らかになっていることの利点
[通知側] 脆弱性対策やインシデント対応の通知先を探さずに済む。通知の背景説明を省略できる。通知をたらい回しにされない。
[受領側] 通知をトリガに、脆弱性対策やインシデント対応をベストエフォートで動かし始めることができる。
シーサート＝対外的な連絡窓⼝(Point of Contact)

Copyright © 2016 CSIRT Association, All rights reserved.

26

4

技術的な問合せに対応可 対外的な連絡窓⼝が、技術的な問合せに関しても対応可能であることの利点
[通知側] 脆弱性対策やインシデント対応の技術的な通知をたらい回しにされない。

 連絡窓⼝(シーサート)に期待したい要件

技術的な視点で脅威を推し量り、伝達できること
技術的な調整活動ができること
技術⾯での対外的な協⼒ができること
技術的な通知や依頼に対して対処してくれることを期待しているのであり、必ずしも、シーサート内に技術的な専⾨家が必要であるという指摘ではない。
まず重要なのは技術⼒ではなく、「コミュニケーション能⼒」

Copyright © 2016 CSIRT Association, All rights reserved.

27

4

インシデントレディネス(事前対処)

 インシデントレスポンス(事後対処)などの実践的な活動経験を元に、インシデントレディネス(事前対処)を進めることの重要性

経験〜シーサートの役割〜(再発)防⽌策の検討と展開

被害の未然防⽌脆弱性や攻撃予告に関する情報の収集
分析と早期検知

被害の極⼩化
適材適所への迅速な情報伝達と技術⽀援経験があるからこそ、「問題解決」に向けての想像⼒も働く。
経験ができないならば、他のインシデントレスポンス(事後対処)の疑似体験を通して、 「問題解決」に向けての想像⼒を養う。

Copyright © 2016 CSIRT Association, All rights reserved.

28

4

部署間を横断した組織体制

 シーサート実装の多くは、専任のシーサート要員を抱えた部署を核とした部署横断型


部署間を横断した組織体制の構築、すなわち、組織内の横断的な協⼒体制整備への期待

サイバーセキュリティ対策の推進
特定の部署だけが頑張れば良い(お任せ)モデルから組織全体で頑張る(連帯)モデルへ
シーサートは万能薬ではない。
組織のセキュリティ⽂化そのもの。

Copyright © 2016 CSIRT Association, All rights reserved.

29

⽬次
サイバー攻撃に対するセキュリティ施策として、インシデント対応、情報交換や組織間の連携など、 Computer Security Incident Response Team(CSIRT、シーサート)体制による活動への期待が⾼まっています。⽇本シーサート協議会では、連携と問題解決の場の提供を通して、シーサート活動を⽀援しています。本講演では、⽇本シーサート協議会の活動ならびに企業におけるシーサートの役割を紹介します。





シーサートとは⽇本シーサート協議会の活動
アンケートから⾒えてきたシーサート活動体制
企業におけるシーサートの役割
シーサートの構築
⽇本シーサート協議会の役割

Copyright © 2016 CSIRT Association, All rights reserved.

30

5Mission（使命）を考える
出典︓⽇本シーサート協議会「CSIRTスタータキット」

 なぜシーサートが必要なのか

シーサートのミッションを定義する
⁻ 組織が置かれている⽴場・状況
⁻ ⽬標を達成するために遂⾏する⼿段
⁻ 達成すべき⽬標

Copyright © 2016 CSIRT Association, All rights reserved.

31

5インシデントを考える
出典︓⽇本シーサート協議会「CSIRTスタータキット」

 シーサートが取り扱うインシデントとは何か

組織におけるインシデントとは何か

Copyright © 2016 CSIRT Association, All rights reserved.

32

Service（役務内容）を考える

5

出典︓⽇本シーサート協議会「CSIRTスタータキット」

 シーサートが提供するサービスは何か

シーサートのサービスを定義する
⁻ インシデント事後対応サービス
⁻ インシデントの被害局限化を⽬的とした、インシデントやインシデントに関連する事象への対応を⾏うためのサービス。

⁻

インシデント事前対応サービス
⁻ インシデントの発⽣抑制を⽬的とした、インシデントやセキュリティイベントの検知や、発⽣の可能性を減少させるためのサービス。

⁻

セキュリティ品質向上サービス
⁻ 社内セキュリティの品質を向上させることを⽬的としたサービス。
CSIRT としての視点や専⾨知識での⾒識を提供し、社内組織と連携することにより効果的な活動を実施できる。間接的にインシデントの発⽣抑制をすることが可能。

Copyright © 2016 CSIRT Association, All rights reserved.

33

5Constituency（活動範囲）を考える

 シーサートはどの範囲でサービスを提供するのか

シーサートのコンスティテュエンシーを定義する
⁻ 組織⁻ 社内/社外
⁻ 部⾨⁻ ⼈⁻ システム など

 さらなる詳細は⽇本シーサート協議会「CSIRTスタータキット」をご参照ください
http://www.nca.gr.jp/imgs/CSIRTstarterkit.pdf

Copyright © 2016 CSIRT Association, All rights reserved.

34

⽬次
サイバー攻撃に対するセキュリティ施策として、インシデント対応、情報交換や組織間の連携など、 Computer Security Incident Response Team(CSIRT、シーサート)体制による活動への期待が⾼まっています。⽇本シーサート
協議会では、連携と問題解決の場の提供を通して、シーサート活動を⽀援しています。本講演では、⽇本シーサート協議会の活動ならびに企業におけるシーサートの役割を紹介します。




シーサートとは⽇本シーサート協議会の活動
アンケートから⾒えてきたシーサート活動体制
企業におけるシーサートの役割
シーサートの構築
⽇本シーサート協議会の役割

Copyright © 2016 CSIRT Association, All rights reserved.

35

6場の整備国内のシーサートコミュニティの急速な拡⼤への対応
 {組織間の協⼒ｘ(事前対処＋事後対処)}に向けた場の提供


分野横断的な場の提供
セキュリティ業界のパイプ役

 {組織間の協⼒ｘ(事前対処＋事後対処)}に向けた場の整備

ディレクトリ(⽇本シーサート協議会加盟組織⼀覧)の整備
シーサート活動の暗黙知(慣習)の明⽂化

国内のシーサートコミュニティが、いざというときに協⼒して活動できるための場の提供と整備
Copyright © 2016 CSIRT Association, All rights reserved.

36

6

シーサート連絡窓⼝（PoC）の整備

 アドレス帳(⽇本シーサート協議会加盟組織⼀覧)の整備


体制、対象とする分野、取りまとめる部署などのアンケート調査の集計結果と共に、チーム情報をまとめた資料⇒シーサート連絡窓⼝(PoC: Point of Contact)の整備
チーム情報
チーム連絡窓⼝

1. チーム Email アドレス
2. チーム Web サイト

チーム紹介

1. 概要2. 設⽴の経緯・背景
3. 会社内における位置づけおよび活動内容
http://www.nca.gr.jp/member/index.html
Copyright © 2016 CSIRT Association, All rights reserved.

37

6

ワーキンググループ活動※2016年9⽉時点

 ワーキンググループ


問題提起と解決のための活動としてワーキンググループを⽴ち上げ、会員ならびに協議会外部の協⼒者と共に、問題解決を図っていきます。

シーサート構築前

シーサート構築後(⽇本シーサート協議会加盟後)【個別】
脅威情報共有WG
インシデント情報活⽤フレームワーク検討WG
Honeynet Project Japan Chapter WG
インシデント事例分析WG
インシデント対応検討WG
トランジッツWG
SSHサーバセキュリティ設定検討WG
アンケート情報活⽤WG
インシデント対応訓練⼿法検討WG
サイバーセキュリティ研究動向WG
セキュリティレポーティングWG
CSIRTチームトレーニングWG
ログ分析WG【共通】
シーサートWG＋構築推奨SWG＋課題検討SWG【個別】+CSIRT⼈材SWG【活動中のワーキンググループの位置付け】
Copyright © 2016 CSIRT Association, All rights reserved.

38

6場の整備 シーサート活動の暗黙知(慣習)の明⽂化

会合、メーリングリスト等でのチャタムハウスルールの徹底

http://www.chathamhouse.org/about/chatham-house-rule
Copyright © 2016 CSIRT Association, All rights reserved.

39

6場の整備 シーサート活動の暗黙知(慣習)の明⽂化


⽤語の定義差異を踏まえた対応

あなたが使っている「インシデント」と、先⽅が使っている「インシデント」は、同じですか?
⽇本シーサート協議会に加盟している組織を俯瞰すると、体制、対象とする分野、取りまとめる部署など、⼀つとして同じ形態のシーサートはなく、百社百様。
⇒⽤語の使い⽅についても、違いがでてきている。
同じ単語が、必ずしも同じものを意図するわけではない。
Copyright © 2016 CSIRT Association, All rights reserved.

40

ご清聴ありがとうございました。
シーサート同⼠の積極的なコミュニケーションを図ることによって、より良いセキュリティ対応を考え、そして、実現していきます。
シーサートに関して︓ csirt-pr@nca.gr.jp
加盟に関して︓ nca-sec@nca.gr.jp

http://www.nca.gr.jp/
Copyright © 2016 CSIRT Association, All rights reserved.

41