⽇本シ サ ト協議会、 JPCERT/CC共催
⽇本シーサート協議会、第1回連携ワークショップ〜脆弱性ハンドリングとインシデントハンドリングへの対応〜

ワークショップ開催の趣旨説明〜シーサートPoCの重要性〜
PoC: Point of Contact

日本コンピュ タセキュリティ
日本コンピュータセキュリティ
インシデント対応チーム協議会
運営委員長 寺田真敏
2015年10⽉14⽇

⽬次
⽇本シーサート協議会の加盟チーム数も100チームとなりました。加盟チームの増加 各シーサートの機能の差異などから加、各シサ トの機能の差異などから、外部の組織からの脆弱性情報や、インシ外部の組織からの脆弱性情報や インシデント通知等を受けた場合の対応について、各シーサートの対応が異なることが予想されます。多くのシーサートが連携を通して問題解決を図っていくためには、シーサ ト活動の暗黙知(慣習) 特に 「脆弱性ハンドリング」「インシデントハンドリン
サート活動の暗黙知(慣習)、特に、「脆弱性ハンドリング」「インシデントハンドリング」暗黙知(慣習)についての相互理解が重要です。本イベントでは、〜脆弱性ハンドリングとインシデントハンドリングへの対応〜と題し、シーサート活動の暗黙知(慣習)に対する理解を深める場とした と考えて ます習)に対する理解を深める場としたいと考えています。

 協議会活動にあたっての⼼構え
⼼ 企業におけるシーサートの役割 脆弱性ハンドリングとインシデントハンドリング

Copyright © 2015 CSIRT Association, All rights reserved.

2

1. 1

協議会活動にあたっての⼼構え ⽇本シーサート協議会では、『協議会の会合、メーリングリスト等』の活動において チャタムハウスル ルを適⽤しています
等』の活動において、チャタムハウスルールを適⽤しています。

出典 http://www.chathamhouse.org/about/chatham-house-rule
p //g//
Copyright © 2015 CSIRT Association, All rights reserved.

3

1. 1

協議会活動にあたっての⼼構え ⽇本シーサート協議会では、『連絡窓⼝担当者(PoC: Pointoff Contact)の役割』を次のように定義しています。
C t t)の役割』を次のように定義しています

シーサート(含む、⽇本シーサート協議会)間の連携において、実効的な調整担当者であること。
 チ
チームEmailのメンバに登録されていること。
ムEmailのメンバに登録されていること。
 チームサイトURLの問合せ窓⼝から確実に連絡が届くこと。



⽇本シーサート協議会においては、加盟チームの代表者であること。
⽇本シーサート協議会においては加盟チームの代表者であること
 加盟チームの代表者、実効的な調整担当者という⽴場から、⽇本シーサート協議会の総会議決権を⾏使すること。

Copyright © 2015 CSIRT Association, All rights reserved.

4

2. 2

企業におけるシーサートの役割 シーサート活動から導かれる企業におけるシーサートの役割
 対外的な連絡窓⼝であること
 技術的な問合せに関して対応が可能であること
 インシデントレスポンス(事後対処)だけではなく、インシデントレスポンスなどの実践的な活動経験を元に、インシデントレディネス(事前対処)を進めていること
 部署間を横断した組織体制をとっていること

Copyright © 2015 CSIRT Association, All rights reserved.

5

2. 2

対外的な連絡窓⼝

 対外的な連絡窓⼝が明らかになっていることの利点
[通知側] 脆弱性ハンドリングやインシデントハンドリングの通知先を探さずに済む。通知の背景説明を省略できる。通知をたらい回しにされない。
[受領側] 通知をトリガに、脆弱性ハンドリングやインシデントハンドリングをベストエフォートで動かし始めることができる。
スト フ
ト 動かし始める とが きる
シーサート＝対外的な連絡窓⼝
対外的な連絡窓⼝(Point of Contact)↓↑

シーサートPoC=実効的な調整担当者((Point of Contact))
Copyright © 2015 CSIRT Association, All rights reserved.

6

2. 2

技術的な問合せに対応可 対外的な連絡窓⼝が、技術的な問合せに関しても対応可能であることの利点
[通知側]脆弱性ハンドリングやインシデントハンドリングの技術的な通知をたらい回しにされない。

 連絡窓⼝(シーサート)に期待したい要件

技術的な視点で脅威を推し量り、伝達できること技術的な調整活動ができること技術⾯での対外的な協⼒ができること

技術的な通知や依頼に対して対処してくれることを期待しているのであり、必ずしも、シーサート内に技術的な待り、 ず、ト術 な専⾨家が必要であるという指摘ではない。

Copyright © 2015 CSIRT Association, All rights reserved.

7

2. 2

インシデントレディネス(事前対処)

 インシデントレスポンス(事後対処)などの実践的な活動経験を元に インシデントレディネス(事前対処)を進めることの重要性
元に、インシデントレディネス(事前対処)を進めることの重要性

経験〜シーサートの役割〜(再発)防⽌策の検討と展開

被害の未然防⽌
脆弱性や攻撃予告に関する情報の収集
分析と早期検知

被害の極⼩化
適材適所への迅速な情報伝達と技術⽀援経験があるからこそ、 問題解決」に向けての想像⼒も働く。
経験があるからこそ、「問題解決」に向けての想像⼒も働く。
経験ができないならば、他のインシデントレスポンス(事後対処)の疑似体験を通して、 「問題解決」に向けての想像⼒を養う。

Copyright © 2015 CSIRT Association, All rights reserved.

8

2. 2

部署間を横断した組織体制

 シーサート実装の多くは、専任のシーサート要員を抱えた部署を核とした部署横断型


部署間を横断した組織体制の構築、すなわち、組織内の横断的な協⼒体制整備への期待
独⽴部署

その他

((専任型))

14%

19%

サイバ セキュリティ対策の推進
サイバーセキュリティ対策の推進
特定の部署だけが頑張れば良い(お任せ)モデルから組織全体で頑張る(連帯)モデルへ

部署横断(専任＋兼務型)
67%

シーサートは万能薬ではない。
組織のセキュリティ⽂化そのもの。

実装の形態
Copyright © 2015 CSIRT Association, All rights reserved.

9

3. 3

脆弱性ハンドリングとインシデントハンドリング シーサート連携にあたっては、


⾃⾝が該当組織／該当者と直接交渉調整機関を介して該当組織／該当者と間接交渉
レディネス︓事前対処
攻撃予告Xの情報公開

攻撃予告Xによる侵害活動が発⽣した場合脆弱性Yの発⾒脆弱性Yの情報公開

Copyright © 2015 CSIRT Association, All rights reserved.

レスポンス︓事後対処
侵害活動の沈静化

インシデント対応期間

脆弱性Yを悪⽤した侵害活動の発⽣

脆弱性対策期間

脆弱性ハンドリング

インシデントハンドリング

攻撃予告Xによる侵害活動の発⽣

脆弱性対策期間公開された脆弱性Yを悪⽤した侵害活動が発⽣した場合暗黙知(慣習)被害の未然防⽌

10

侵害活動の沈静化

インシデント対応期間
発⽣被害の極⼩化

3. 3

脆弱性ハンドリングとインシデントハンドリング

 脆弱性ハンドリングとインシデントハンドリングは、1988年イン
タ ネットワ ム事件を契機に設⽴されたCERT/CCの活動がターネットワーム事件を契機に設⽴されたCERT/CCの活動がベースとなっている

インシデントハンドリング
Incident Handling

CERT/CC

受領者

通知者

深刻な攻撃 脅威の可能性に対する警告
深刻な攻撃・脅威の可能性に対する警告
問題の解析とフィードバック
脅威と対処策の広報

脆弱性ハンドリング
受領者
Vulnerability Handling

脆弱性報告窓⼝
製品開発ベンダと発⾒者間の調整
脆弱性と対処策の広報

Copyright © 2015 CSIRT Association, All rights reserved.

通知者

11

3. 3

脆弱性ハンドリング

 通知者⇒(調整機関)⇒受領者


製品／Webサイトの脆弱性を発⾒したので通知したい⇒ シーサート組織と直接連絡をとる。
hhttp://www.nca.gr.jp/member///j /b /⇒ 情報セキュリティ早期警戒パートナーシップを活⽤する。
http://www.ipa.go.jp/security/vuln/report/

Copyright © 2015 CSIRT Association, All rights reserved.

12

3. 3

脆弱性ハンドリング

 通知者⇒(調整機関)⇒受領者届出様式

ソフトウエア製品脆弱性関連情報届出様式
1. 届出者情報
2. 脆弱性関連情報
1) この脆弱性関連情報の⼊⼿先
2) 脆弱性を確認したソフトウエア等に関する情報
3) 脆弱性の種類
4) 再現⼿順5) 再現の状況
6) 脆弱性により発⽣しうる脅威
7) 回避策8) 検証コード
9) その他
3 当該ソフトウエアの海外での利⽤状況について
3.
4. IPA以外の組織への届出について
5. 今後の連絡について
6. その他
Copyright © 2015 CSIRT Association, All rights reserved.

13

ウェブアプリケーション脆弱性関連情報届出様式
1. 届出者情報
2. 脆弱性関連情報
1) 脆弱性を確認したウェブサイトのURL
2) 脆弱性の種類
3) 脆弱性の発⾒に⾄った経緯
4) 脆弱性であると判断した理由
5) 脆弱性により発⽣しうる脅威
6) ウェブサイトの連絡窓⼝
7) その他
3. IPA以外の組織への届出について
4. 今後の連絡について
5 その他
5.

3. 3

インシデントハンドリング

 通知者⇒(調整機関)⇒受領者




製品／Webサイトの脆弱性を発⾒したので通知したい
マルウェアに感染していると思われるパソコンを検知したので通知したい
DoS攻撃元になっていると思われるパソコンを検知したので通知したい
不正なサイトに誘導する
不正なサイトに誘導するWebサイトを発⾒したので通知したい
bサイトを発⾒したの 通知した
マルウェアを配信しているWebサイトを発⾒したので通知したい
フィッシングメールを受信したので通知したい
攻撃予告サイトを発⾒したので連絡したい、など⇒ シーサート組織と直接連絡をとる。
シ サ ト組織と直接連絡をとる。
http://www.nca.gr.jp/member/⇒ 調整機関として、JPCERT/CCを活⽤する。
https://www jpcert or jp/form/
https://www.jpcert.or.jp/form/
https://www.jpcert.or.jp/ics/ics-form.html

Copyright © 2015 CSIRT Association, All rights reserved.

14

3. 3インシデントハンドリング

 通知者⇒(調整機関)⇒受領者
届出様式

コンピュータセキュリティインシデント報告様式
制御システム・セキュリティ・インシデント報告様式
1. 連絡先
1. 連絡先2. この報告の⽬的
2. この報告の⽬的
2-1 JPCERT/CC の対応について
2-1 JPCERT/CC の対応について
1: 情報提供、2: 質問
1: 情報提供、2: 質問
3: 関係サイトへの連絡を希望、4:関係サイトへの連絡を希望 4: その他
3: 関係サイトへの連絡を希望、4:関係サイトへの連絡を希望 4: その他
2-2 具体的なご要望
2-2 具体的なご要望
3. 発⽣したインシデントの概要
3. インシデントの情報
3-1 アクセス元に関する情報
3-1 インシデントが発⽣したシステムに関する情報
IP アドレス、ホスト名など:システムの呼称・名称:
3-2 インシデントの内容、発⾒⽅法、対処などについて 制御対象となる設備・施設:
3-3 インシデントが発⽣したシステムについて
3-2 インシデントの内容、状況について
IP アドレス ⼜は ホスト名:
関連するOS・ソフトウエア・ハードウエア:
関連するOS・ソフトウエア・ハ
ドウエア:
プロトコル ⼜は ポート:
発⽣⽇時:
関連ソフトウェア:
タイムゾーン(時間帯):
ハードウェア/OS:
インシデントの内容、発⾒⽅法、対処状況など
発⽣⽇時:
タイムゾーン(時間帯):
Copyright © 2015 CSIRT Association, All rights reserved.

15

ご清聴ありがとうございました。
シーサートPoCの役割は、実効的な調整担当者というだけではありません いざというときの脆弱性ハンドリングとインシデントハンドリングのせん。いざというときの脆弱性ハンドリングとインシデントハンドリングのためには、⽇頃から、シーサート活動の暗黙知(慣習)に対する相互理解を深め、普及させておくことが重要です。

シーサート同⼠の積極的なコミュニケーションを図ることによって、より良いセキュリティ対応を考
え そし 実現しえ、そして、実現していきます。
きます
シーサートに関して︓ csirt-pr@nca.gr.jp
加盟に関して︓ nca-sec@nca.gr.jp

http://www.nca.gr.jp/
Copyright © 2015 CSIRT Association, All rights reserved.

16