情報セキュリティ月間
キックオフ・シンポジウム 参考資料

2013年2月1日
独立行政法人情報処理推進機構
技術本部 セキュリティセンター

調査役
Copyright © 2013 独立行政法人情報処理推進機構

加賀谷 伸一郎「スマートフォンの利活用とセキュリティ対策」
関連資料
Copyright © 2013 独立行政法人情報処理推進機構

2

急増するスマートデバイス向けウイルス※特にAndroid向けウイルス

出典：AV-TEST
http://www.av-test.org/en/tests/mobile-devices/android/
Copyright © 2013 独立行政法人情報処理推進機構

3

SNSやメールで不正アプリサイトへ誘導する事例（2012年9月）
Facebookの某コミュニティに投稿されていた、不正アプリサイトへのリンクを含んだ投稿

Copyright © 2013 独立行政法人情報処理推進機構

4

SNSやメールで不正アプリサイトへ誘導する事例（2012年9月） ※Androidの事例
Subject:スマホの電池切れを解消！便利アプリを紹介[APP マグ]
Date:2012/09/24 11:30
To:●●@i●.jp
今回はアプリを紹介します。
□ 電池バッテリー改善アプリ--------------------------------------------------------http://●.net/●/◆◆.html

リンクをタッチすると、不正アプリが置かれているサイトに飛ばされる！

スマホの電池切れを解消する、画期的なアプリが出ました。
このアプリを入れるだけで、朝充電して帰宅まで充電が不要になりました。
有料版や無料版を数多く試してきましたが、今のところこのアプリが「ベスト」です。
バージョンアップの期間中だけ、無料でダウンロードが可能です。
今すぐ試してみて下さい！
□ 安心スキャン-------------------------------------------------------http://●.net/●/▼.html
一番最初に入れたいウイルス対策アプリ。
軽い動作と、常に最新のウイルス対策パターンをダウンロードします。
無料でさくっとスキャン出来るのは魅力的。
定期的に実行すれば安心ですね♪
* =====================================================* APPSマグ *◆編集・発行：便利アプリを紹介！APPマグ◇配信停止・配信先の変更 http://●.net/●/◆Copyright(C) 2011-2012, APPSマグ◇本メールマガジンの著作権はAPPSマグに帰属します。,
記事の無断転載は堅くお断りします

Copyright © 2013 独立行政法人情報処理推進機構

5

SNSやメールで不正アプリサイトへ誘導する事例（2012年9月） ※Androidの事例

ウェブブラウザの画面なのに、あたかも公式マーケットであるGoogle Playの画面に酷似！
Copyright © 2013 独立行政法人情報処理推進機構

6

SNSやメールで不正アプリサイトへ誘導する事例（2012年9月） ※Androidの事例

インストール時、「連絡先データを読み取り」の許可を求めてくる！

Copyright © 2013 独立行政法人情報処理推進機構

7

スマホ内から情報が送られている様子

Copyright © 2013 独立行政法人情報処理推進機構

8

最新の不正アプリ（2013年1月）-1

ウェブブラウザの画面なのに、あたかも公式マーケットであるGoogle Playの画面に酷似！
Copyright © 2013 独立行政法人情報処理推進機構

9最新の不正アプリ（2013年1月）-2

ウェブブラウザの画面なのに、あたかも公式マーケットであるGoogle Playの画面に酷似！
Copyright © 2013 独立行政法人情報処理推進機構

10

公式マーケットに存在した不正アプリの特徴（2012年4月）

電話帳の内容を盗むものだった

Copyright © 2013 独立行政法人情報処理推進機構

11

公式マーケットに存在した不正アプリの実例（2013年1月）

Copyright © 2013 独立行政法人情報処理推進機構

12

スマートフォンのセキュリティ対策
スマートフォンを安全に使用するための6か条スマートフォンをアップデートする。
スマートフォンにおける改造行為を行わない。
信頼できる場所からアプリケーション（アプリ）をインストールする。
アンドロイド端末では、アプリをインストールする前に、アクセス許可を確認する。

セキュリティソフトを導入する。
スマートフォンを小さなパソコンと考え、パソコンと同様に管理する。
※詳細の解説については、以下のページを参照してください。
http://www.ipa.go.jp/security/txt/2011/08outline.html
Copyright © 2013 独立行政法人情報処理推進機構

13

アプリインストール時の注意• 公式マーケットにあるアプリでも、念のため、アプリに許可する権限や、評判を読み取る！

Copyright © 2013 独立行政法人情報処理推進機構

14

パスワードを教えてはいけません！！

・セキュリティアプリ
・ID、パスワード登録
・各種設定

スマホよくわかんな〜ぃ・・

このアプリ入れて設定してあげる！

今どこにいるかな・・・
このアプリ入れちゃおうかな・・・
Copyright © 2013 独立行政法人情報処理推進機構

15

スマートフォン利用時の不安要素※対象：現在スマートフォンを利用している人

出典：IPA「2012年度 情報セキュリティの脅威に対する意識調査」報告書
http://www.ipa.go.jp/security/fy24/reports/ishiki/
Copyright © 2013 独立行政法人情報処理推進機構

16

スマホ：端末ロックの落とし穴
Android

Copyright © 2013 独立行政法人情報処理推進機構

手の脂で、パターンを読み取られます！！

17

スマートフォンでの写真撮影に注意！
某フリーソフト（Windows用）

画像ファイル
画像ファイルに含まれる情報を基に地図上に位置表示！！

Copyright © 2013 独立行政法人情報処理推進機構

18一般利用者向けの啓発資料

http://www.ipa.go.jp/security/keihatsu/love_smartphone_life/
Copyright © 2013 独立行政法人情報処理推進機構

19一般利用者向けの啓発資料

IPA Channel： 情報セキュリティ普及啓発映像コンテンツ
http://www.youtube.com/user/ipajp/videos?view=1
Copyright © 2013 独立行政法人情報処理推進機構

20

「企業等におけるサイバー攻撃対策」
関連資料
Copyright © 2013 独立行政法人情報処理推進機構

21

10大脅威から見る脅威の変遷

2012年
10大脅威

• 傾向
– 新しいデバイス・サービスの出現により新たな脅威が生まれる• スマートフォン、クラウドサービスの浸透など⇒定期的なセキュリティ対策の見直しを– 長い間、脅威と認識されながらも対策が進まない脅威の存在• 情報漏洩、 標的型攻撃、ウェブサイト攻撃、Clientソフトへの攻撃⇒常に発生する脅威に対する対策コストの予算化をCopyright © 2013 独立行政法人情報処理推進機構

22

１．攻撃手法の変化〜「１つの脆弱性＝１つの攻撃」から人を騙すテクニックや洗練した手法が登場〜• 近年の傾向– 複数の攻撃を駆使した多段型の攻撃に– 正規のウェブサイトを使った攻撃。利用者は攻撃に気付けない– システム的な弱点だけでなく、人の心理面をつくソーシャルエンジニアリング– 複数の攻撃を戦略的に使う攻撃手法の出現
Copyright © 2013 独立行政法人情報処理推進機構

23

２．システム環境の変化〜システム環境の変化により、新たな脅威が生じる〜• システム環境の変化により下記のような脅威が発生– ネットワークに接続する新たなデバイスの登場• 外部から攻撃を受ける脅威に晒される状態• 個人に紐づく情報を保持するスマートフォンは、攻撃への影響が大きい– 制御系システムのオープン化• クローズド⇒オープン化 になったことにより情報システムと似た環境に• 攻撃者にとって攻撃しやすい環境になってきた– クラウドの台頭により、データ管理の考え方が変わる
Copyright © 2013 独立行政法人情報処理推進機構

24

３．情報セキュリティを取巻く構図の変化〜一企業の情報セキュリティ対策からナショナルセキュリティへ〜• 防御側の構図の変化– 制御系・組込み系システムへの拡大• 制御・組込系システムが攻撃対象に含まれてきた• 制御系エンジニアにも、セキュリティ対策が求められるようになった• 情報系システムだけの問題で無くなってきている– ナショナルセキュリティとしての対応• 米国国防省は、サイバー空間を陸、海、空、宇宙に次ぐ第5の新たな戦場と宣言• サイバー攻撃が軍事活動、経済活動的な意味合いに変化してきている• 政府機関や軍需関連産業まで巻き込んだ防衛体制となりつつある
Copyright © 2013 独立行政法人情報処理推進機構

25

４．攻撃によるインパクトの変化〜一企業の不祥事だった問題が社会的問題に〜• インシデントが発生した際の組織に与えるインパクトも増大している– 機密情報が窃取されることで・・・。
• 知的財産・・・模倣品出現⇒市場での競争力の低下⇒企業収益の低下• 国家機密情報・・・外交上のアドバンテージを奪われる⇒国益に影響• 長期的な視点で考えると、将来の利益や国益が奪われる大きな問題– 情報の大量流出（メガリーク）することで・・・。
• 大手ゲームメーカーの例では、1ヶ月近くサービスを停止せざるをえない状況• ブランドイメージの大幅な低下、営業利益にも影響• 一企業の不祥事的な扱いから社会的な問題に– 社会インフラを狙った攻撃• 海外では、工場プラントや鉄道システムが攻撃により一時停止した事例がある• 社会インフラが攻撃を受けた場合、我々の社会生活にも大きく影響する
ex.電力供給停止、鉄道停止、工場停止 etc
26

Copyright © 2013 独立行政法人情報処理推進機構

【1位】機密情報が盗まれる!?
新しいタイプの攻撃

2012年
10大脅威

• 脅威
– 組織の機密情報が窃取されてしまう– 攻撃に気付けない。有効な対策方法がない
Copyright © 2013 独立行政法人情報処理推進機構

27

【1位】機密情報が盗まれる!?
新しいタイプの攻撃• 事例１：衆議院への攻撃– 衆議院議員１人のパソコンで、ウイルス付きのファイルを開いたことでウイルスに感染– ネットワークを経由して感染範囲が拡大しサーバとパソコン計３２台がウイルスに感染した。
– 全議員約４８０人のＩＤとパスワードが流出し、最大１５日間にわたってメールが攻撃者に見られていた可能性• 事例２：三菱重工業へのサイバー攻撃– 外部からの標的型攻撃メールにより、システム内部に侵入したとされている– 本社のほか工場、研究所など国内11拠点にあるサーバ45台と従業員が使用していたパソコン38台の感染が確認された

Copyright © 2013 独立行政法人情報処理推進機構

28

【1位】機密情報が盗まれる!?
新しいタイプの攻撃 〜攻撃の特徴〜
ウイルスを使って深部に空けたバックドア（裏口）を用いて攻撃基盤を構築し、システムをハッキング
初期潜入に成功後、バックドアを設置まで素早く数分。
その後はバックドアを使ってマルウエアの機能を拡張し、攻撃基盤を構築。

事前調査

初期潜入段階攻撃基盤構築段階
攻撃基盤構築段階

システム調査段階
システム調査段階

攻撃最終目的(窃取)の遂行

Copyright © 2013 独立行政法人情報処理推進機構

29

【1位】機密情報が盗まれる!?
新しいタイプの攻撃 〜対策の難しさ〜
 攻撃が検知できない ウイルスの通信は、HTTPなどオフィス環境で使用する通信と同じため、攻撃を検知することができない 攻撃者がシステムの状況に応じて攻撃方法を変える 攻撃者が送り込むウイルスがスパイ活動を行い、内部のシステム状況に応じて、攻撃を仕組んでくる アカウント・パスワード情報などのセキュリティを確保する上で前提となる情報が攻撃者の手に渡り、セキュリティシステムが無効化される
次は何を攻略
しようかな

こんなの見つかったぞ
ID/PW 巧みなソーシャルエンジニアリング 事前調査段階で窃取した情報が標的型メールとして使用されるため、標的型メールと気付けない
Copyright © 2013 独立行政法人情報処理推進機構

30

【1位】機密情報が盗まれる!?
新しいタイプの攻撃• 対策– 外部からの脅威をブロックする 「入口対策」– 情報が外部に持出されない為の「出口対策」
出口対策イメージ

入口対策

出口対策によりたとえ攻撃されても、組織への影響を回避することが重要

A社

たとえ入口で防げなくても、窃取を防ぐ対策

出口対策

詳細はこちら
http://www.ipa.go.jp/security/vuln/newattack.html
Copyright © 2013 独立行政法人情報処理推進機構

31

2012年
10大脅威【8位】身近に潜む魔の手・・・
あなたの職場は大丈夫？

• 脅威– 組織内部の人による故意の情報流出や業務妨害– 関係者による犯行が行われた場合、影響範囲が大きい– 内部情報を知っている人による、人為的な犯行である為、完全な対策を実施することは難しい
Copyright © 2013 独立行政法人情報処理推進機構

32

【8位】身近に潜む魔の手・・・
あなたの職場は大丈夫？
• 事例１：国内通信会社のデータ改ざんによる営業妨害– 業務委託先の元社員により、基地局とネットワーク センターを結ぶATM 伝送装置の回線設定データが改ざんされる事件が発生– 携帯電話サービスが対象地域で利用しにくい状態になり、約7万2,700人の利用者が影響を受けた• 事例２：国内クレジット会社の顧客情報の漏えい– 国内クレジット会社では、最大約16万人分の顧客情報が不正に持ち出され、売却された可能性が高いことが判明した– 過去に保険代理店事務に関わる委託をしていた関係者からの犯行• 事例３：ソーシャルゲームにおけるデータ改ざん– ソーシャルゲームのサーバに元派遣社員が不正アクセスして約130万人が利用するゲームを改ざん– 元派遣社員は、任期満了で退社する際に、サーバ内に不正アクセス制限を解除できるプログラムを仕込んでいた
Copyright © 2013 独立行政法人情報処理推進機構

33

【8位】身近に潜む魔の手・・・
あなたの職場は大丈夫？
• 対策１：「物理的対策」と「システム的対策」– 重要な情報が保存されている場所や操作を行う場所への入場を制限するなどの「物理的対策」– 重要システムへのアクセス制限を行う「システム的対策」• 対策２：職務権限の分離– 作業実施者と承認者を分けることにより、不正を行いにくくする環境を構築する– 運用を形骸化させないためにも、定期的に運用状況のチェックや見直しを行うことが重要• 対策３：情報漏えい発生時の事後対応の計画– 問題が発生時にいかに早く通常業務に戻せるかが事後対応の鍵となる– 情報漏えいを起こした際の事後対応も事前に計画しておく必要がある
Copyright © 2013 独立行政法人情報処理推進機構

34

【8位】身近に潜む魔の手・・・
あなたの職場は大丈夫？
• 対策例〜IPAテクニカルウォッチ『組織の内部不正防止への取り組み』に関するレポート〜– 犯行を難しくする– 捕まるリスクを高める– 犯行の見返りを減らす– 犯行の挑発を減らす– 釈明させない

詳細はこちら

http://www.ipa.go.jp/about/technicalwatch/pdf/120315report.pdf
Copyright © 2013 独立行政法人情報処理推進機構

35

【8位】身近に潜む魔の手・・・
あなたの職場は大丈夫？
• 内部不正の状況〜IPAテクニカルウォッチ『組織の内部不正防止への取り組み』に関するレポート〜– 顧客情報や社内情報が窃取される状況にある– 金銭や組織への不満が動機に挙げられている
Copyright © 2013 独立行政法人情報処理推進機構

36

脆弱性対策(1)〜脆弱性届出制度の運営〜
2004年7月に経済産業省が「ソフトウエア等脆弱性関連情報取扱基準」（平成16年経済産業省告示第235号）を公示し、「情報セキュリティ早期警戒パートナーシップガイドライン」に則り運用を行っている。

Copyright © 2013 独立行政法人情報処理推進機構

37

脆弱性対策（２） ＩＰＡではセキュリティ情報の収集、対策手段の提供、情報の発信等の活動を行っています。

NVD

製品ベンダ
公開情報

新たな攻撃の情報

予兆

セキュリティ情報/対策情報の集約

連携

MyJVN API モジュール
脆弱性対策
情報収集ツール

バージョン
チェッカ

セキュリティ設定
チェッカ

サイバーセキュリティ
注意喚起サービス「icat」
Twitter発信
サービス

独自開発のシステム・プログラム
Copyright © 2013 独立行政法人情報処理推進機構

38

脆弱性対策情報ＤＢ JVN iPedia
http://jvndb.jvn.jp/• 日本国内の地域性を考慮した脆弱性対策情報を蓄積するデータベース– 日本国内で利用されている製品に対する脆弱性対策情報を掲載– 日本語版の公開件数は、13,000件以上（2012年2月）

Copyright © 2013 独立行政法人情報処理推進機構

39

サイバーセキュリティ注意喚起サービス icat
http://www.ipa.go.jp/security/vuln/icat.html

迅速なセキュリティ対策情報の入手により、ユーザへの対策適用を促進します。
IPAから発信する緊急対策情報を、リアルタイムで企業や団体のウェブサイト上に表示します。

Copyright © 2013 独立行政法人情報処理推進機構

40

サイバー攻撃への対応(１)〜様々な分野の専門家が集結した研究会の発足〜
 IPA「脅威と対策研究会」 （2010.12 〜） SIベンダ、セキュリティベンダ、大学関連等の有識者で構成
 「新しいタイプの攻撃」に関する攻撃の特徴の分析、対策の検討等を行う研究会アウトプット

A社

IPA

A社の知見

2010年12月公表：
IPA テクニカルウォッチ『新しいタイプの攻撃』に関するレポート

ツール

・・
・

新しい脅威

Z社
Z社の知見

2011年8月公表：「新しいタイプの攻撃」の対策に向けた設計・運用ガイド

インシデント

知見ある人① 注意喚起脅威の注意喚起外部
外部 知見の連携の場
有識者

ツール

② 解説資料
脅威の解説資料③ 脅威パターンと対策セット

知見
集約

IPA

組織の知見
ツール

IPAIPAの知見
ツール

Copyright © 2013 独立行政法人情報処理推進機構

IPA

大学・研究組織予兆

2011年11月公表：
改訂第二版の公開

成果・アウトプット

脅威と対策研究会

ツール

検体③脅威パターンと対策セット
1.ベース資料作成
RMから抜粋とIPAとして公開できる形式に整理(1)どのようなものか決定(2)どう作成するかドキュメント作成者決定
IPA非常勤（Sier?）(3)レビュー＆FIX
2.新しい脅威パターン等追加
(1)更新

41

サイバー攻撃への対応(２)〜官民連携によるサイバー攻撃への対応〜

サイバー情報共有イニシアティブ J-CSIP

Copyright © 2013 独立行政法人情報処理推進機構42

情報セキュリティに関する攻撃・脅威の認知

出典：IPA「2012年度 情報セキュリティの脅威に対する意識調査」報告書
http://www.ipa.go.jp/security/fy24/reports/ishiki/
Copyright © 2013 独立行政法人情報処理推進機構

43

セキュリティ対策の実施状況（抜粋）

出典：IPA「2012年度 情報セキュリティの脅威に対する意識調査」報告書
http://www.ipa.go.jp/security/fy24/reports/ishiki/
Copyright © 2013 独立行政法人情報処理推進機構

44

セキュリティパッチの更新をしない理由

出典：IPA「2012年度 情報セキュリティの脅威に対する意識調査」報告書
http://www.ipa.go.jp/security/fy24/reports/ishiki/
Copyright © 2013 独立行政法人情報処理推進機構

45知りたいセキュリティ情報

出典：IPA「2012年度 情報セキュリティの脅威に対する意識調査」報告書
http://www.ipa.go.jp/security/fy24/reports/ishiki/
Copyright © 2013 独立行政法人情報処理推進機構

46

個人で意識すべきセキュリティ対策の基本
ウイルス対策ソフトの導入と適切な運用ウイルス定義ファイルを最新に保つことが必須！
統合型セキュリティソフトがオススメ（有害サイトのブロック機能やパーソナルファイアウォール機能が有効）

脆弱性の解消
OS（Windowsなど）、その他ソフト全てを最新に！
こまめなアップデートが必須！
（ご参考）「MyJVN バージョンチェッカ」（IPA）
http://jvndb.jvn.jp/apis/myjvn/#VCCHECK
Copyright © 2013 独立行政法人情報処理推進機構

47

一歩進んだお勧めの対策
パーソナルファイアウォールを適切に設定して使用する
パーソナルファイアウォールを導入し、設定を厳しくして自分が許可したプログラムだけを通信可能とします。
そうすると、万が一ウイルスに感染してしまっても、そのウイルスが外部と通信することを防ぎ、さらにはウイルスの存在に気付くことができる可能性があります。

Copyright © 2013 独立行政法人情報処理推進機構

48

MyJVNバージョンチェッカをご活用ください！

Windows 8にも対応！
IPA： MyJVN バージョンチェッカ
http://jvndb.jvn.jp/apis/myjvn/#VCCHECK
Copyright © 2013 独立行政法人情報処理推進機構

49

IPA・対策のしおり

http://www.ipa.go.jp/security/antivirus/shiori.html
Copyright © 2013 独立行政法人情報処理推進機構

50

IPAが提供する動画コンテンツ

Copyright © 2013 独立行政法人情報処理推進機構

51

セキュリティセンター（IPA/ISEC）
http://www.ipa.go.jp/security/★情報セキュリティ安心相談窓口：
ＴＥＬ：０３（５９７８）７５０９ (平日10:00-12:00、13:30-17:00)
ＦＡＸ ：０３（５９７８）７５１８
E-mail： anshin@ipa.go.jp

Copyright © 2013 独立行政法人情報処理推進機構

52