標的型メール攻撃対策 ～ITセキュリティ予防接種による組織の防御力強化～
2009年2月20日
重要インフラ情報セキュリティフォーラム
重要インフラ情報セキュリティフォ
ラム 2009

JPCERTコーディネーションセンター
早期警戒グループ 情報セキュリティアナリスト
小宮山 功一朗

標的型攻撃 現状
標的型攻撃の現状

定義— 「情報セキュリティ上の攻撃で、無差別に攻撃が行われるものでなく、特定の組織あるいはグループを標的としたもの。攻撃対象となる組織あるいはグループに特化した工夫が行われることもある」
事例— 2007年
6月下旬 Lhacaの脆弱性をつく
Lhacaの脆弱性をつく「2007年度計画」
2007年度計画」
JICA台北オフィスを装いPowerpointの脆弱性をつく標的型攻撃。件名は「台湾情勢について」— 2008年
IPAを騙り、関係機関に細工されたPDF文書を送付
情報処理学会コンピュ タセキュリティシンポジウムの論文募集を騙ったウィルスメ ル
情報処理学会コンピュータセキュリティシンポジウムの論文募集を騙ったウィルスメール

関連機関の調査結果— “6.4%が過去1年間に標的型攻撃を受けている”
JPCERT/CC（有限責任中間法人JPCERTコーディネーションセンター）「標的型攻撃についての調査」（2007）— “標的型攻撃の電子メールを受けとった経験（発見または被害）のある組織は7.9%”
IPA「2007年 国内における情報セキュリティ事象被害状況調査」— おそらく氷山の一角

Copyright® 2009 JPCERT/CC All rights reserved.

標的型攻撃増加 予防接種
標的型攻撃増加と予防接種

標的型攻撃対策 難 さ
標的型攻撃対策の難しさ— 対策の種類については、配付資料の付録1をご参照下さい

ITセキュリティ予防接種(以後予防接種)とは— 電子メールを用いた受動型攻撃に対するエンドユーザのセキュリティ
電子メ ルを用いた受動型攻撃に対する ンド
ザのセキュリティ意識の向上を目的とする調査・訓練の手法で、対象者に不審メールを模した無害なメールを送付し、適切な取扱いを行えるかを試すものであるある。

プロジェクトの目的— 標的型攻撃対策としての予防接種の有効性を確認する。
標撃防接種
効す— 予防接種を安全に実施するための手法を確立する。

Copyright® 2009 JPCERT/CC All rights reserved.

作業 イ
作業のイメージジ

各協力企業

JPCERT/CC

送信配送

ビーコン画像を取得
画像を取得

Webサーバログ
Webサ
バログ

アクセス日時

画像番号

2/2 13:00

A01.bmp2/2 13:08

B32.bmp

Copyright® 2009 JPCERT/CC All rights reserved.

被験者ITセキュリティ予防接種
キ リティ予防接種 コンセプトン

差出人“歌代”代
フリーメール

予算についてMS Word文書

Copyright® 2009 JPCERT/CC All rights reserved.

見えない画像ファイルへのリンクを埋め込む
http://targeted.example.co.jp/user1.jpg

全体の流れ体 流れ調整(文面の設定 リハ サル)
調整(文面の設定、リハーサル)

ユ ザへの事前教育
ユーザへの事前教育• 怪しいメールの条件、取るべき対応、問い合わせ窓口などを事前に教育。被験者によっては省略

予防接種 一回目予防接種 二回目 (約2週間の間隔)

被験者への趣旨説明/アンケートの依頼

Copyright® 2009 JPCERT/CC All rights reserved.

分
分かったことお断り: 以下の集計は全て暫定的なものです。2009/4公開予定の調査報
告書とは内容が異なる可能性があります。

14組織、延べ2600名への予防接種実施の実績から分かったこと。
35.0%
30.0%

28.9%

25.0%
20.0%
15.0%

13.2%

10.0%
5.0%
0.0%
1回目

Copyright® 2009 JPCERT/CC All rights reserved.

2回目ケーススタディ:
ケタディ 横浜市役所

１回目の開封者
146名
146名/482/482名
名

２回目の開封者
110名
110名/482/482名
名

30%

23%

意図をもって開封した場合などもあるためアンケートを実施
意図をもって開封した場合などもあるためアンケ トを実施

2通のメールを経験した
186名中
186名中何らかの意識変
何らかの意識変
容を感じた者

137名
137名（73%73%））1. 予防接種は確かに効果があった。開けたとしても、意識が変わった人が多い
2. しかし実施の詳細については、さらなる検討が必要。

Copyright® 2009 JPCERT/CC All rights reserved.

ケーススタディ:ケ
タディ ITセキュリティ関連企業
キ リティ関連企業 A社
社

合計4回実施１回目の開封者
回目の開封者
3名/26名

2週間

２回目の開封者
回目の開封者
0名/26名11%

0%
6ヶ月後に規模拡大して実施

3回目の開封者
15名/83名

18%
Copyright® 2009 JPCERT/CC All rights reserved.

2週間

4回目の開封者7名/83名8%

ケーススタディケ
タディ JPCERT/CC
合計4回実施１回目の開封者
2名/25名8%

2週間

２回目の開封者
5名/25名

20%

文面: 易

文面: 難

6ヶ月後に再度実施

3回目の開封者2名/25名

8%

Copyright® 2009 JPCERT/CC All rights reserved.

文面: とても難2週間

4回目の開封者
1名/25名4%

文面: とても難とても易しい文面
も易文面

①
②

Copyright® 2009 JPCERT/CC All rights reserved.

① アドレスがフリーメー
ドが リ メル② 架空の人物/部署とても難しい文面
も難
文面

①
②

③

Copyright® 2009 JPCERT/CC All rights reserved.

① 存在しない部署
存在 な 部署② 時期が違う③ 存在しないメールアドレ
存在しないメ ルアドレス

予防接種 結果 らわ
予防接種の結果からわかったこと

実施
実施は早ければ数時間で種明かしれば数時
種— メール依存度が高い業種では、最初の1時間でほとんどの人がメールを確認する。

開封率は下がる社
社内での連絡体制が機能しないことがある
連絡体制 機能あ
技術的な改良の余地— スパムフィルター対策— 文字化け— 一括大量送信

Copyright® 2009 JPCERT/CC All rights reserved.

アンケアンケートから分かったこと
ら分

多く 被験者
多くの被験者は予防接種を前向きに受け止めている
防接種を前向き 受める— 「全社で実施を」「定期的な実施を」望む声多数— 予防接種の意義を理解してもらうためには教育が必要

アンケートをしないと真の開封率は分からない— メールを見ていない人
メ ルを見ていない人— リスクを承知で敢えて開いた人「管理者への連絡」に抵抗を感じている— 「こんなことで忙しいIT部門の手を煩わせたくない」「新人さん」は予防接種に弱い— 業務知識の不足
業務知識— 教育が不十分— 来たメ
来たメールを全て確認しようとする
ルを全て確認しようとする
Copyright® 2009 JPCERT/CC All rights reserved.

ままとめ

予防接種は防接種
多くの企業において、低コストで— 開封率が減少— セキュリティインシデントの実体験、経験 (≠知識)— セキュリティ教育の効果測定— ユーザのセキュリティや社内ルールに対する意識の変化などの効果をもたらした今後の課題— ゴールは開封率0%ではない— 事前事後の教育が大切— メール文面の難易度設定に一定のガイドラインを最終レポート(2008/3末)に請うご期待!
最終レポ
ト(2008/3末)に請うご期待!
Copyright® 2009 JPCERT/CC All rights reserved.

付録1: 3つの側面からの標的型攻撃対策
付録
側面 ら 標的型攻撃対策
攻撃を判別する技術的対策

被害を最小範囲に留める
仕組み

ユーザ教育

攻撃とそうでないものを判攻撃が成功した場合にその ユーザ一人一人が攻撃に別するのを手助けする技術
技
被害
被害を限定的にするために。
定
気づき、危険を避け、情報気づ険
情報的な方策を報告・共有するために。

•••

送信ド イン認証
送信ドメイン認証
SPF/Sender ID, DKIM
メッセージ署名
S/MIME, PGP
拡張子による添付ファイ
ルの制限Copyright® 2009 JPCERT/CC All rights reserved.

•オフィス文書の無害化
オフィ 文書の無害化
Microsof Office 2007 ,MOICE• 最新のプログラムを使う(Windows Vista)• ファイルを開く専用マシン•通信の監視、認証プロキシ•“不審な”メールの見分け
不審なルの見分け方• 集合研修• Eラーニング• 予防接種16

お問い合わせ、インシデント対応のご依頼はJPCERTコーディネーションセンター
デ— Email：office@jpcert.or.jp— Tel：03-3518-4600
T l 03 3518 4600
— Web: http://www.jpcert.or.jp/

インシデント報告— Email：info@jpcert.or.jp
Email：info@jpcert or jp— Web: http://www.jpcert.or.jp/form/

Copyright® 2009 JPCERT/CC All rights reserved.