セキュリティインシデント最新動向とその対策～JPCERT/CCの活動～

JPCERコーディネーションセンター
早期警戒グループ
マネージャ
鎌田敬介
Keisuke KAMATA
2007 / 10 / 17
Copyright© 2007 JPCERT/CC
All rights reserved.

本日のTOPIC JPCERT/CC の組織概要
 インシデントと脆弱性
 JPCERT/CC の活動内容
 組織内CSIRTとは？
 まとめ

Copyright© 2007 JPCERT/CC All rights reserved.

2

JPCERT/CCの概要
http://www.jpcert.or.jp/

 JPCERT/CC

 Japan Computer Emergency Response Team
Coordination Center ジェーピーサート・コーディネーションセンター

 コンピュータセキュリティインシデントに関する調整、連携などの活動をおこなっている
 国内組織や海外組織との連携活動
 情報収集・分析・発信活動
 「コーディネーションセンター」としての役割
 米国のCERT/CCを起源とする組織

Copyright© 2007 JPCERT/CC All rights reserved.

3

JPCERT/CCの沿革
1992年

ボランティアベースの活動開始
コンピュータセキュリティインシデント報告対応業務開始

1996年10月

任意団体として発足

1998年8月

CSIRT として日本で最初に FIRST に加盟－日本の National CSIRT として国際的に認知

2003年2月

APCERT(アジア太平洋コンピュータ緊急対応チーム)発足

2003年3月

中間法人として設立登記

2003年12月

インターネット定点観測システム（ISDAS）公開

2004年7月

経済産業省告示にて「脆弱性情報流通調整機関」として指定

2005年6月

JPCERT/CC のメンバが FIRST 理事に就任

2006年10月

任意団体発足後、10周年

2006年12月

サイバークリーンセンターにおいて、ボットプログラム解析業務開始

2007年6月

JPCERT/CC のメンバがFIRST理事に再任
Copyright© 2007 JPCERT/CC All rights reserved.

4

JPCERT/CCの活動
インシデント予防

インシデントの予測と捕捉発生したインシデントへの対応

脆弱性情報ハンドリング

定点観測（ISDAS）

インシデントハンドリング

未公開の脆弱性関連情報を
製品開発者へ提供し対応依頼
国際的に情報公開日を調整

ネットワークトラフィック情報の収集分析
定期的なセキュリティ予防情報の提供

インシデントレスポンスの時間短縮による被害最小化
再発防止に向けた関係各関の情報交換および情報共有

30

ポートスキャンの平均値 ＝

全センサーのポートスキャン合計
センサー合計

ポートスキャンの上位 5 位を表示

（単位：時間）（ICM Pは常に表示、o the rはその他合計）
ICM P

25

TCP 4 4 520

U DP 1 37

15

イ ンシデント 情報

JPCERT/CC

イ ンシデント 情報

TCP 1 3 9
TCP 1 0 2 5

10o th er

50

企業CSIRT

ISP CSIRT

TCP 1 3 5サービス
イ ンシデント
情報の交換

情報交換
情報交換

1 2 /91 2 /1 0

1 2 /1 1

1 2 /1 2

1 2 /1 3

早期警戒情報1 2 /1 4

Da ta

FIRST、
APCERTなどの
海外CSIRT

重要インフラ事業者等の特定組織向け情報発信

CSIRT構築支援
企業内のセキュリティ対応組織の構築支援
Copyright© 2007 JPCERT/CC All rights reserved.

学識経験者、関連団体などのご協力者

官公庁、政府関係機関などの
国内協力組織インシデントと脆弱性
 コンピュータセキュリティインシデント
 インシデントの例
 インシデントへの対応

 脆弱性（Vulnerability）
 脆弱性の例
 脆弱性への対応

Copyright© 2007 JPCERT/CC All rights reserved.

6インシデントとは コンピュータセキュリティに関係する人為的事
象で、意図的および偶発的なもの (その疑いがある場合) を含みます
JPCERT/CC Web より
http://www.jpcert.or.jp/faq.html#1a03

Copyright© 2007 JPCERT/CC All rights reserved.

コンピュータセキュリティインシデント分類例
JPCERT/CCにおけるインシデントの分類
[Scan]: プローブ、スキャン、そのほかの不審なアクセス[Abuse]: サーバプログラムの機能を使用した不正中継など
o 管理者が意図しないような、メールサーバやプロキシサーバなどの第三者による使用[Forged]: 送信ヘッダを詐称した電子メールの配送[Intrusion]: システムへの侵入[DoS (Denial of Service)]: サービス運用妨害につながる攻撃
o ネットワークの輻輳(混雑)による妨害
o サーバプログラムの停止
o OS の停止や再起動[Other]: その他 o SPAM メールの受信

o 弱点探索(サーバプログラムのバージョンのチェックなど)
o 侵入行為の試み(未遂に終わったもの)
o ワームの感染の試み(未遂に終わったもの)

o From: 欄などの詐称

o システムへの侵入や改ざん
o DDoS 用プログラムの設置(踏み台)o ワームの感染

o コンピュータウィルスの感染

Copyright© 2007 JPCERT/CC All rights reserved.

8インシデントの例
１．ウェブサーバへの侵入被害
侵入・改ざん
攻撃者
一般ユーザ
誤情報の入手検知・対応

システム管理者
Copyright© 2007 JPCERT/CC All rights reserved.

9インシデントの例
２．DNSサーバへの大量アクセス
ボットネット
大量の
アクセス

攻撃者
攻撃命令

DNSサーバ
検知・対応

システム管理者

アクセス
できない

一般ユーザ
Copyright© 2007 JPCERT/CC All rights reserved.

10インシデントの例
３．フィッシングサイト
攻撃者
侵入・改ざんID/PWの入力

検知・対応

JPCERT銀行
フィッシングサイト
偽サイトへ誘導されてしまう

被害サーバのシステム管理者

一般ユーザ

顧客の損失
JPCERT銀行の本物サイト
Copyright© 2007 JPCERT/CC All rights reserved.

11フィッシングサイト：どっちが本物？

Copyright© 2007 JPCERT/CC All rights reserved.

12インシデントの例
4. マルウェアやウィルスの被害
悪意のあるファイルへアクセス

ダウンロード悪意のあるサイト

攻撃者

F
i
r
e
W
a
l
l

社内ユーザA
マルウェアによる攻撃活動

社内ユーザB

Copyright© 2007 JPCERT/CC All rights reserved.

13インシデントへの対応
 インシデント発生時にどのように動くか？
 組織内での取り決めや担当者は明確か？
 同じ失敗を繰り返していないか？
 効果的な「インシデント対応」とは？
Copyright© 2007 JPCERT/CC All rights reserved.

脆弱性とは？
 経済産業省告示では以下のように定義


ソフトウエア等において、コンピュータウイルス、コンピュータ不正アクセス等の攻撃によりその機能や性能を損なう原因となり得る安全性上の問題箇所。ウェブアプリケーショ
ンにあっては、ウェブサイト運営者がアクセス制御機能により保護すべき情報等に誰もがアクセスできるような、安全性が欠如している状態を含む。

 わかりやすくいえば「セキュリティホール」
 英語では Vulnerability（バルネラビリティ）
 「システムの脆弱性」もありますがここではソフ
トウェアやハードウェアの脆弱性のことを指します
Copyright© 2007 JPCERT/CC All rights reserved.

脆弱性案件の種類
 特定の製品開発者における特定の製品に関わる脆弱性
 例えば、マイクロソフトの Windows の脆弱性

 複数の製品開発者にまたがる、汎用技術の根本的な問題による脆弱性
 通信プロトコル（TCPなど）の脆弱性
 ライブラリ（zlibなど）の脆弱性
 etc…
Copyright© 2007 JPCERT/CC All rights reserved.

16

脆弱性の例
１．OS の脆弱性
脆弱性のあるOS
攻撃
攻撃者

パッチの適用パッチの開発と配布

一般ユーザ

脆弱性発見者報告Copyright© 2007 JPCERT/CC All rights reserved.

開発者

脆弱性の例
２．ハードウェアの脆弱性
脆弱性のあるルータ
攻
撃
攻撃者
動作検証と
パッチの適用
開発者
パッチの取得ネットワーク管理者

パッチの開発と配布

Copyright© 2007 JPCERT/CC All rights reserved.

脆弱性の例
３．プロトコルの脆弱性
脆弱性のあるプロトコル通信
TCP/IP
一般ユーザ
サーバ

攻撃

Copyright© 2007 JPCERT/CC All rights reserved.

SCADAシステムの脆弱性
 増加するSCADAシステム
関連脆弱性
件数

7

6

5

4

3

2

1

0
2005

2006

2007/1～5
年/月

CERT/CCで公開されたSCADA関連脆弱性

 日本でも情報を公開■ JVNVU#296593:
NETxAutomation 社製 NETxEIB OPCServerに
OPC server handle を適切に処理できない脆弱性■ JVNVU#202345:
デバイスエクスプローラMELSEC OPC サーバに
バッファオーバーフローの脆弱性■ JVNVU#346577:
デバイスエクスプローラ MODBUS OPC サーバに
バッファオーバーフローの脆弱性■ JVNVU#926551:
デバイスエクスプローラ TOYOPUC OPC サーバに
バッファオーバーフローの脆弱性■ JVNVU#581889:
デバイスエクスプローラ SYSMAC OPC サーバに
バッファオーバーフローの脆弱性■ JVNVU#907049:
デバイスエクスプローラ FA-M3 OPC サーバに
バッファオーバーフローの脆弱性■ JVNVU#347105:
デバイスエクスプローラ HIDIC OPC サーバに
バッファオーバーフローの脆弱性

Copyright© 2007 JPCERT/CC All rights reserved.

20

脆弱性への対応（システム運用）
 組織内で使われているシステムに関する脆弱性の情報を収集しているか？
 個々の脆弱性情報への対応の判断はどのように行っているか？
 パッチやワークアラウンドの適用における問題点とは？
Copyright© 2007 JPCERT/CC All rights reserved.

21

脆弱性への対応（製品開発）
 開発している製品への脆弱性対応はどのように行われているか？
 報告窓口は設置・公開されているか？
 脆弱性を作り込まない開発を行っているか？

Copyright© 2007 JPCERT/CC All rights reserved.

22インシデント・脆弱性のここ数年の傾向
 攻撃の規模：大規模→局所化
 特定の組織・個人を狙った攻撃 targeted attack (標的型攻撃) 愉快犯→金銭目的
 国際的には法的な面での整備も進み「犯罪」として法執行機関が動く体制

Copyright© 2007 JPCERT/CC All rights reserved.

23

JPCERT/CC の活動内容
 インシデントレスポンス
 定点観測事業
 脆弱性ハンドリング
 早期警戒 ボットネット対策
Copyright© 2007 JPCERT/CC All rights reserved.

24インシデントレスポンス
 「CSIRT of CSIRTs」
CSIRT (Computer Security Incident Response Team）間の連携をコーディネート

インシデントレスポンスの時間短縮による被害最小化
再発防止に向けた関係各機関の情報交換および情報共有
インシデント報告件数の推移

2004年

5196

2003年

3457

2002年

1435

2001年

2853

2000年
1999年
1998年
1997年

企業CSIR T

ISP C SIR T

2226

イ ン シデン ト 情報

JPCER T/CC

イ ン シデン ト 情報

サービ ス
イ ン シデン ト
情報の交換

788

情報交換
情報交換

923

FIRST、
A PCER Tなどの
海外CSIRT

492

1996年 13

学識経験者、関連団体などのご協力者

官公庁、政府関係機関などの
国内協力組織01000 2000 3000 4000 5000 6000
※JPCERT/CC が1996年から2004年に受領したインシデント報告

Copyright© 2007 JPCERT/CC All rights reserved.

25インシデント報告の受付
 JPCERT/CCでは国内外からのインシデント
報告を受け付けています インシデント報告の届出
http://www.jpcert.or.jp/form/ 報告の目的を記載
 インシデントの情報提供 質問（インシデント対応に関するもの）
 関係サイトへの連絡 その他
Copyright© 2007 JPCERT/CC All rights reserved.

26

インシデントハンドリングの国際連携
2．検知

6. 対応

1．不審なアクセス
インシデント発生サイト

アクセス元ホスト
5. 協力依頼

3．報告

国内ISPなど

CSIRT間ネットワーク
JPCERT/CC

日本

4. 連携

Copyright© 2007 JPCERT/CC All rights reserved.

海外CSIRT
CNCERT・KrCERTなど

A国

27

インシデントハンドリングの国際連携
 国際連携によって越えられる壁 言語の違い 文化の違い
 法律・制度の違い

 各国CSIRT間の連携・協調活動として最も進んでいる分野
Copyright© 2007 JPCERT/CC All rights reserved.

28

JPCERT/CCへのインシデント報告件数の推移

Copyright© 2007 JPCERT/CC All rights reserved.

29

「フィッシングサイト」のコーディネーション
 2004年4月からコーディネーションを開始
 国内、海外からの報告

 インシデントの一形態（不正侵入）として取り扱う
 該当サイトの連絡先を探して通知(whois データベースを使用)

管理者の意図しないページ公開の停止依頼
Copyright© 2007 JPCERT/CC All rights reserved.

30フィッシングサイト報告件数（月別）
フィッシング情報報告件数の月次推移
件数
100

80

60

40

20

0
4 5 6 7 8 9 10 11 12 1 2 3 4 5 6 7 8 9 10 11 12 1 2 3 4 5 6 7 8 9 10 11 12 1 2 3 4 5 6
2004

2005

2006

Copyright© 2007 JPCERT/CC All rights reserved.

2007

月
年

31

フィッシングサイト閉鎖事例１
 2005年3月に韓国、ポーランド、ウルグアイに開設されていたUFJ銀行のフィッシングサイ
トを閉鎖した事例を紹介します 2005年3月19日付
 日経新聞 朝刊
 NIKKEI NET

Copyright© 2007 JPCERT/CC All rights reserved.

32フィッシングコーディネーション事例
 2005年3月：UFJ銀行のフィッシングサイトのURLが日本国内からJPCERT/CCに報告される
 3ヵ国：韓国、ポーランド、ウルグアイ （Whois を使用）

 CSIRTの国際連携ネットワークを活用しJPCERT/CCから韓国、ポーランドへ連絡 韓国KrCERT/CC
 4時間後に停止を確認 ポーランドCERT Polska
 20時間後に停止を確認
 ウルグアイは…？
Copyright© 2007 JPCERT/CC All rights reserved.

33フィッシングコーディネーション（続き）
ウルグアイ

メキシコ

現地から連絡JPCERT/CC
フィッシングサイトが協力を要請 （国際的なコミュニティ）存在するIPアドレスを
現地ISPに英語で連絡
管理しているISP
サイトの閉鎖を確認

アルゼンチン

Copyright© 2007 JPCERT/CC All rights reserved.

34インシデント対応事例２（フィッシングサイト閉鎖コーディネーション）
日本

米国
②

国内組織

報告

直接停止依頼
①

③

ISP-A

停止
⑤

④
通知連絡

フィッシングサイト

某A社が直接連絡したが、フィッシングサイトが停止せず
35
Copyright© 2007 JPCERT/CC All rights reserved.
JPCERT/CCへ報告しコーディネーションした結果フィッシングサイトが停止した

国内のフィッシング動向
 国内金融機関のフィッシングサイトの増加
国内金融機関を装ったフィッシングサイトに関する注意喚起(2007-04-03)
http://www.jpcert.or.jp/at/2007/at070009.txt

 国内のサーバに侵入されフィッシングサイトにされてしまう サーバ管理者への働きかけが必要 自社のフィッシングサイトの可能性は?
Copyright© 2007 JPCERT/CC All rights reserved.

36フィッシングに関わる国際的な情勢
海外での事例
 海外事例：フィッシングは ”金融犯罪”
 法体制の整備→ 個人情報の窃盗としての扱い→ 捜査官へのトレーニングの実施

 報告受付体制の整備→ 米国においてはFBIとUSSSがそれぞれで設置

 官民の連携体制の整備→ リソースの共有、役割の分担など
 業界での取り組み
Copyright© 2007 JPCERT/CC All rights reserved.

37

インターネット定点観測事業


インターネット定点観測システム
ISDAS：Internet Scan Data Acquisition System
http://www.jpcert.or.jp/isdas/
インシデントの早期把握のための観測および情報提供 定期的なセキュリティ予防情報の提供
 異なる監視・観測アプローチをとる定点観測および広域モニタリング間での情報共有により精度の高い情報共有

Copyright© 2007 JPCERT/CC All rights reserved.

38

ISDAS 概論
 理念
 インターネット上に何が起きているのか、リアルタイムの状況や兆候を把握することができれば未然に対応することも可能になるのではないか？

 概説
 ISDAS ではスキャンパケットの観測を目的
 各センサーが記録したログ情報を元に、公開グラフ
を生成

Copyright© 2007 JPCERT/CC All rights reserved.

39

SCAN

ISDAS システム概要

REPORTREPORT

SCAN

Internet

REPORTREPORT

SCAN
センサー群
SCAN

Copyright© 2007 JPCERT/CC All rights reserved.

ISDAS
40
システム

センサーとは?
 インターネットから来るスキャンパケットを収集しISDASシステムへ送信しているbox
 センサーが収集している情報
 時刻
 プロトコル(TCP/UDP/ICMP)
 送信元IPアドレス
センサー 送信元ポート番号
 送信先IPアドレス
 送信先ポート番号(イメージ図)Copyright© 2007 JPCERT/CC All rights reserved.

41

アクセス先ポートグラフ

Copyright© 2007 JPCERT/CC All rights reserved.

42

アクセス元地域別グラフ

Copyright© 2007 JPCERT/CC All rights reserved.

43

ポート別グラフ

Copyright© 2007 JPCERT/CC All rights reserved.

44

収集データの利用方法
Web を通じたグラフによる情報公開
http://www.jpcert.or.jp/isdas/

注意喚起等公開情報発行時の参考資料
IODEF形式にて海外CSIRTへの情報連携※IODEF：Incident Object Data Exchange Format の略でインシデント情報を交換する際に利用可能なXMLフォーマット

他の定点観測事業者との情報共有
 警察庁 サイバーフォースセンター 情報処理推進機構（IPA） セキュリティセンター
 インターネット早期広域攻撃警戒システム「WCLSCAN」
 Telecom-ISAC Japan
Copyright© 2007 JPCERT/CC All rights reserved.

など
45

ISDASデータ：
中国・韓国・オーストラリアへの情報連携
 ISDASにて収集した各国発のスキャンデータを
IODEF形式で送信 1日分を毎日送信 src_ip, src_port, dest_port, protocol timestamp を送信
 各国にて情報分析・インシデントの対応に利用

Copyright© 2007 JPCERT/CC All rights reserved.

46

脆弱性情報ハンドリング事業
 「ソフトウェア等脆弱性関連情報取扱基準」（2004年7月：経産省告示）認定調整機関

登録開発ベンダ向けに、脆弱性関連情報を提供し対応依頼
国際的に情報公開日を調整

JPCERT/CCとの製品開発者のハンドリング （やり取り）フロー図
海外CSIRT、IPA
脆弱性情報の連絡

JPCERT/CC

製品開発者

受付
脆弱性情報概要、調査依頼

情報のやりとり情報提供サイトJVN（Japan Vulnerability Notes）

受付

脆弱性詳細情報要求
脆弱性詳細情報
詳細情報を送付した製品開発者リスト等

調整

調査報告、該当製品の有無
対応方針、スケジュール

公表日通知

公表日通知、対策スケジュール調整

情報のやりとり公表用対策情報

調査・検査
調整
対策
公表準備

http://jvn.jp/

一般公表

Copyright© 2007 JPCERT/CC All rights reserved.

47

 ソフトウェア脆弱性の発見は増加の一途
 年間8,000件あまりの脆弱性(2年間で2倍、10年間で20倍以上)

9000
8000
7000

件数

6000
5000
4000
3000
2000
1000

このままでは現実的な対応が困難に!

01995 1996 1997 1998 1999 2000 2001 2002 2003 2004 2005 2006
年
CERT/CC に届け出られた脆弱性件数

Copyright© 2007 JPCERT/CC All rights reserved.

48

ソフトウェア開発者にとって脆弱性の存在は不可避 全ての攻撃に備えることは不可能
 日々新たな攻撃手法が出現

 開発が大規模になればなるほど、既知の脆弱性対策の反映が困難
 脆弱性情報の収集と取り纏め
 外部委託先での管理 製品に脆弱性が発見された場合に、ユーザに不安を与えず、冷静に対処してもらうことが重要
情報公開の姿勢と仕組みが必要
Copyright© 2007 JPCERT/CC All rights reserved.

49

－ JPCERT/CCの脆弱性情報ハンドリング －情報セキュリティ早期警戒パートナーシップ
 脆弱性関連情報を、適切な関係者へ事前に開示し、被害を最小限に食い止めるためのプロセス 未公開脆弱性情報の受付 ⇒ 検証 ⇒ 製品開発者に開示
 国外の関係機関（CERT/CC、CPNI等）と連携し、国内外の製品開発者へ情報展開
 関係するすべての製品開発者が同時に情報公開するよう調整
 脆弱性情報ポータルサイト（JVN）を運営し、脆弱性情報と各社の対応を公開 経済産業省告示 「ソフトウェア等脆弱性関連情報取扱基準」 に基づく活動
 JPCERT/CCが調整機関として指定されている
 JEITA、JNSA、JISA、CSAJ、IPA、JPCERT/CC が協
同で「情報セキュリティ早期警戒パートナーシップ」ガイド
ラインを策定Copyright© 2007 JPCERT/CC All rights reserved.

50

脆弱性情報ハンドリング開始前
発見者

ウェブサイトなど

開発者

発見

公表

認知

攻撃者

対策策定
ユーザ
公表

攻撃
Copyright© 2007 JPCERT/CC All rights reserved.

51

脆弱性情報ハンドリング開始後
開発者

発見者

受付機関・調整機関

報告

受付・調整

認知

JVN

対策策定

公表

攻撃者

対策

ユーザ

攻撃
Copyright© 2007 JPCERT/CC All rights reserved.

52

－ JPCERT/CCの脆弱性情報ハンドリング －脆弱性情報流通の枠組み
海外の
海外の
情報源
情報源

CERT/CC
CERT/CC

ネット上
ネット上
の情報
の情報

通知

海外の
海外の
情報源
情報源

脆弱性の検証
対策の作成

収集

CPNI
CPNI

JPCERT/CC
JPCERT/CC

脆弱性情報
の開示、
公表日程
の調整

メーカ1
メーカ1

エンド
エンド
ユーザ
ユーザ

メーカ2
メーカ2

企業
企業
ユーザ
ユーザ
SIer
SIer

メーカ3
メーカ3

通知

脆弱性の
脆弱性の
発見者
発見者

IPA
IPA
受付
分析

ISP
ISP

メーカ4
メーカ4

脆弱性情報
の報告
該当する
メーカを抽出し
情報配信

対策情報の
とりまとめ

対策情報
の提供

メーカ5
メーカ5

JVN
JVN
（脆弱性情報ポータル）（脆弱性情報ポータル）

Copyright© 2007 JPCERT/CC All rights reserved.

日程を
日程を
合わせて
合わせて
公表
公表

小売り
小売り

マスコミ
マスコミ

53

－ JPCERT/CCの脆弱性情報ハンドリング －国際的な枠組みについて
海外の
海外の
メーカ
メーカ

海外の
海外の
メーカ
メーカ
コーディネーション

海外の
海外の
メーカ
メーカ

海外の調整機関
海外の調整機関
CERT/CC
CERT/CCCPNICPNI 等
等

一般公開
JVN
JVN

情報共有
JPCERT/CC
JPCERT/CC
コーディネーション
日本国内
日本国内
日本国内
日本国内
のメーカ
のメーカ
のメーカ
のメーカ
Copyright© 2007 JPCERT/CC All rights reserved.

日本国内
日本国内
のメーカ
のメーカ

54

－ JPCERT/CCの脆弱性情報ハンドリング －脆弱性情報の一般公開の調整
 隠しておくのは得策ではない
 情報公開により、脆弱性をユーザに周知し、対策の適用を促す
 いずれ悪意の第三者が脆弱性を発見し、攻撃に利用される可能性

 「公表日一致の原則」の遵守
 脆弱性情報と、対策情報を同時に公開する
 脆弱性の影響を受けるすべての製品開発者が同時に情報公開する

 すべての関係者が同時に情報公開するよう日程調整
 脆弱性の影響を受ける製品を開発するすべてのベンダ
 海外の調整機関や製品開発者を含む
 発見者の要望が影響する場合もある
Copyright© 2007 JPCERT/CC All rights reserved.

55

－ JPCERT/CCの脆弱性情報ハンドリング －発見者と製品開発者の間の調整

脆弱性の
発見者

IPA
IPA

JPCERT/CC
JPCERT/CC

製品開発者

脆弱性の事象の確認
異なる見解・モチベーションの調整

Copyright© 2007 JPCERT/CC All rights reserved.

56

－ JPCERT/CCの脆弱性情報ハンドリング －製品開発者にとってのメリット
 製品に関係する脆弱性情報を早期に入手し、一般公開
前から余裕をもって対応を始めることができる
 脆弱性情報の公開と同時に対策情報を公開することで、ユーザへの影響を低減できる
 製品開発者間の調整、発見者との調整を、中立な第三者機関（JPCERT/CCとIPA）がおこなう
 脆弱性情報・対策情報の告知媒体として、JVNを利用できる
 http://jvn.jp/

Copyright© 2007 JPCERT/CC All rights reserved.

57http://jvn.jp/

Copyright© 2007 JPCERT/CC All rights reserved.

58

早期警戒

Copyright© 2007 JPCERT/CC All rights reserved.

59

早期警戒活動

国内の重要なポイントへの分析情報の発信と組織内対応体制の構築・活動支援
 一般への告知
 国内のCSIRTs
 国内の重要インフラ事業者

ISDAS

Web

APCERT

FIRST

情報
CERT

収集・分析・発信
CSIRTマテリアル

組織内CSIRT

情報の収集・分析・発信CSIRT 構築・活動支援
 組織内対応体制構築の支援
 CSIRTマテリアルの提供
 CSIRT協議会の運営

情シス

開発

経営

営業

広報

法務

組織内における円滑なインシデント対応
Copyright© 2007 JPCERT/CC All rights reserved.

60

“Watch and Warning”
情報収集・分析・発信 さまざまなポイントからの継続的かつ網羅的な情報収集
 国内外関係組織から得られる情報
 Webで一般公開されている情報
 JPCERT/CC内部の分析機能を活用した情報分析
 脆弱性分析 マルウェアやフィッシングサイトなどの解析
 リスク分析 一般情報公開のほか、特定の組織、組織内CSIRTへの情報発信 一般への注意喚起情報の発信 特定組織への早期警戒情報の発信
 Weekly Report の週次発行
 その他
Copyright© 2007 JPCERT/CC All rights reserved.

61

早期警戒情報提供スキーム
早期警戒情報の特性を踏まえた登録審査とWAISE(仮称)との関係

１．不安情報とならないための方策
２．発信効果を最大化するための方策
３．利活用を促進させるための方策

未公開情報

特性

・早期警戒情報・正確性より即時性を重視--多面的検証や校正時間を節約
・サイバー空間の（非技術的な）脅
威情報の取り扱いも不安情報となる
可能性

ケア

公開情報

・注意喚起
・JVN (Japan
Vulnerability Notes)
・週次レポート
・注意喚起
・緊急報告
・技術メモ
・活動概要
・お知らせ
など

ユーザーサイドのセキュリティ対策運用状況
保有システム特性
ヒアリング
組織構成
ヒアリング

スコアリング指標

・発信情報のフィルタ--対策が可能な脅威情報のみ発信する--情報に対するカテゴリ設定

発信先組織の登録と審査

脅威情報分析対策支援サービス
セキュリティ確保状況
審査会議設置ヒアリング
62
Copyright© 2007
JPCERT/CC All rights reserved.
と審査基準策定

組織内における脆弱性対応のサポート
 KENGINEプロジェクト
KENGINE 米国CERT/CCとJPCERT/CCによる、2005年度共同プロジェクト ツールのコンセプトを共同企画し、システム仕様を
CERT/CCが担当、実装(ツール開発)を
JPCERT/CCが担当
 2006年度、拡張仕様の策定
 2007年度、実装と運用開始

Copyright© 2007 JPCERT/CC All rights reserved.

63

このプロジェクトの発端となった問題



組織の限られたリソースの中で、年間8000件以上収集される脆弱性にどのように対応すべきか？
 以下のような問題設定として考える：[d1] そもそも対応すべきなのか？
[d2] 対応するとすればどのような対応をすればよいのか？
優先順位をつける際、一貫した判断基準に結びつく分析、理由付けが必要
脆弱性対応をするシステム管理者の、適切な対策支援
今日も脆弱性が沢山来ているな…
緊急に警戒情報を出す必要のあるものはあるかな?

本日の脆弱性
XX、CC、SS、RR、TTT,ooooo

Copyright© 2007 JPCERT/CC All rights reserved.

64

脆弱性脅威度スコアシステムは巷に多数あるが
 全てのユーザーに、脅威度をスコアする計算式(アルゴリズム)がひとつはおかしい。
 例えば脆弱性の事実情報に関しても、その重みはユーザー別に異なるはず 侵入よりもサービス妨害が最も脅威である組織
 バッファーオーバーフローについては、別途回避対策導入
している組織 内部の信頼できる組織のスタッフがローカルアカウントのみでシステムにアクセスしている組織
 数字で点数を出すこと、色分けなどの意味
 自分の組織に置ける脅威度を測らずに、平均値数で対応が取れるのか。
 スコア7.0 = 具体的な対策は? 7.0とはどういう意味か?
 脅威度中 = どういう意味? どんな対策を取ったら良いの?
Copyright© 2007 JPCERT/CC All rights reserved.

65

KENGINEとは
KENGINE
 分析者の判断ロジック(組織の判断基準に基づく)をシス
テム化できるツール。
 そのためKENGINEは、個別組織の判断基準に基づいた、とるべき対策を、脆弱性毎に具体的に提案できる。

対応策の提示脆弱性情報

Copyright© 2007 JPCERT/CC All rights reserved.

66

KENGINEツールの効果
KENGINE KENGINEは、組織として一貫性のある脆弱性情報の分析と適切な対策アクションを提示する

 その結果 判断の一貫性の確保する 意思決定の質を向上させる
 対応の判断を容易に下せるようにすることで、最小限の努力で多数の脆弱性を扱えるようになる
Copyright© 2007 JPCERT/CC All rights reserved.

67

KENGINEの使い方：全体像
KENGINE
セットアップステージと、ラーニングサイクル
KENGINEセットアップ= 意思決定を左右する要素の定義、設定
脆弱性情報

学習サイクル
知識の蓄積

対策デシジョン

（対策アクション履歴の蓄積）蓄積された知識をインプット
ルール策定機能使用

学習サイクルアウトプット=意思決定ルール
定期的にルール策定機能使用
常に学習

脆弱性情報

実働&学習サイクル
知識の蓄積

対応策の提示（対策アクション履歴の蓄積）対策デシジョンCopyright© 2007 JPCERT/CC All rights reserved.

68分析者の頭のロジックをシステム化:
KENGINEセットアップ
KENGINE
脆弱性情報が入ってきた際、分析対策担当者が考慮している
意思決定を左右する要素をダンプしてシステム化する。
この製品は、うちの組織
でどのくらい使われていたかな?
セキュリティ製品が影響をうけるのか、しかもインシデントが既に発生しているという状況か。

これは、基幹サービスを提供するシステムの認証に実装されている。やばいぞ。

すぐに、調査依頼を発行、パッチの検証を始めなくてはいけないぞ。

具体的なシステム化方法：
KENGINEカスタマイズ設定者が、脆弱性を通常取り扱う分析者(システム管
KENGINE理者など)から、ヒアリングを行い、意思決定を左右する要素を導出する。
Copyright© 2007 JPCERT/CC All rights reserved.

69

意思決定ルールの策定:
学習サイクル 意思決定ルールとは
 分析項目(Q&A)、分析値(重み付け)、対策アクシ
ョンの依存関係のこと
分析項目： この製品は、うちの組織でどのくらい使われていたかな?

分析値： これは、基幹サービ
スを提供するシステムの認証に実装されている。やばいぞ。

具体的なシステム化方法：
依存関係を、ツリー構造でモデル化する。
（モデル化は利用者の思考ロジックを元に定義するか、あるいは、蓄積された分析結果と対策アクションの履歴を元に自動生成することが可能）

対策アクション： すぐに、調査依頼を発行、パッチの検証を始めなくてはいけないぞ。

Copyright© 2007 JPCERT/CC All rights reserved.

70

脆弱性分析値から、対策アクションを提示:
実稼動サイクル & 意思決定ルールの最適化


導出された分析値は、対策アクションの依存関係を表現したディシジョンツリーによって評価され、その結果として実施することが望ましい対策アクションが提示されます。
例：JPCERT/CCでは

すぐにベンダに通知して、
KENGINEにより機械的に提示された結果と、
KENGINE
警戒情報を出す準備を始め
本来望ましい結果の差異を修正することにより、たほうが良いKENGINEはこの差異をその後行われる
KENGINE
推論に反映しますので、同オペレーション
メディアの注目度が高を繰り返すことにより、より最適化された
いことが予想されるな。
推論結果を得るサイクルを実現することができます。
日本における利用規模は大きいし、複数の製品が影響受けているぞ
この脆弱性は、技術的には簡単に攻撃できて、特権レ
Copyright© 2007 JPCERT/CC All rights reserved.
ベルが取られるぞ。

71

KENGINE画面イメージ
脆弱性情報レポートの分析

Copyright© 2007 JPCERT/CC All rights reserved.

72

KENGINE画面イメージ
ディシジョン

Copyright© 2007 JPCERT/CC All rights reserved.

73

KENGINE画面イメージ
脆弱性情報レポート一覧

Copyright© 2007 JPCERT/CC All rights reserved.

74

KENGINE画面イメージ
優先度でソートされたタスク一覧

Copyright© 2007 JPCERT/CC All rights reserved.

75

KENGINE画面イメージ
タスクの一覧

Copyright© 2007 JPCERT/CC All rights reserved.

76

KENGINE画面イメージ
タスクの優先順位設定

Copyright© 2007 JPCERT/CC All rights reserved.

77ボットネット対策
 ボットネットのおさらい 脅威の変化 JPCERT/CCの取り組み サイバークリーンセンター

 ユーザの対策

Copyright© 2007 JPCERT/CC All rights reserved.

78

ボットネットのおさらい
犯罪組織・スパム業者

DDoS
Internet
HERDERTARGET

C&C

感染したコンピュータ
Copyright© 2007 JPCERT/CC All rights reserved.

79

- ボットネットのおさらい -ボットとは…
 マルウェア(広義のウィルス)の一形態
 Malicious Software Robot 複数の機能をあわせもつ 感染(脆弱性, 便乗, ソーシャルエンジニアリング, …)
 情報収集(アカウント情報, 脆弱なシステムの情報, …)
 攻撃(DDoS, スパム, …)
 自己防衛(暗号化, 難読化, ”Anti-”技術, …)
 遠隔制御・管理(IRC/P2P, バージョンアップ, …)Copyright© 2007 JPCERT/CC All rights reserved.

80

- ボットネットのおさらい -ボットネットとは…
 ボットで構成されたネットワーク
 指令者によって運用される
 ハーダー(HERDER)/マスター(MASTER)
 C&C(Command and Control) 堅牢な分散システム
 暗号化・難読化による安全(?)性 冗長化による高可用性 カスタマイズや管理・運用が容易
Copyright© 2007 JPCERT/CC All rights reserved.

81

- ボットネットのおさらい -注目すべき点は?
 OSS的な開発手法
 無数の亜種が発生
 標的型攻撃(Targeted Attack)の温床 ビジネス化 成果だけでなく機能として売買される
 「潜む」ことで安定的に継続稼動

マルウェアは本格的な実用段階に
Copyright© 2007 JPCERT/CC All rights reserved.

82

脅威の変化：マルウェアの進化

Copyright© 2007 JPCERT/CC All rights reserved.

AgobotP2P/複合型
ボットネットIRC
ボットネット

SPAM中継型ウイルス

Bugbear
Opaserv
FizzerSobig
mydoomAgobotSDBot
Kaiten
バックドア型
ウイルス

制御可能なシステムまたはネットワーク

CodeRedMS Blast

操作可能な
多数の個体

DDoS型
ウイルス

ウイルス
ワーム
Web Malcode
DDoS
バックドア
SPAM
IRC BOTP2P通信技術

複合型
Nimda
ウイルス

操作・制御機能なし(Automan)83

- 脅威の変化 -侵入・感染に使われる技術 ソフトウェアの脆弱性
 アカウントへの辞書攻撃
 他のマルウェアに便乗 ソーシャルエンジニアリング的手法
 個人情報や組織内情報の漏洩が温床に

ダウ
ンロ

ーダ

本体

Copyright© 2007 JPCERT/CC All rights reserved.

84

- 脅威の変化 -自己防衛に使われる技術(1) パッキング 自己解凍実行形式
 ほとんどのマルウェアが何らかの形でパッキング 複数のパッキングを使っているマルウェアも

 暗号化・難読化 API呼び出しの変造
APIを直接呼ばずに専用の関数を実装
 文字列のエンコード
URL等のハードコードされる文字列
Copyright© 2007 JPCERT/CC All rights reserved.

85

- 脅威の変化 -自己防衛に使われる技術(2) “Anti-”技術
 デバッガ・仮想化環境～デバッガや仮想化環境を検知して挙動を変える～
 IsDebuggerPresent(), 割り込み, …
 デバイス名, ホスト・ゲスト間の通信インターフェイス, …

 アンチウイルス アンチウイルスソフトのプロセスを停止
 アンチウイルスベンダのサーバへのアクセスを妨害

Copyright© 2007 JPCERT/CC All rights reserved.

86

- 脅威の変化 -最近の傾向
 技術の複合化
 「より大きな脆弱性」=「人」への流れ
 一般利用者に近い場面での脆弱性
 標的型攻撃(Targeted Attack) 攻撃技術は「短時間化」と「多様化」

 ビジネスとしての確立
 自己顕示から金銭目的へ 現実社会における犯罪との関連
 流行を避けて潜む
Copyright© 2007 JPCERT/CC All rights reserved.

87

JPCERT/CCの取り組み
 インシデントレスポンス
CSIRTの構築
業種・地域・管轄・分野を越えた連携

 脆弱性情報取り扱い
情報の適切なコントロール
設計開発・品質管理へのフィードバック 脅威分析・研究
ボットを始めとするマルウェアの分析
短期と中長期の両方の視点から対策を検討
Copyright© 2007 JPCERT/CC All rights reserved.

88

- JPCERT/CCの取り組み –マルウェア分析 捕獲 インシデント報告
 ハニーポット・ダウンロード

 解析
 動的解析
 静的解析

 成果
 捕獲・解析手法の改善と共有 傾向・統計
Copyright© 2007 JPCERT/CC All rights reserved.

89

- JPCERT/CCの取り組み -解析手法
Blackbox

Whitebox

静的

Surface分析(狭義の)静的解析

動的(狭義の)動的解析

デバッギング～リバースコードエンジニアリング～

Copyright© 2007 JPCERT/CC All rights reserved.

90

- JPCERT/CCの取り組み -分析におけるリスク
 捕獲・分析手法
 法律への抵触
 手法の進歩がマルウェアの進化を促す
 “Anti-”技術はダマシ合い
 暗号化・難読化には無数の選択肢

 検体や分析結果の取り扱い
 インシデント情報の混入
 漏出による二次被害
Copyright© 2007 JPCERT/CC All rights reserved.

91

- JPCERT/CCの取り組み -調査/研究資料 http://www.jpcert.or.jp/
Home>公開情報>調査/研究 2006年7月20日公開
 ボットネット概要

 2007年6月21日公開
 マルウェアの最近の傾向とウェブアプリケーションの脆弱性を狙うボットの実態
 P2P型ボット分析レポート
Copyright© 2007 JPCERT/CC All rights reserved.

92

- JPCERT/CCの取り組み -CCC(サイバークリーンセンター)

サイバークリーンセンター(https://www.ccc.go.
jp/ )（ トレンドマイクロ ）Copyright© 2007 JPCERT/CC All rights reserved.

93

- JPCERT/CCの取り組み -各グループの役割
ボット対策システム運用グループ

おとりコンピュータ
おとりコンピュータ(ハニーポット)(ハニーポット)

ボット対策プログラム解析

ボット感染予防推進

グループ

グループ

BOT検体をアーカイブ化

検体を提供

The
The
Internet
Internet

BOT検体を収集駆除ツール提供

BOTを検知・駆除BOT検体を解析

共同ポータル
共同ポータル(駆除ツール提供サイト)(駆除ツール提供サイト)

駆除ツールを作成(CCCクリーナー)

パターンファイルを各セキュリティベンダのアンチウイルスソフト製品に反映

駆除ツールの動作確認
アンチウイルスソフト製品を購入したユーザへ還元

感染ユーザ
感染ユーザ

ISPからBOT感染通知

ISPオペレータ
ISPオペレータ

Copyright© 2007 JPCERT/CC All rights reserved.

一般ユーザ
一般ユーザ

94

- JPCERT/CCの取り組み -活動状況(2007年6月末時点)

ボット対策システム運用
ボット対策システム運用
グループ
グループ

ボットプログラム解析
ボットプログラム解析
グループ
グループ

収集検体総数

1,374,606

更新回数

同定検体数

69,803

確認検体数65,546

未知検体数

4,446

作成検体数

3,567

Copyright© 2007 JPCERT/CC All rights reserved.

2295

- JPCERT/CCの取り組み -収集検体トップ5(2007年2～6月)

Copyright© 2007 JPCERT/CC All rights reserved.

96ユーザの対策
 ウイルスの一種としてウイルスと同じ対策から始める ボットとしてボットに弱点はないか?
ボットの特徴を活かせないか?

特効薬はあるのか？

Copyright© 2007 JPCERT/CC All rights reserved.

97

- 対策 -

体調管理
 セキュリティのための習慣
 Webサイトへのアクセス メールの添付ファイル・HTMLメール

 セキュリティアップデート
 脆弱性を利用するものは少なくない
ボット詳細解析(20検体)
 脆弱性を利用する可能性があるものが8検体
 それぞれが複数(3～12種類)の脆弱性を利用
MS02-039, MS02-061, MS03-007, MS03-026, MS03-049,
MS04-007, MS04-011, MS04-012, MS05-039, …

→ 未知の脆弱性は防げない
Copyright© 2007 JPCERT/CC All rights reserved.

98

- 対策 -

免疫力の維持 ファイアウォール
 ワーム型ウイルスに有効
 ブロードバンドルータのNAT/NAPT機能でも有効→ UPnPや簡易DMZのような機能に注意 セキュリティ対策ソフトウェア
 アンチウイルス→ 必ずしもすべてのボットに対応できるわけではない スパム・フィッシング対策

Copyright© 2007 JPCERT/CC All rights reserved.

99

- 対策 -

ボット対策の問題点
 潜行化
 ボット化したら見た目では発見不可能
 通信プロトコルとしてHTTPを使うものも 組織化

ひとりひとりの意識を高めて総合的な対策力を向上させる
Copyright© 2007 JPCERT/CC All rights reserved.

100

JPCERT/CCと海外組織との連携

Copyright© 2007 JPCERT/CC All rights reserved.

101

国際フレームワーク：FIRST
http://www.first.org/

 Forum of Incident Response and Security Teams
 1990年に CERT/CC などが中心となって設立
 世界中の CSIRT 同士の交流を目的にした組織
http://www.first.org/team-info/
 年に一度の国際会議の開催（２００７年はスペイン） インシデント対応 (Incident Response) の国際協力
 世界から180以上のチーム40ヵ国以上が参加

Copyright© 2007 JPCERT/CC All rights reserved.

102

FIRST 参加チームマップ

Copyright © by FIRST.org, Inc.
Copyright© 2007 JPCERT/CC All rights reserved.

103日本からのFIRST加盟チーム

Copyright © by FIRST.org, Inc.
Copyright© 2007 JPCERT/CC All rights reserved.

104

JPCERT/CCのFIRSTへの関わり
 FIRST理事として運営に参画
 Law Enforcement との国際的な連携の強化
 国際的なISP連携の体制の構築

 日本における調査結果の発表
 標的型攻撃に関する調査結果
 国際パネルディスカッションへの参加

 国内外組織のFIRST加盟の支援
 国内の組織内CSIRT 海外CSIRTなど
Copyright© 2007 JPCERT/CC All rights reserved.

105

アジア太平洋地域の枠組み
http://www.apcert.org/

 Asia Pacific Computer Emergency Response Team アジア太平洋地域におけるCSIRTの集まり
http://www.apcert.org/

 2003年2月設立
 アジア太平洋地域の CSIRT のフォーラム Steering Committee Member として参加
 年次定例会議としての APCERT 2007年3月マレーシアにて開催
 各国の状況の報告や国際連携のディスカッション等

Copyright© 2007 JPCERT/CC All rights reserved.

106

AusCERT(オーストラリア）、BKIS(ベトナムのベンダ）、CCERT（中国学術系）
CNCERT/CC（中国）、HKCERT(香港）、ID-CERT（インドネシア）
JPCERT/CC(日本）、KrCERT/CC(韓国）、MyCERT(マレーシア）
PH-CERT(フィリピン）、SingCERT(シンガポール）、ThaiCERT(タイ）TWCERT/CC(台湾学術系）、TWNCERT(台湾政府系）
BP DSIRT(シンガポールベンダ）、BruCERT(ブルネイ）、CERT-In(インド）
107
Copyright© 2007 JPCERT/CC All rights reserved.
GCSIRT(フィリピン）、NUSCERT(シンガポール学術系）、VNCERT(ベトナム）

アジア太平洋地域における
JPCERT/CCの国際連携活動


APCERT事務局の運営








ウェブサイトの管理
AP* Retreat への参加
年次報告書のとりまとめ
APCERTドリルの実施
APCERTにおける連絡体制の維持

国際間インシデント情報の連携体制を円滑に行うため、多くの国にCSIRTを設立し、コンタクト可能な状況を確立することが重要

2006度は、東南アジア諸国連合（ASEAN）に着目し、現在のASEAN
加盟国を含め、状況調査を行うた
めに、右記７ヶ国を訪問
2007年3月にはカンボジアにて、
CSIRTトレーニングをマレーシアと共同で実施。ミャンマー、ラオス、カンボジアから計１２名が参加した



マレーシア





台湾




APCERTメンバーへの推薦・スポンサー(2007/02)

ミャンマー、ラオス、カンボジア


技術講演の実施、TWNCERT との
MOU 締結(2007/01)

ベトナム




CSIRT 構築支援セミナを共催(2007/03)
MyCERT 主催イベント
INFOSEC.MY にて講演
(2006/12)

CSIRTトレーニングの実施(2007/01)

インドネシア・フィリピン・モンゴル

国内における CSIRT 発展状況の把握 (2007/09,10)

Copyright© 2007 JPCERT/CC All rights reserved.

108

APCERT ドリルの実施「 APCERT国際インシデントハンドリングドリル」を実施




国際間インシデントハンドリングの円滑な情報連携及び協力体制の強化が目的
実施：2006年12月19日
アジア太平洋地域の 15 CSIRT組織が参加
日本（ JPCERT/CC ）、韓国（ KrCERT/CC ）中国（ CNCERT/CC ）、香港（ HKCERT/CC ）台湾（ TWNCERT ）、マレーシア（ MyCERT ）シンガポール（ SingCERT、NUSCERT ）オーストラリア（AusCERT）、ブルネイ（ BruCERT）
インド（ CERT-In）、タイ（ ThaiCERT ）、
ベトナム（BKIS）

APCERT ドリル 2006

及び APCERT に属してない
ニュージーランド（ CCIP ）ベトナム（ VNCERT)

参加：１５チーム
Copyright© 2007 JPCERT/CC All rights reserved.

109

アジア太平洋地域におけるNational CSIRT 構築支援活動の様子

ミャンマー mmCERT

ベトナム VNCERTラオス

CSIRT トレーニング

カンボジア

CSIRT トレーニング

Copyright© 2007 JPCERT/CC All rights reserved.

110

アジア太平洋地域におけるNational CSIRT 連携活動の様子
モンゴル MonCIRT

フィリピン

インドネシア ID-SIRTII

ブルネイ BruCERT

Copyright© 2007 JPCERT/CC All rights reserved.

マレーシア
MyCERT111

http://www.cert.org/csirts/csirt-map.html
Copyright© 2007 JPCERT/CC All rights reserved.

(C) 2003 Carnegie Mellon University; Revised July 2005112

各国の窓口となる CSIRT の主な業務内容
FIRST
他の国際間 CSIRT
コミュニティ

・インシデント対応コーディネーション
・脆弱性情報ハンドリング
情報収集・アーティファクトハンドリング
・アラート発行など

国外の CSIRT

情報発信

国外
国内

APCERT

情報共有

各国の窓口となるCSIRT

情報発信

ベンダ

ISP
業界団体

情報分析

・インシデント対応コーディネーション
・脆弱性情報ハンドリング
情報収集・アーティファクトハンドリング
・アラート発行
・教育、トレーニング
・セキュリティツール開発
・監視、監査・侵入探知・セキュリティ情報提供サービス
・情報分析など

組織内 CSIRT

一般ユーザ

Copyright© 2007 JPCERT/CC All rights reserved.

政府機関

法執行機関
メディア

組織内CSIRTとは

Copyright© 2007 JPCERT/CC All rights reserved.

114

CSIRT に関してよく聞かれること

CSIRT とは何か？
 CSIRTの正式名称

 Computer Security Incident Response Team CSIRT は、サービス組織の概念である「コンピュータセキュリティインシデント」の報告や発生状況の受け付け、調査及び対応
Copyright© 2007 JPCERT/CC All rights reserved.

115

CSIRT に関してよく聞かれること

CSIRT が取り扱うものは何か？
 コンピュータセキュリティインシデント コンピュータセキュリティに関係する人為的事象で、意図的および偶発的なもの (その疑いがある場
合) を含みます。例えば、リソースの不正使用、サービス妨害行為、データの破壊、意図しない情報の開示や、さらにそれらに至るための行為 (事象) などがある。
 セキュリテイポリシーに違反する活動のことも指す
場合がある。
Copyright© 2007 JPCERT/CC All rights reserved.

116

CSIRT に関してよく聞かれること

CSIRT はどのようにして発足したのか?

Copyright© 2007 JPCERT/CC All rights reserved.

117

CSIRT に関してよく聞かれること

CSIRT に相当する既存の組織名は?
CSIRT

Computer Security Incident Response Team

CERT

Computer Emergency Response Team

CSIRC

Computer Security Incident Response Capability

CIRC

Computer Incident Response Capability

CIRT

Computer Incident Response Team

IHT

Incident Handling Team

IRC

Incident Response Center or Incident Response
Capability

IRT

Incident Response TeamSERTSecurity Emergency Response Team

SIRT

Security Incident Response Team
Copyright© 2007 JPCERT/CC All rights reserved.

118

CSIRT に関してよく聞かれること

インシデントレスポンスとは何か?
 ３つの役割
 インシデントのレポート、分析、レスポンス
インシデント情報

インシデント情報

対策情報
提供

インシデント情報

・最新情報
・インシデント傾向・分析情報・推奨する対策情報
・その他

CSIRT
CSIRT
対策実施

インシデント情報［有用な情報の公開］

インシデント情報

Copyright© 2007 JPCERT/CC All rights reserved.

119組織内 CSIRT の必要性

組織内 CSIRT のメリットのイメージ
 （外部との）インシデント対応に必要な信頼関係の構築
外部

外部

経営層

経営層
組織内
組織内 CSIRT
CSIRT

海外
組織内
組織内
CSIRT
CSIRT

JPCERT/CC
JPCERT/CC

外部

外部

組織内
組織内
CSIRT
CSIRT

外部

外部

国内
組織内
組織内
CSIRT
CSIRT

メリットの例：①インシデントレスポンスに必要な情報量の向上②想定外（予想外）のインシデントへの柔軟な対応
Copyright© 2007 JPCERT/CC All rights reserved.

120

CSIRT のフレームワーク

Copyright© 2007 JPCERT/CC All rights reserved.

121

CSIRT のフレームワーク

ミッションステートメント
 ミッションは、所属している組織及びサービス対象者が期待するものに強く影響される
 一般的な CSIRT のミッションの例
構成システムのセキュリティの保守と維持管理
インシデントレスポンス活動の統制及び調整
セキュリティインシデントによる被害の最小化
サービス対象者に対するセキュリティ関連の教育及び啓蒙と最善策（”best practice”）の提供

Copyright© 2007 JPCERT/CC All rights reserved.

122

CSIRT のフレームワーク

サービス対象 サービス対象（Constituency）及びその関係の定義
 CSIRT をサービス対象者に周知
 “doing the job right （仕事を適切にこなす）” により、サービス対象から信頼獲得

インシデント発生時における、CSIRT の有効な機能発揮
Copyright© 2007 JPCERT/CC All rights reserved.

123

CSIRT のフレームワーク

組織形態
 Security Team セキュリティーチーム
 Internal Distributed CSIRT 内部における分配型CSIRT Internal Centralized CSIRT 内部における集中型CSIRT Internal Combined Distributed and Centralized CSIRT 内部における統合（分配/集中）型CSIRT Coordinating CSIRT 連絡調整としてのCSIRT
Copyright© 2007 JPCERT/CC All rights reserved.

124

CSIRT のフレームワーク – 組織形態

Security Team
サービス対象連絡調整

Security Team

Copyright© 2007 JPCERT/CC All rights reserved.

125

CSIRT のフレームワーク – 組織形態

Internal Distributed CSIRT
サービス対象

CSIRT

連絡調整

Internal Distributed CSIRT

Copyright© 2007 JPCERT/CC All rights reserved.

126

CSIRT のフレームワーク – 組織形態

Internal Centralized CSIRT
サービス対象

CSIRT

連絡調整

経営層

Internal Centralized CSIRT

Copyright© 2007 JPCERT/CC All rights reserved.

127

CSIRT のフレームワーク – 組織形態

Internal Combined Distributed and Centralized CSIRT
サービス対象

CSIRT

連絡調整

経営層

Internal Combined Distributed and Centralized CSIRT

Copyright© 2007 JPCERT/CC All rights reserved.

128

CSIRT のフレームワーク – 組織形態

Coordinating CSIRT
サービス対象

CSIRT

連絡調整

Coordinating CSIRT
Coordinating CSIRT

Coordinating CSIRT

Copyright© 2007 JPCERT/CC All rights reserved.

129

CSIRT のフレームワーク

相互関係
Coordinating
CSIRT A

サービス対象CSIRT
連絡調整

Coordinating
CSIRT BCSIRT ECSIRT CCSIRT FCSIRT GCSIRT D

Copyright© 2007 JPCERT/CC All rights reserved.

130

CSIRT のサービス

Copyright© 2007 JPCERT/CC All rights reserved.

131

CERT/CC におけるサービスの分類の例

Copyright© 2007 JPCERT/CC All rights reserved.

132

CSIRT のサービス

サービスの分類Reactive Service






Proactive Service






Reactive: 反応
各インシデント報告や不正検知システムなどからの情報による活動
ＣＳＩＲＴのもっともコアな活動

Proactive: 先を見越す
事前にソフトウェアなどの脆弱性、脅威情報、攻撃予測情報などを提供する
活動
直接的にインシデント発生の抑制を図る

Security Quality Management Service

セキュリティコンサルタント、教育など
他のセキュリティー会社がすでに提供済みだが、CSIRT としての視点や専門知識での見識を提供できる。
間接的にインシデント発生の抑制を図る
Copyright© 2007 JPCERT/CC All rights reserved.

133

CSIRT のオペレーション

Copyright© 2007 JPCERT/CC All rights reserved.

134

CSIRT のオペレーション

３つの重要なプロシージャー
1. インシデント発生前

インシデントリスクを軽減
 リスクがどこにあるかを知る必要がある。
 CSIRT とユーザのためのインシデント対応準備

2. インシデント発生時のレスポンス

インシデントの対応手順の文書化

3. インシデント発生後

何が起こったのかを検証
サービス対象と CSIRT にとって有益なことを学ぶ

Copyright© 2007 JPCERT/CC All rights reserved.

135

CSIRT のオペレーション

インシデント発生前
 セキュリティポリシーと実施計画
 組織はセキュリティ手段を理解し、定義しなければならない。
また、全てが関連していなければならない。

 予防活動の手段 監査、リスクマネージメント、バックアップ、ログ、防御（Firewall など）、パッチ（アップデート）

 CSIRT の情報とツール
 連絡先の確保、IP アドレス表、診断／修正ツール

 CSIRT からの公表資料
 内部向けの email やニュースレター、Web page、トレー
ニング、ワークショップなど
Copyright© 2007 JPCERT/CC All rights reserved.

136

CSIRT のオペレーション

インシデント発生時の対応
 対応フロー確立のねらいは、一貫性の確保とストレスの軽減
 事前に、より多くの判断事項を作成しておく インシデント対応中の判断は、ミスが多い

 インシデントの分類は、複数の可能性を想定
 インシデント対応について常に複数の可能性を想定し、対応プランを検討する

 可能であれば、演習として計画を立ててみる
 他の事例はどうしてうまく処理できたのか？
 経験から学んだことを手順に反映させる
Copyright© 2007 JPCERT/CC All rights reserved.

137インシデント対応
 インシデントに対応する人及び組織の明確化
 インシデント発生前の準備 インシデント対応フロー
1. インシデントの発見及び報告
2. インシデントに対する初動対応
3. インシデントに関する告知
4. インシデントの抑制措置と復旧
5. インシデントの事後対応

Copyright© 2007 JPCERT/CC All rights reserved.

138インシデントに対応する人及び組織の明確化
 発生するインシデントのすべてを完全に予想することは不可能 これまで各部署で経験したことがないインシデントに対して、対応すべき担当者や責任者が不明確なことがあり、対応に不備が出ることがある インシデント対応マニュアルには以下の記述が必要
 組織にとっての「インシデント」を定義する
 「想定外のインシデント」に対して責任を持つ部署／担当者を明確に定義する 各部署で発生したインシデント対応について、全体の統括を行う部署またはチーム等を明確に定義する
Copyright© 2007 JPCERT/CC All rights reserved.

139インシデント発生前の準備

インシデント対応に必要な連絡先の確保






各種規則の把握と整合性の確認


これまでに経験したインシデント、あるいはこれから発生が予想されるインシデン
トの対応に必要な連絡先をリスト化する
連絡先との連絡手段の疎通確認を実施する
各連絡先と連絡先リストについての共通認識を持つ
親組織の規則（上位規則）にインシデント対応に関する記述がされている可能性があるため、関連する可能性のある規則を確認する
上記を含め、インデント対応の活動に関係する規則等の相関関係を明確にしておく

インシデント対応に有効なツールの利用

社内での情報共有のためのインフラやツールがインシデント対応にリアルタイムに有効がどうか検討する
有用なツール等がなければ、インシデント対応に活用できる別の手段を確保しておく
可能であれば、事前に訓練等を実施しておく
Copyright© 2007 JPCERT/CC All rights reserved.

140

インシデントの対応フロー

1. インシデントの発見及び報告

インシデントの発見者が迅速に報告する

 報告しやすい環境であることが必須 インシデントの報告窓口が設けられており、それが周知されていることが必要

インシデントの報告を受けた者が、どのような判断で対応をするのか、あるいはより上位に報告するのか、の判断基準を明確にしておく 最低限以下の判断が必要






対応すべきインシデントとして認められるかどうか対応の優先度はどの程度か
誰がインシデント対応を担当するのか

すべてのインシデントの取り扱いに関する記録をとる

 責任の明確化のため
 事後の分析のため
Copyright© 2007 JPCERT/CC All rights reserved.

141インシデントの対応フロー

2. インシデントに対する初動対応
 発生したインシデントに関して、どこまで情報を共有するのかを判断する

外部のセキュリティサービス会社等を利用するのか同様なインシデントの発生が予想される場合、どの範囲まで、インシデン
ト発生に関する告知をすべきか これまでに経験しているインシデントなのか、経験したことのないイン
シデントなのかを判断する

これまでに経験したインシデントであれば、過去の対応ノウハウを積極的に活用する そのためには記録の所在を明確にしておく必要がある
経験したことのないインシデントであれば、以下のリソースを活用することを検討する 過去のインシデント対応経験者
 他組織における同様なインシデント対応に関する情報
 発生したインシデントに直接関係する資産の所有者
Copyright© 2007 JPCERT/CC All rights reserved.

142インシデントの対応フロー

3. インシデントに関する告知
 外部組織等に対して、インシデント発生の事実と対応状況に関する報告をする必要があるかどうかを判断する

社会通念上必要性があるため公的な規則で定められているためビジネス的なインパクトを軽減させるため

 誰に、またはどの範囲に告知をすべきかを判断する

社会全体に対してか？
所轄官庁等の外部組織に対してか？
顧客に対してのみか？

 告知する手段の妥当性を検討する。
自社 Web サイトのみか？
新聞等のメディアを利用するのか？
記者会見か？
そのほかか？
Copyright© 2007 JPCERT/CC All rights reserved.

143

インシデントの対応フロー

4. インシデントの抑制措置と復旧
 発生したインシデントの被害を抑制するための検討項目






抑制措置の手段
抑制措置によるビジネスにおけるダメージ
抑制措置の実施期間
最高意思決定者
業務時間外における意思決定と実施方法

 復旧に関する検討項目
 事業継続計画（BCP）との関係
 データ等の資産の一部損失とのトレードオフ
 最終的な意思決定

Copyright© 2007 JPCERT/CC All rights reserved.

144

インシデントの対応フロー

5. インシデントの事後対応

インシデント復旧後のモニタリングを実施する


同様なインシデントの再発防止策を検討する

インシデント情報を告知することにより、同様なインシデントの発生を抑制することができる
ウィルスやワームには、同じ感染手法を用いた亜種などが発生する

他に影響がないかどうかの評価を実施する


一部のウィルスやワーム等については、再発する可能性があるため、必要に応じてモニタリングを行う
表面的にはインシデントが解決したように見えても、本質的には問題が解決していない場合があるためインシデントを発生させ、他の資産をねらう攻撃手法が存在しているため影響が表面化しにくい攻撃手法が存在しているため従業員やスタッフ等への教育を実施する


情報セキュリティに関する教育による、再発防止
Copyright© 2007 JPCERT/CC All rights reserved.

145

有効に機能するための CSIRT の要件

Copyright© 2007 JPCERT/CC All rights reserved.

146

有効に機能するための CSIRT の要件
 「サービス対象」 が定義されていること 「インシデント」が定義されていること
 インシデントに対する、Response（対応）やCoordination(調整)ができること
 信頼できる連絡先（PoC)が提供されていること

Copyright© 2007 JPCERT/CC All rights reserved.

147

まとめ
 脆弱性対応の必要性
 情報の収集と対応の判断、対応 インシデントへの対応
 インシデントを検知と分析、対応

 組織内CSIRTの構築
 円滑な脆弱性・インシデント対応のために
Copyright© 2007 JPCERT/CC All rights reserved.

148

参考資料









JPCERT Coodrination Center : JPCERT/CC
http://www.jpcert.or.jp/
インシデント対応とは？
http://www.jpcert.or.jp/ir/

CSIRTマテリアル
http://www.jpcert.or.jp/csirt_material/コンピュータセキュリティインシデント対応チーム (CSIRT) のためのハンドブック
http://www.jpcert.or.jp/research/2007/CSIRT_Handbook.pdf
サイバークリーンセンター：CCC
http://www.ccc.go.jp/
Japan Vulnerability Notes: JVN
http://jvn.jp/
FIRST
http://www.first.org/
APCERT
http://www.apcert.org/
CERT/CC
http://www.cert.org/
CPNI
http://www.cpni.gov.uk/
Copyright© 2007 JPCERT/CC All rights reserved.

149

お問い合わせ先
 有限責任中間法人
JPCERTコーディネーションセンター
 Email：office@jpcert.or.jp
 Tel：03-3518-4600
 http://www.jpcert.or.jp

 インシデント報告の届出
 報告様式
http://www.jpcert.or.jp/form/ Email：info@jpcert.or.jp
PGP Fingerprint ：470F F413 3DCC 5D38 7CAC 3500 80C4 944B 298F 386F
Copyright© 2007 JPCERT/CC All rights reserved.

150