特別企画：東京2020オリンピック・パラリンピックとNTT R&D

情報セキュリティ

サイバー攻撃CSIRT

カテゴリ3 東京2020を『支えた』NTT R&Dの技術

ネットワークセキュリティ

オリンピックや国際博覧会といった世界的に注目が集まるイベントはサイバー攻撃のターゲットになりやすく，実際に被害が報告されることも決して稀なことではなくなってきました．さまざまな事情から 1 年延期され2021年に開催された東京2020オリンピック・パラリンピック競技大会において，NTTはゴールド通信サービスパートナーとして，大会を支えるネットワークインフラを運営する立場となり，サイバー攻撃の脅威に対応する重大な責任がありました．
本稿では，NTT社会情報研究所の研究活動の 1 つとして実施しているNTTCERTが，NTTグループの代 表CSIRT（Computer Security Incident ResponseTeam）としてどのようにしてサイバー攻撃と向き合ったのかを紹介します．

たかし

三科に

まつはしあきこ貴 /松橋 亜希子

させた け みし と う仁佐瀬 剛美

ひでひろ/司東 秀浩

NTT社会情報研究所of Service），DDoS（Distributedサイバー攻撃の脅威に対応する重大な責Denial of Service）攻撃による妨害行任がありました．以下に，NTT 社会情為，大会関連組織のシステムへの侵入，報研究所の NTT-CERT が東京2020大会

オリンピック，パラリンピックは長いマルウェア感染が目的とみられる標的型において行った取り組みについて紹介し歴史を持つ国際的なイベントであり，世攻撃など，大会運営に影響をおよぼしかます．

界中から注目が集まります．その注目度ねないさまざまな攻撃が確認されていまに便乗し，政治的な主張を広める場としす．攻撃者たちは，この数年に一度の国て悪用する，金銭をだまし取る，はたま際的なイベントで成果を上げるために，た失敗を誘引し開催国家の信用失墜をね虎視眈々と技術を磨き，攻撃の準備をし

NTT 社会情報研究所の研究活動の 1

らうなど，さまざまな悪意を持つ人々のています．大会関連組織は，大会をそのつである NTT-CERT は，NTTグループターゲットになり得ます．近年，そのよような高度な攻撃から守るために，万全を代表するCSIRT（Computer Securityうな悪意を持つ攻撃者たちの手段が，物の体制を敷く必要があります．NTTは，Incident Response Team）として活動

理的なものだけではなく，サイバー空間

東京2020大会のゴールド通信サービスしています（図 1 ）．機器の運用などをへと拡大し始めています．過去の大会でパートナーとして，大会を支えるネットしておらず，サイバー攻撃を未然に防ぐは，大会関連サイトへの DoS（Denial

ワークインフラを運用する立場となり，ための情報収集および収集した情報のオリンピック ・ パラリンピックとサイバー攻撃商用インテリジェンス
大規模イベント
分析レポート
脆弱性情報

文書共有サイトSNS，コミュニティ
ニュースサイトetc.

DoS攻撃
サイト改ざん
etc.

外部組織

分析，評価

NTT-CERT

OSINT

脅威インテリジェンスー PFCERTの活動

システム乗っ取り
情報窃取
etc.

NTTグループ各社

情報提供，インシデント対応支援

CSIRT組織図１

ランサムウェア
詐欺サイト
etc.

セキュリティ関連情報の社内展開
脆弱性情報の対処・判断
社内各組織と連携した情報共有・状況報告
社内インシデントの統括・判断研究活動へのフィードバック

NTT-CERTの主な活動① 情報収集分析② インシデント対応支援③ 技術調査，製品評価・教育

2021.12

東京2020大会におけるNTT-

ハクティビスト・国家/犯罪組織・愉快犯

Surface/
Dark Web情報

JPCERT/CC
NCFTAetc.

12

み し な

NTT-CERTの位置付け

特 別企画NTT グループ各社への円滑な共有，おをもって，どの「攻撃対象」へ攻撃を仕への影響の波及が懸念される“大会関係よび，発生したインシデントの被害極小掛けるのか，という 4 つの観点をもって，者”への攻撃，そして“一般のお客さま”化や再発防止の支援といった，主に 2 つ東京2020大会で発生し得るサイバー攻撃への攻撃という順で優先順位付けを行いの目標を持って活動しています．また，を分析することです．この 4 つの観点がました．また「攻撃手法」や「目的」にこれらの活動の中で得られた知見を研究あることで，NTT-CERT が優先して守関しては NTT-CERT の立場で OSINT活動にフィードバックし，さらなるセキュるべき「攻撃対象」は何なのか，優先し情報から検知できることを基準に優先順

リティ技術の高度化，強化に向けた研究て検知すべき「攻撃手法」の情報は何な

位付けを行いました．例えば，NTT グを 推 進 し て い ま す． 前 述 の と お り，のかという点で情報を整理でき，優先しループを対象にした標的型メール攻撃なNTT グループは東京2020大会を支えるて収集すべき情報を効率良く分類するこどは脅威度が高いものの，そのようなメーネットワークインフラの安心・安全な運とができます．そのためにはまず，東京

ルの受信を NTT-CERT で直接検知する用の責任を担っており，私たちは世界中

2020大会で発生し得るすべてのサイバーことは難しいため，ここにリソースを割のさまざまな攻撃者から NTT グループ攻撃を可能な限り挙げ，分析することがくことは非効率です．外部で検知可能なそしてネットワークインフラを守るため，必要でした．そこで，まず過去に実際に情報で，このような脅威からNTTグルー

NTT-CERT の機能を強化する必要があ発生したサイバー攻撃に関する情報を収プを守るためにはどのようにしたらよいると考えました．今回は，東京2020大会集しました．サイバー攻撃の発生が本格かを検討し，誘引されるであろう NTTのネットワークインフラを支える大会関化した2012年のロンドン大会から，標的の類似ドメインを持つフィッシングサイ連組織としてサイバー攻撃の可能性を未型攻撃も確認された2018年の平昌大会まトの検知，窃取された情報がダークウェ然に防止し，万が一インシデントが発生で，過去の大会における国内外のニューブで販売されていないかどうか，また政した場合にも被害を極小化して大会へのス記事や各セキュリティベンダが発表し治的主張を目的に攻撃予告を行っている

影響を最小にするという方針を策定し，たレポートなどを分析しました．ここでハクティビスト（社会的・政治的な主張特に情報収集分析機能の強化に力を入れは想定すべき攻撃を網羅的に把握するたを目的としたハッキング活動を行う者）ました．

め，大会関係者，一般のお客さまを標的の有無など，さまざまな攻撃を NTT-NTT-CERT は直接運用するネットにした攻撃まで調査範囲を広げ，実際にCERT の立場から検知できるように検討

ワーク設備等を持たないため，情報収集起きた被害や想定された被害などのリスしました（図 2 ）．の 対 象 は 主 に 外 部 の OSINT（Openトを作成しました．それらのデータを，収集すべき情報の優先順位を定めた

Source Intelligence）情報になりま

上記の脅威分析を行うべく，「攻撃者」「目後，続いて行ったことは，情報収集範囲，す．ただ漫然と，莫大な量の OSINT 情的」「手段」「攻撃対象」に分類しました．

量の強化です．これまで NTT-CERT の報を集めていては，いくら人の手があっそのリストから，外部から攻撃を検知可

主な情報収集対象は，サーフェスウェブても足りません．そこで私たちは，東京

能な「攻撃者」「目的」「手段」を定め，とインテリジェンスベンダからのダーク2020大会における脅威分析と，収集すべ

NTT-CERT が情報について収集するべウェブ情報，調査言語は日本語，英語でき情報の優先順位付けを行うことにしまき「攻撃対象」の観点から優先順位付けした．前述のようにダークウェブ上でのした．私たちの行った脅威分析とは，どを行いました．具体的には，“NTTグルー販売情報やハクティビストによる主張をのような「攻撃者」組織が，どのようなプ”を直接の「攻撃対象」とする攻撃を可能な限り検知するためには不十分であ「攻撃手法」を用いて，どのような「目的」第一優先とし，続いて“NTTグループ”ると考え，機械翻訳を活用した，過去の2021.12

13

特別企画：東京2020オリンピック・パラリンピックとNTT R&D

NTT-CERTの知見，
ノウハウ

過去の大会関連
脅威レポートや報道

NTT-CERTが利用できる情報源，
分析ノウハウ

脅威リストと重要度を明確化

NTTグループへの脅威を分析
1.攻撃者
2.目的
3.手段
4.攻撃対象モニタリング優先度付け，重点化対象抽出

モニタリング対象と調査手法の組み合わせ

最近の攻撃動向，被害情報

図２

事例の多い 2 カ国語の調査言語の追加，

有プラットフォームへ参加し，未公開情しました．実際に攻撃が発生したと想定

および NTT-CERT 独自のダークウェブ報や独自情報を入手可能な状態にしまし

し， 検 知 さ れ る と 想 定 さ れ る 情 報 を調査を開始しました．また，これまでもた．また NTT セキュリティの Global

NTT グループ内に共有し，各社の連絡

NTTグループの類似ドメイン調査は行っ

Threat Intelligence Center と連携

体制や対応手順に問題がないか，適切なていましたが，大会期間（準備期間含む）し，東京2020大会へのサイバー攻撃に関対処が取れるかを演習にて確認し，大会に増加すると予測される東京2020大会のする海外現地からの情報を逐一共有可能

前の最後の仕上げとして，NTT グルー

類似ドメイン調査も同時に行い，検知しな状態を構築しました．このような外部プ一丸となり東京2020大会に向けた準備たドメインのフィッシングサイトの情報連携によって得られた情報を，さらにを整えることができました．

収集も実施しました．これらは，新規ツー

NTT-CERT で追加調査，分析結果を加ルの導入やこれまでのノウハウを活かしえ，NTTグループ各社へ展開しました．

た調査，および CSIRT 機能自動化の研これは NTT-CERT における，外部と今回の機能強化の取り組みの結果とし究成果を活かした機能強化といえます．

NTT グループとのハブ役としての機能て，NTT-CERT ではさまざまな情報源の強化といえます．

から情報を収集・解析し，要確認情報をこのような取り組みによって 1 社の機

14

モニタリング強化に向けた分析

東京2020大会の活動結果

能をいくら強化しても収集できる情報にまた，ネットワークインフラや運用体NTTグループ各社へ展開しました（表）．

は限界があります．NTT-CERT はこれ制に影響する脆弱性情報が発見された場

ただし，要確認情報には放置すると攻撃まで培ってきたさまざまなコミュニティ合に備え，脆弱性情報収集体制および攻の足掛かりになり得る可能性がある検知と連携した情報共有も積極的に行いまし撃コードが公開された場合の検証体制の内容や東南アジア情勢にまつわる政治的た．内閣サイバーセキュリティセンター

強化も実施しました．

主張が絡む攻撃予告および小規模なの情報共有ツールである「Japan cyber

上記のような活動に向けた準備を大会

DDoS 攻撃，被害はなかったものの大s e c ur i t y In f o r m a t i o n S h a r in g

本番まで積み重ね，最後に東京2020大会会関係と思われるクレデンシャル情報売

Platform（JISP）」や一般社団法人での攻撃を見据えた NTT グループ内サ買などを共有しており，そのような情報

ICT-ISAC による東京2020オリンピッ

イバー演習を開催しました．演習におい提供の積み重ねによって重大な被害の芽

ク・パラリンピック競技大会向け情報共て NTT-CERT は，シナリオ作成を担当を摘むことができ，また NTT グループ

2021.12

特 別企画表

モニタリング結果 情報源と検知結果例

情報源

情報源の詳細

検知結果例

公的組織

JPCERT/CC，IPA等

脆弱性情報，一般的な攻撃情報など

SNS

Twitter，ブログ，掲示板

大会関係者への攻撃をあおる書き込み，発見されたフィッシングサイト情報など

ニュースサイト新聞社，放送局，IT関連ニュースサイト

大会動画配信を装う偽サイトの報道，過去の大会関係組織へのサイバー攻撃の報道，大会関係を装うマルウェアの記事など

ダークウェブハッカーフォーラム，闇取引サイト等

大会関係と思われるクレデンシャルの売買情報など

偽サイト情報DomainAbuse ，Google検索結果等

大会関係と誤認させるような新たなドメイン情報（一部はフィッシングサイトであることを確認）

その他

手動，ベンダ等のレポート想定される攻撃者についての分析情報，マルウェアの分析情報など※※DomainAbuse：インテリジェンスサービスによるドメイン悪用情報

各社に安心感を与えることができたと考きく反対する組織もありませんでした．ています．また，今回の強化の取り組みえています．実際に，大会終了後には警そのため，このような DDoS 攻撃も発として，言語やダークウェブ上の調査の察庁が「五輪・パラ大会中のテロやサイ生しなかったと考えています．

深化および攻撃アクター分析など，調査

バー攻撃なし」と発表したことが報道さ総括としては，NTT-CERT の機能や範囲を拡大しましたが，大会終了後も平れており（https://www.sankei.com/

連携の強化により，これまでになかった時の調査範囲へと適用していくことで，article/20210909 KOK2GCDO3JK2LP

情報の検知が可能となり，小規模ですがこれまでより高品質な情報収集が行える

IBAJOBHBRW6Y/），私たちの検知内いくつか攻撃の足掛かりとなり得る情報と感じています．このようなノウハウが容と一致していることが分かりました．

を共有することができました．また，大明文化できた際には，NTT グループ各会を支えるネットワークインフラ自体も社へ展開し NTT グループ全体のセキュサイバー攻撃による事故等がなく無事閉

リティ向上に貢献していきたいと思って東京2020大会が過去一連の大会と大き会を迎えることができ，私たちの活動はいます．

く異なっていることは，コロナ禍によっ意義のあるものであったと考えます．

過去大会との比較考察てほとんどの会場が無観客大会となったことです．その影響からか，過去大会で今後の展望みられた偽チケット販売サイトや入場シ

今回初めて行った2020大会に対するサステムへのサイバー攻撃は確認されませイバー攻撃への脅威分析は有効なものでんでした．また，偽のグッズ販売サイトあったと考えます．NTT グループへのなども今大会ではほぼみられませんでし

影響を考慮した外部関係者を含めた脅威た．過去の大会でみられたハクティビスの分析やこれまでにない情報や脅威を検トによる DDoS 攻撃なども危険視して知できたことは，今後，NTT グループいたのですが，近年はこのような政治的がネットワークインフラ提供などの立場主張を伴う DDoS 攻撃自体の頻度が低で関与する大規模イベントに対し，柔軟下しており，日本での東京2020大会に大な調査を行えることを示していると感じ（左から）三科貴/ 松橋仁佐瀬亜希子/剛美/ 司東秀浩

◆問い合わせ先

NTTサービスイノベーション総合研究所
E-mail svkoho-ml hco.ntt.co.jp

2021.1215