セキュリティ脅威の傾向と対策のポイント
2004年2月4日

中央大学 研究開発機構 専任研究員
塩月誠人<shio@st.rim.or.jp>

Agendap セキュリティ脅威の傾向

セキュリティホールの傾向
n ネットワーク攻撃の傾向
n 内的要因によるセキュリティ侵害
n 注目すべきセキュリティ脅威np セキュリティ対策のポイント

OSのセキュリティ基本設定
n パッチマネージメントn クライアントPCセキュリティ
n アプリケーションセキュリティ
n セキュリティテストn2

セキュリティ脅威の傾向

3

セキュリティホールの傾向 （その1）p 危険度の高いセキュリティホールの増加

対前年増加・減少割合（%）

21%
25
20
6%

15
10
50-5-11%-10-15中高低脆弱性の重大度（「
Symantec Internet Security Threat Report （September 2003）」より）
4

セキュリティホールの傾向 （その2）p 攻撃に利用されやすいセキュリティホールの増加

60

2002年1月〜6月

54%

2003年1月〜6月

48%

全体に対する割合（%）

5039%
4030%
30
2017%
13%

100

存在する

存在しない不要

攻撃プログラムの存在/不在/不要（「Symantec Internet Security Threat Report （September 2003）」より）
5

セキュリティホールの傾向 （その3）p クライアントマシンがターゲットとなるセキュリティホールの増加
Windows OSにおける最近のクライアントセキュリティホール
Microsoft WordおよびMicrosoft Excelの脆弱性 (MS03-050)

Microsoft Access Snapshot Viewerの未チェックのバッファ(MS03-038)

Workstationサービスのバッファ オーバーラン (MS03-049)

Visual Basic for Applicationsの問題 (MS03-037)

Internet Explorer用の累積的なセキュリティ更新 (MS03-048)

WordPerfectコンバータのバッファオーバーラン (MS03-036)

リストボックスおよびコンボボックスのコントロールのバッファオーバーラン(MS03-045)

Microsoft Wordの問題によりマクロが自動実行 (MS03-035)

Windowsの「ヘルプとサポート」のバッファオーバーラン (MS03-044)

MDAC機能の未チェックのバッファ(MS03-033)

メッセンジャサービスのバッファオーバーラン (MS03-043)

Internet Explorer用の累積的な修正プログラム (MS03-032)

WindowsトラブルシュータActiveXコントロールのバッファ オーバーフロー DirectXの未チェックのバッファ (MS03-030)(MS03-042)
Authenticodeの検証の問題 (MS03-041)

Windowsシェルの未チェックのバッファる (MS03-027)

Internet Explorer用の累積的な修正プログラム (MS03-040)

RPCインターフェイスのバッファオーバーラン (MS03-026)

RPCSSサービスのバッファオーバーラン (MS03-039)

ユーティリティマネージャによるWindowsメッセージ処理の問題(MS03-025)（「マイクロソフトセキュリティ情報一覧」より、昨年7月以降）
6セキュリティホールの傾向 （その4）p 種の尽きないWebブラウザのセキュリティホール
パッチのないInternet Explorerのセキュリティホール（主要なもの）
Shell.Application ActiveXによるLNKファイル作成と実行

クロスドメインスクリプティング

ShowHelpディレクトリトラバーサルによるCHMファイルの実行

CODEBASEを利用したローカルファイルの実行%01記号によるサイトスプーフィング

ADODB.Streamによるローカルファイル書き込み

不正なContentTypeによるキャッシュディレクトリパスの暴露

NOTEPAD.EXE書き換えによるview-sourceでの任意プログラム実行

MHTMLリダイレクションによる任意ファイルのダウンロードと実行

IEキャッシュディレクトリにおけるローカルゾーン適用

MHTMLリダイレクションによるローカルファイルのパース

RedirectionとRefreshによるローカルファイルのパース（「Unpatched Internet Explorer Bugs」より

üü 実行系はローカルゾーンに限られる
実行系はローカルゾーンに限られる
üü し
かし
こ
れらを組み合わせることで、Webアクセスによるプログラム
しかしこ
れらを組み合わせることで、Webアクセスによるプログラム起動攻撃が可能
起動攻撃が可能7

ネットワーク攻撃の傾向 （その1）p 攻撃対象の64%は過去一年以内に見つかったセキュリティ

ホール
45
39%
全体に対する割合（%）

40
35
30

25%

25
20
14%

15

10%

10
4%

5%

5
0

0〜6
ヶ月

6〜12ヶ月

12〜18
ヶ月

18〜24
ヶ月

24〜30
ヶ月

30〜36
ヶ月

1%

1%

36〜42
ヶ月

42〜48
ヶ月

セキュリティホールの「年齢」（「Symantec Internet Security Threat Report （September 2003）」より）
8

ネットワーク攻撃の傾向 （その2）p 迅速な攻撃プログラムの公開
n「Windows RPC/DCOM」
セキュリティホール
p 7月17日、情報およびパッチ公開（MS03-026）
p 7月26日、攻撃プログラム公開（dcom.c）p 8月12日頃、ブラスターワーム発生

n「Cisco IOSサービス妨害」セキュリティホール
p 7月16日、情報およびパッチ公開
p 7月18日、攻撃プログラム公開（shadowcode）

n「Windows Workstationサービス」セキュリティホール
p 11月11日、情報およびパッチ公開（MS03-049）
p 11月12日、攻撃プログラム公開（0349.cpp等）

9

ネットワーク攻撃の傾向 （その3）p 感染性能に優れたワーム/ウィルスによる攻撃
n

クライアントPCのセキュリティホールを攻撃
p ブラスター、ウェルチア（RPC/DCOMセキュリティホールを利用）

n

クライアントPCから社内ネットワークへ感染
p 自宅等で感染したPCを持ち込む
p VPN/RASで社内にアクセス
p 社内クライアント
PCからインターネットへダイアルアップ
p 規模の大きな企業ほど感染（全体平均で18.6%、IPA調べ）n

複合的なセキュリティ脅威
p 感染したPC自体の被害
p 感染行為によるネットワーク障害
p 情報漏洩、情報削除
p ...
10

内的要因によるセキュリティ侵害 （その1）
p 最近の個人情報流失事例
組織名

流出規模

流出情報

流出経路・原因

NTTデータ

4312件（紛失）サービス利用者の依頼情報

業務委託先社員のノートPC紛失

ファミリーマート

18万2780件

会員の個人情報調査中

コンピュータソフトウェア
著作権協会

1184件

Webサイトの質問者の個人情報

WebサイトCGIプログラムの不備

ローソン

約56万件

カード会員の個人情報調査中（業務委託先から漏洩?）近畿日本ツーリスト

2600件

顧客メールアドレス

ウィルス駆除通知メール

アプラス

7万9110名

顧客個人情報調査中（業務委託先から漏洩?）

リコー/帯広市役所

6万2433件（紛失）

除籍簿情報調査中（磁気テープ宅配過程にて紛失?）（各組織のプレスリリースおよびメディア報道より）
11

内的要因によるセキュリティ侵害 （その2）p 情報流失の内的要因

過失による情報漏洩（誤掲示、誤送信）
n PCやフロッピーディスク等の盗難・紛失
n システム設定の不備（Webアクセス許可の設定ミス等）
n Webアプリケーションの不備（一定の操作をすればデータにアクセス）nn

内部者（業務委託先）による故意の流出
p アクセス権を持つ者が行う場合
p アクセス権を持たない者が行う場合

12

注目すべきセキュリティ脅威
p ワームやウィルス出現が早く強力に感染 → パッチが間に合わない
n クライアントPCにより社内に感染、複合的に影響np 内部者の故意・過失

技術的/管理的コントロールが未整備
n 対外的なダメージが非常に大きい
np Webアプリケーションの不備

サイト固有の問題であるため実態の把握が困難
n しかし現実に多く存在するn13

セキュリティ対策のポイント

14

OSのセキュリティ基本設定 （その1）p （一般的に）デフォルト状態はセキュアでない
p 基本設定を施すことで未然に防げる場合が多い
不要なスクリプト
マッピングの削除
27%

特になし
34%

66%

NTFSパーティションの使用
2%

適切な仮想ディレクトリ設定
2%

不要な機能の停止/削除
19%
システムパーティション
分離、ACL強化
4%

コンテンツの適切な管理
12%（2000年から昨年3月までのIISセキュリティホール、独自調べ）

p システム設計時におけるセキュリティ設定の標準化
15OSのセキュリティ基本設定 （その2）p Windows 2000における一般的脅威と対策n

Nullセッションによる情報取得
p 「匿名接続の追加を制限する」->「SAMのアカウントと共有の列挙を許可しない」もしくは「明示的な匿名アクセス権がない場合アクセスを許可しない」
nパスワードクラック
p 各種アカウント設定（長さ、文字種制限、ロックアウト設定、等）
p NoLMHash設定n

SMBリレー等によるMan-in-the-Middle攻撃
p SMB署名、IPSec通信n

ソースルーティングによるIPアドレス詐称
p ソースルーティング禁止設定（
DisableIPSourceRouting=2）n

各種物理攻撃p EFSの使用、SYSKEYを2以上に設定

n

その他
p 不要サービスの停止（メッセンジャー、サーバサービス、...）、監査の有効化
16パッチマネージメント（その1）p セキュリティパッチにはタイムラグがある

発見者が脆弱性情報をどのように取り扱うかに依存
n 攻撃ツール（Worm等）の蓄積 → 新たな脆弱性にすばやく対応
n 日本語版ゆえのパッチの遅れ … 最近はあまりない（?）
np セキュリティパッチは必ずしも完全ではない

パッチは緊急的に作成（早期提供が優先）
n ベンダー側での検証・テストが十分でないnp セキュリティパッチ適用のインパクト

実運用環境に適用する前にテストが必要
n パッチ自体の問題、動作環境やアプリケーションとの関係
n17

パッチマネージメント（その2）p パッチのタイムラグ
パッチ提供後、脆弱性の詳細が公開
発見

情報
公開

認知、パッチ作成、提供

悪用

パッチ
適用

発見者がベンダーに通知せず詳細を公開
発見

情報
公開

悪用

認知、パッチ作成、提供

パッチ
適用

発見者が脆弱性を悪用して攻撃プログラムを作成
発見

悪用

認知、パッチ作成、提供

情報
公開

パッチ
適用

18

パッチマネージメント（その3）p パッチ適用の判断

すぐに適用すべきか、定期メンテナンス時でもよいかn セキュリティホールおよびパッチ適用のリスクを知る
n リスクが許容できるかどうかを判断する
n 判断材料 ... セキュリティホールの情報と自己の状況
np パッチのテストと実環境への適用
p パッチ適用を前提としたシステム設計・
構築
p クライアントPCに対するパッチ適用
p パッチマネージメントシステムの導入

19

クライアントPCセキュリティ（その1）p クライアントPC自体を保護する
p クライアントPCからの攻撃を防ぐ

ワーム、ウィルス、不正アクセス●●セキュリティ基本設定
セキュリティ基本設定●
ユーザ認証● ユーザ認証●●セキュリティパッチ
セキュリティパッチ
●アンチウィルスソフトウェア● アンチウィルスソフトウェア●●パーソナルファイアウォール
パーソナルファイアウォール●
物理的保護● 物理的保護●●ユーザ教育
ユーザ教育

ワーム、ウィルス、不正アクセス20

クライアントPCセキュリティ（その2）p WindowsクライアントPCを安全に使うには（特にモバイル）

Windows 2000もしくはWindows XP Proを使用する
n 一般ユーザでログオンして使用する
n BIOSパスワードやHDパスワードを利用する
n SYSKEYを2（パスワード入力）に設定する
n 暗号化機能を正しく使う
n ホストファイアウォール機能を利用する
n IEのゾーンセキュリティ設定を強化する
n 「ソフトウェア制限のポリシー」を有効に使う（XPの場合）
n アンチウイルス、Windows Update、データバックアップ、
...
n

21

クライアントPCセキュリティ（その3）p エンドユーザ自身の不正な行動を制限する

不正プログラム、攻撃プログラムのインストール・実行
n アクセス許可のない情報へのアクセス
n 機密情報の外部への持ち出し
n

ユーザ操作権限を限定
n 不正プログラムの検査・削除
n ユーザの行動の監視
n リムーバブルメディアの制限
n 非正規PCの接続の拒否
n 統合クライアント管理システムの導入
n22アプリケーションセキュリティ
p 特にWebアプリケーション（CGI等）

クロスサイトスクリプティング
n プログラム実行、ファイル内容表示、ディレクトリトラバーサル
n アカウント推測、セッションID再利用、認証ロジック回避
n バッファオーバーフロー、フォーマットストリング攻撃
n SQLインジェクション
np 基本的にはアプリケーションの設計・プログラミングミス
p Webシステムにおける非常に大きな脅威
p セキュアプログラミング
p アプリケーションファイアウォール
23セキュリティテスト（その1）p セキュリティテストの目的

組織が自ら定めたセキュリティレベルに達しているか?
n 本来目指すべきセキュリティレベルに達しているか?
np セキュリティテストの実施時期

システム導入時の実施（システム開発、システム購買）n システム改変時の実施（機能追加、改良）
n 定期的な実施（毎月、半年おき、一年おき、等）
np さまざまなセキュリティテスト

ポリシーレビュー、スタンダードレビュー、デザインレビュー
n ファシリティ検査
n セキュリティ設定調査、アプリケーションソースコード検査
n 管理者や利用者へのインタビュー、アンケート、ログ（記録）のレビュー
n ペネトレーションテスト
n24

セキュリティテスト（その2）p 各種セキュリティテストの守備範囲

レイヤ

GAP

本来目指すべきセキュリティレベル（業界標準・各種基準・ベストプラクティス）

ポリシー・
スタンダード GAP
レビュー

デザインレビュー

インタビュー・アンケート・ログレビュー

運用・管理・利用（人間系）

ソースコード検査

アプリケーションシステム

GAP

セキュリティ設定調査

ペネトレーションテスト

OS・サービスネットワークシステム

ファシリティ検査

基本方針

基準

手順・マニュアル・設計

ファシリティ

インプリメンテーション（施工・開発・設定・運用・利用）25

セキュリティテスト（その3）p ペネトレーションテストの特徴
n【長所】：侵入者と同じ思考、手口、ツールで、不正侵入の可能性を実証→ 実際に利用されうる脆弱性を、具体的に明らかにできる→ インパクトのある結果を提示することができる→ 非正規のサーバ、アクセスポイント等、隠れた問題を明らかにできる→ 単体ではなくシステムとしての問題点を明らかにできる→ 侵入の検知やハンドリングをテストすることができるn【短所】：限られた期間内および侵入経路による、実装に対するテスト→ 問題の根本原因を解き明かすことはできない→ 問題を網羅的に明らかにすることはできない→ 潜在的な問題を明らかにすることはできない→ 相応のリスクを伴う
26

まとめ
p 事後対応型（Reactive）から事前予防型（Proactive）へ

セキュリティ基本設定を含むセキュアなシステム構築
n セキュリティテストによる目標との乖離状況チェック
n 侵入や情報漏洩を未然に防ぐためのセキュリティ監視np 外部防御から内部防御へ

クライアントPCのセキュリティ対策
n クライアントPCを網羅したパッチマネージメントシステム
n エンドユーザの行動をいかに制限するか
np 下位レイヤーから上位レイヤーへ

ネットワークやOS層からアプリケーション層や人間系へ
n セキュアプログラミング、アプリケーションファイアウォール
n 教育、教育、教育、...
n

27

参考
pSymantec Internet Security Threat Report Volume IV
https://enterprisesecurity.symantec.com/Content/displaypdf.cfm?SSL=YES&EID=0&PDF
ID=551&promocode=ITRp

マイクロソフトセキュリティ情報一覧
http://www.microsoft.com/japan/technet/security/current.asppUnpatched Internet Explorer Bugs
http://www.safecenter.net/UMBRELLAWEBV4/ie_unpatched/index.html

pW32/MSBlaster及びW32/Welchiウイルス被害に関する企業アンケート調査の結果について（IPA）
http://www.ipa.go.jp/ipa/press/img/030918Press.pdf

pセキュリティ基本設定の重要性（NT-Committee2 緊急コンピュータセキュリティ研究会）
http://impress.tv/im/article/kcs.htmpWindows Server World誌 特集「社内不正ユーザ撃退法」
http://www.st.rim.or.jp/~shio/wsvworld/maluser/p

IPA ISEC セキュア・プログラミング講座
http://www.ipa.go.jp/security/awareness/vendor/programming/index.html

pIntrusion Prevention Systems: the Next Step in the Evolution of IDS
http://www.securityfocus.com/infocus/1670
28