「つながった機器」と「インシデント」

2016年8月23日
一般社団法人JPCERT コーディネーションセンター
早期警戒グループ鹿野 恵祐

本日のお題目

1. JPCERT/CCの紹介
2. インシデント事例のご紹介
3. インターネットからの探索活動
4. JPCERT/CCからのおねがい

1

Copyright ©2016 JPCERT/CC All rights reserved.

1. JPCERT/CCの紹介

2

Copyright ©2016 JPCERT/CC All rights reserved.

「JPCERT/CCをご存知ですか？」1. JPCERT/CCとは一般社団法人 JPCERTコーディネーションセンター
Japan Computer Emergency Response Team Coordination Center
ジェーピーサート コーディネーションセンター

日本国内のインターネット利用者やセキュリティ管理担当者、ソフトウエア製品開発者等（主に、情報セキュリティ担当者）がサービス対象
コンピュータセキュリティインシデントへの対応、国内外にセンサをおいた「インターネット定点観測」、ソフトウエアや情報システ
ム・制御システム機器等の脆弱性への対応などを通じ、セキュリ
ティ向上を推進インシデント対応をはじめとする、国際連携が必要なオペレーショ
ンや情報連携に関する、我が国の窓口となるCSIRT（窓口CSIRT）

CSIRT: Computer Security Incident Response Team
※各国に同様の窓口となるCSIRTが存在する(米国のUS-CERT、CERT/CC、中国のCNCERT、韓国のKrCERT/CC、等)

経済産業省からの委託事業として、サイバー攻撃等国際連携対応調整事業を実施
3

Copyright ©2016 JPCERT/CC All rights reserved.

「JPCERT/CCをご存知ですか？」1. JPCERT/CCの活動
インシデント予防

インシデントの予測と捕捉発生したインシデントへの対応

脆弱性情報ハンドリング

情報収集・分析・発信

インシデントハンドリング

定点観測（TSUBAME）（インシデント対応調整支援） 未公開の脆弱性関連情報を製品開発者へ提供し、対応依頼
 関係機関と連携し、国際的に情報公開日を調整
 セキュアなコーディング手法の普及 制御システムに関する脆弱性関連情報の適切な流通 ネットワークトラフィック情報の収集分析
 セキュリティ上の脅威情報の収集、分析、必要とする組織への提供

 マルウエアの接続先等の攻撃関連サイト等の閉鎖等による被害最小化
 攻撃手法の分析支援による被害可能性の確認、拡散抑止 再発防止に向けた関係各関の情報交換及び情報共有

早期警戒情報CSIRT構築支援

制御システムセキュリティ

重要インフラ、重要情報インフラ事業者等の特定組織向け情報発信
海外のNational-CSIRTや企業内のセキュリティ対応組織の構築・運用支援
制御システムに関するインシデントハンドリング、情報収集・分析発信

アーティファクト分析

マルウエア（不正プログラム）等の攻撃手法の分析、解析

国内外関係者との連携

日本シーサート協議会、フィッシング対策協議会の事務局運営等

国際連携
4

Copyright ©2016 JPCERT/CC All rights reserved.

各種業務を円滑に行うための海外関係機関との連携

1. 定点観測システムの仕組み
2

1. ワームやボットなどが送ったパケットをセンサが受信

1

2. センサ宛に届いたパケットをログに記録

3

3. ログファイルをサーバに送信
4. 受け取ったログファイルをデータベースに保存
5. 分析者はポータルにログインして分析等を実施

5Copyright ©2016 JPCERT/CC All rights reserved.

54

1. 本取組みに参加している組織(2016年8月現在)

Map data (c)2015 Google.

6Copyright ©2016 JPCERT/CC All rights reserved.

1. 本取組みに参加している組織(2016年8月現在)

Members:
AusCERT, bdCERT, BruCERT, CamCERT , CCERT,CERT-In, CNCERT/CC, GovCERT-HK, HKCERT,
Id-SIRTII/CC, JPCERT/CC, KrCERT/CC, LaoCERT,maCERT, mmCERT, MNCERT/CC, MOCERT,MyCERT, MonCIRT, PHCERT, SingCERT,Sri Lanka CERT|CC, TechCERT, TWCERT/CC,TWNCERT, ThaiCERT
26 teams from 21 economies
Map data (c)2015 Google.

7

Copyright ©2016 JPCERT/CC All rights reserved.

2. インシデント事例のご紹介

8

Copyright ©2016 JPCERT/CC All rights reserved.

2.1 PLCがWANに露出していた事例
事象の発見—JPCERT/CC の分析官がパブリックモニタリング中にブログ記事（中国語）を発見

キーワード
—国立大学
—アクセス制御—認証不備—PLC
中国語のWebサイトで掲載されているブログ記事

発生していた事象—Webインターフェースがインターネットからアクセス可能—PLCのポートにインターネットから到達可能
9

Copyright ©2016 JPCERT/CC All rights reserved.

対象製品が使用する Port のパケット数の推移• 2015年4月以降センサでパケットを継続して観測している• セキュリティ研究者が調査目的に送ったと思われるパケットが多いが、それ以外のパケットも観測している

10

Copyright ©2016 JPCERT/CC All rights reserved.

類似の例｜プリンタ、PCの画面など

プリンタ

RDP/VNCなど
11

Copyright ©2016 JPCERT/CC All rights reserved.

参考：

JPCERT/CCに報告されたインシデント情報と連絡の流れ

12

Copyright ©2016 JPCERT/CC All rights reserved.

対応ケース１｜国内→国内

国内サイト
管理者

①攻撃活動など
被害者・発見者

②
報
告④
連
絡

③連絡
13

Copyright ©2016 JPCERT/CC All rights reserved.

ISPやASP事業者
システム管理者
CSIRTなど

対応ケース２｜海外→国内

・海外CSIRT
・海外金融機関
・海外ISP・セキュリティベンダ
・関連団体、など①日本に関わるインシデント
国内サイト
管理者

②
報
告④
連絡
③連絡

14

Copyright ©2016 JPCERT/CC All rights reserved.

ISPやASP事業者
システム管理者
CSIRTなど

対応ケース３｜国内→海外①海外で日本にかかわるインシデント

・海外CSIRT
・海外ISP、など

③
連絡

15

Copyright ©2016 JPCERT/CC All rights reserved.

・発見者
・システム管理者
・国内事業者（金融機関など）
・セキュリティベンダ

2.2 Linux ボードが設置されていた事例
事象の発見— TSUBAMEセンサーに対し、Port22/TCP(SSH)のSYNパケットを送ってきた

キーワード— 国立/私立大学等— 組み込みLinux— パスワード強度— アクセス制御— マルウエア感染— 踏み台

送信元IPアドレスで動作している
ネットワーク接続された Linux board の初期画面

主な問題— 攻撃者に辞書攻撃を受け、機器に侵入されていた（セットアップ後にデフォルトパスワードを変更していなかった）— マルウエアが実行され第三者が探索や辞書攻撃等を行っていた
16

Copyright ©2016 JPCERT/CC All rights reserved.

Port 22/TCP を対象としたパケット数の推移• 定常的にパケットを観測している• 観測パケット数 TOP5 にほぼ含まれる• セキュリティ研究者だけではなく、マルウエア感染ホストなどもパケットを送信している17

Copyright ©2016 JPCERT/CC All rights reserved.

2.3 再生可能エネルギーのモニタリング装置
問題の発見— TSUBAMEにてPort23/TCP（Telnet）のSYNパケットを観測

キーワード— 固定 IP アドレス
（設置場所は不明）— 組み込みLinux— マルウエア感染— 踏み台

送信元IPアドレスのWebサーバで表示される発電量画面(イメージ)

主な問題— 攻撃者に辞書攻撃を受け、機器に侵入されていた（リモート管理用に Telnet をサポートしている）— LAN内で利用機器をWANに直結していた（ルータを利用することをメーカは推奨）
18

Copyright ©2016 JPCERT/CC All rights reserved.

Port 23/TCP を対象としたパケット数の推移•観測パケット数で一番多い•機器などが送信元となっている事例が多くみられる•遠隔管理用途にTelnetを使っている機器が存在する•2016年5月下旬から急激にパケット数が増加している
19

Copyright ©2016 JPCERT/CC All rights reserved.

おまけ｜感染した機器が探索や攻撃活動を行う？

20

Copyright ©2016 JPCERT/CC All rights reserved.

おまけ｜感染した機器が探索や攻撃活動を行う？(2)21

Copyright ©2016 JPCERT/CC All rights reserved.

文科省のサイトで紹介されている導入事例

文部科学省
学校施設への太陽光発電の導入事例
http://www.mext.go.jp/a_menu/shisetu/newdeal/jirei/1288305.htm
22

Copyright ©2016 JPCERT/CC All rights reserved.

おまけ｜機器がルータを攻撃？
Port53413/UDP宛のパケットが2014年9月ごろより増加

多くの送信元は Linux を組み込んだ機器—Webカメラ, TV会議システム, ルータなど

海外ベンダ製のルータの脆弱性を攻撃—主に中国・韓国で販売されている

23

Copyright ©2016 JPCERT/CC All rights reserved.

2.4 踏み台となるネットワーク機器
問題の発見— TSUBAMEにて送信元Port 53/UDP からDNSクエリに対する応答パケットを観測キーワード— 国立大学、企業、個人等— ネットワーク機器/DNSサーバ（国内機器ベンダ含）— オープンリゾルバ/フォワーダー
— DDoS攻撃
— 踏み台

主な問題

DNS リゾルバ機能が動作している
ネットワーク機器(イメージ）— 設定不備DNSコンテンツサーバが誤ってリゾルバとしても動作していたWANからDNSクエリを受け付ける設定になっていた— DNS 水責め攻撃(DDoS)攻撃に参加していた
UDP Amp攻撃にも使用されていた可能性あり
24

Copyright ©2016 JPCERT/CC All rights reserved.

Port 53/UDP からのパケット数の推移と特徴

25

Copyright ©2016 JPCERT/CC All rights reserved.

3.インターネットからの探索活動

26

Copyright ©2016 JPCERT/CC All rights reserved.

3. サーチエンジンを使用した機器の検索
インターネットに接続されたノード（IPアドレスを持つ機器）を検索するサービス—インターネットに対して、様々なプロトコルのリクエストを送信し、そのレスポンスをデータベース化している—制御システム関連プロトコルなど広くにも対応している（Modbus、DNP3、Ethernet/IPなど）

検索サービスの例
27

Copyright ©2016 JPCERT/CC All rights reserved.

類似の検索サービス
ZoomEye—https://www.zoomeye.org/—中国版SHODAN

censys—https://censys.io/—米国 Michigan 大学の研究チームが作成

ICSfind—http://icsfind.com/—中国の大学が作成（現在はアクセスできない）

28

Copyright ©2016 JPCERT/CC All rights reserved.

4. JPCERT/CCからのおねがい

29

Copyright ©2016 JPCERT/CC All rights reserved.

JPCERT/CCからのおねがいネットワークの状況を把握しましょう— どのIPアドレスが使用されているか、動的か静的か？
— WHOIS など連絡体制の更新もおねがいします

ログの取得や保存— ”高度サイバー攻撃への対処におけるログの活用と分析方法（2015年11月公開）” では、1年以上の保存を推奨しています

機器をインターネットに接続する前に— WANとLAN接続口を間違えていませんか？
LANで使用を推奨する機器もあります— アンチウイルスの有無を確認する— ファイアウォールやルータのフィルタリングの設定を確認する
利用目的外の管理者 Web インタフェースやメンテナンス機能にも注意
ランダムPortを使用する製品もある

30

Copyright ©2016 JPCERT/CC All rights reserved.

類似インシデントを防ぐための取り組み
注意喚起や早期警戒情報の発行
海外の National CSIRT との連携
—不審なパケットの送信元IPアドレスリストの提供—推測される問題機器の情報
セキュリティ上の問題の共有

国内ISPや機器ベンダとの連携—機器が設置されているIPアドレスの管理者への情報提供—同様の問題を引き起こさないため製品ベンダにも情報提供

みなさまからの報告や情報を活用！！
＊個者が特定されるような使い方は致しません

31

Copyright ©2016 JPCERT/CC All rights reserved.

お問合せ、インシデント対応のご依頼はJPCERTコーディネーションセンター— Email：pr@jpcert.or.jp— Tel：03-3518-4600— https://www.jpcert.or.jp/

インシデント報告— Email：info@jpcert.or.jp— https://www.jpcert.or.jp/form/
制御システムインシデントの報告— Email：icsr-ir@jpcert.or.jp— https://www.jpcert.or.jp/ics/ics-form

32

Copyright ©2016 JPCERT/CC All rights reserved.

ご静聴ありがとうございました

33

Copyright ©2016 JPCERT/CC All rights reserved.