－大学教育現場におけるセキュリティ対策の考え方－

株式会社ラック
サイバーリスク総合研究所
最高技術責任者西本 逸郎
itsuro@lac.co.jp
http://www.lac.co.jp/
Copyright
Copyright©©2010
LittleeArtheArthCorporation
CorporationCoCo.,.,LtdLtd. .
2010Little

株式会社ラック
ITを活用し企業のリスク管理を支援する、次代と経営を拓くセキュリティプランナー
ITを活用し企業のリスク管理を支援する、次代と経営を拓くセキュリティプランナー
1986年、株式会社ラックは設立されました。”Little eArth Corporation”という社名には、ＩＴの進展で地球が相対的に小さくなっていく中で、ＩＴを基盤に国や企業の発展を支えていこうという理念がこめられています。
独立系セキュリティベンダーとして、15年近くの豊富な実績がお客様の信頼の証です。
ＪＳＯＣ（下記参照）、サイバーリスク総合研究所
サイバーリスク総合研究所、サイバー救急センター
ＪＳＯＣ
サイバーリスク総合研究所 サイバー救急センターの配備が特徴です。
サイバー救急センター
商 号

株式会社ラック
LAC：Little eArth Corporation Co., Ltd.

設 立

1986年(昭和61年)9月資本金

11億5,942万6,500円

株 主

ラックホールディングス株式会社(100%)代 表代表取締役社長 執行役員社長 齋藤 理

売上高5,138百万円(24期：2009年03月期)
2,342百万円(23期：2008年03月期)※23期は決算期変更による3ケ月変則決算です。

7,154百万円(22期：2007年12月期)
決算期

3月末日

従業員数

352名 （2010年4月現在）

認定資格

経済産業省情報セキュリティ監査企業登録
情報セキュリティマネジメントシステム(ISO/IEC 27001)認証取得(JSOC)
プライバシーマーク認定取得

1

・本社〒102-0093 東京都千代田区平河町 2-16-1
平河町森タワー
03-6757-0111(代表)
03-6757-0113 (営業窓口)
・名古屋オフィス〒460-0008 名古屋市中区栄3-15-27
名古屋プラザビル 9F

・米国ニューヨークオフィス USLAC
・韓国ソウル 子会社 CSLAC
Cyber Security LAC Co.,Ltd.
・中国上海 子会社 LAC CHINA
上海楽客網絡技術有限公司
http://www.lac.co.jp/
http://www.lac.co.jp/
sales@lac.co.jp
Twitter @lac_security
YouTube laccotv■ JSOC (Japan Security Operation Center)
JSOCは、ラックが運営する情報セキュリティに関するオペレーションセンターです。高度な分析システムや堅牢な設備を誇り、24時間365日運営。高度な分析官とインシデント対応技術者を配置しています。2000年の九州・沖縄サミットの運用・監視を皮切りに、日本の各分野でのトップ企業などを中心に、高レベルのセキュリティが要求されるお客様にその高品質なサービスを提供しています。

1

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

1

わたしにしもといつろう

西本 逸郎
昭和３３年
昭和５９年３月
昭和５９年４月
昭和６１年１０月

CISSP
福岡県北九州市生まれ
熊本大学工学部土木工学科中退
情報技術開発株式会社入社
株式会社ラック入社

通信系ソフトウェアやミドルウェアの開発に従事。１９９３年ドイツのシーメンスニックスドルフ社と提携し、オープンPOS提携し、オープンPOS（POS（ WindowsPOS）を世界に先駆け開発・実践投入。２０００年よりセキュリWindowsPOS）を世界に先駆け開発・実践投入。２０００年よりセキュリ
ティ事業に身を転じ、日本最大級のセキュリティセンターＪＳＯＣの構築と立ち上げを行う。
さらなるＩＴ利活用を図る上での新たな脅威への研究や対策に邁進中。
情報セキュリティ対策をテーマに官庁、大学、その他公益法人、企業、各種ＩＴイベント、セミナーなどでの講演、新聞・雑誌などへの寄稿等多数
株式会社ラック 取締役 常務執行役員 最高技術責任者
サイバーリスク総合研究所
サイバー救急センター
特定非営利活動法人 日本ネットワークセキュリティ協会 理事
データベースセキュリティコンソーシアム 理事、事務局長

連載・コラム
西本逸郎のセキュリティー表ウラ

経済産業省 電子商取引等に関する法的問題検討会 委員（２００７年～）
IPA セキュリティ＆プログラミングキャンプ実行委員（２００７年～２００９年）
セキュリティ＆プログラミングキャンプ実行委員（２００７年～２００９年）（財）日本情報処理開発協会 リスク管理統制対応評価検討委員
2009年度情報化月間
2009年度情報化月間 総務省情報通信２００８年～）
総務省情報通信２００８年～）国際戦略局長表彰
２００８年～）国際戦略局長表彰

セキュリティー表ウラ検索

http://it.nikkei.co.jp/security/column/nishimoto_security.aspx

2

ブログ どらいつ検索

ツイッター http://twitter.com/dry2
Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

１．最近の緊急対応

3

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

2

サイバー救急センター 出動状況 ２００９
２００９年１０月
上旬まで

２００８年
他
侵入
6% 6% 情報漏洩
21%
DOS
15%
改ざん
27%

情報漏洩
他
20%
4%
改ざん
7%
DoS
15%

情報窃取
25%

4

情報窃取
32%
侵入
22%

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

サイバー救急センター 出動状況 ２００９
攻撃者の変化5

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

3

サイバー救急センター 出動状況 ２００９
FYI 最近のカード情報窃取
正当な利用者も正当な利用者も攻撃者も接点は利用者も攻撃者
攻撃者も接点は検索エンジン
も接点は検索エンジン
どういう検索キーワードで、自サイトを訪れたのか？ → 訪問目的 ？
SEO対策は、セキュリティの観点でも極めて重要。
SEO
対策は、セキュリティの観点でも極めて重要。
利用者に興味を持たせ、攻撃者に興味を持たせない、SEO対策。
利用者に興味を持たせ、攻撃者に興味を持たせない、SEO対策。
みんな、脆弱性をなくそうとかあらゆる脅威から防ごうとかいうけど、その前に、見た目が勝負！
6Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

２．大学関係 インシデント
JSOC監視と１１９からJSOC監視と１１９から7

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

4

JSOC での観測と１１９実績からでの観測と１１９実績から１．ワームやボットなどよる通信はたいてい見ることができる。
２．SQL
２．SQLインジェクションでの情報窃取もよく見かける。
SQLインジェクションでの情報窃取もよく見かける。
３．そう言えば、Moodle
３．そう言えば、MoodleというMoodleというWebというWebアプリの脆弱性への攻撃
Webアプリの脆弱性への攻撃
４．そうそう、内部からのSSH
４．そうそう、内部からのSSHスキャン
SSHスキャン
→内部から外部に対して22/
内部から外部に対して22/tcp
22/tcpのスキャンが発生。
tcpのスキャンが発生。
13．
13．他者へ攻撃。
Jailbreakされた
JailbreakされたiPhone
されたiPhone
他者からの指摘で発覚。
５．ノーガードプリンタ
14．
14．フィッシング詐欺→外部から内部のプリンタポートへ接続可能。
昔は、６．IIS2.0/IIS3.0
６．IIS2.0/IIS3.0 デフォルトインストール状態のサーバ
７．NCSA
７．NCSA HTTPdもHTTPdも８．Web
８．Webサーバがウイルス
Webサーバがウイルス(サーバがウイルス(Aliz)
Aliz)置き場に・・・
９．DDoS
９．DDoSエージェントとDDoSエージェントとSSH
エージェントとSSHバックドア
SSHバックドア
10．
10．外部のPOP
外部のPOPサーバに攻撃してPOPサーバに攻撃してrootサーバに攻撃してroot権限を奪取してしまった・・
root権限を奪取してしまった・・
11．
11．デフォルトパスワードのブロードバンドルーター
12．
12．外部からSoftether
外部からSoftether接続
Softether接続
8

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

JSOC での観測と１１９実績からでの観測と１１９実績からいろいろあるが、個々の話をしても仕方ない。
→ 発生したインシデントでは事の大小はわからない。

どこで？誰が？どんな目的で？
あと、組織の存在価値
9

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

5

３．学内ネットの種類と特徴

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

10

分類 学内ネット・システム一般論
IT活用リテラシ向上と情報セキュリティの教育的意義
IT
活用リテラシ向上と情報セキュリティの教育的意義

ISP事業（ISP
事業（研究基盤、インフラサービス）
事業（研究基盤、インフラサービス）

学校運営基盤（基幹系
学校運営基盤（基幹系））

いわゆる、学校運営基盤システム
学校運営基盤システム
いわゆる、学生）
販売管理（販売管理（予算、予算、経理）、経理）、顧客管理）、顧客管理（顧客管理（学生）サービス管理（履修、時間割、時間割、成績、成績、出欠）出欠）
サービス管理管理（履修、などなど学内社会基盤（情報サービス
情報サービス系
学内社会基盤（サービス系）

サービス
戦略

いわゆるキャンパスサービス
保健、求人関係、求人関係、図書、図書、保健、
掲示板（アルバイト紹介アルバイト紹介、インターン、学生寮）学生寮）
掲示板（紹介、インターン、その他
その他

ネットワークそのものを対象とした研究とした研究など
研究など
ネットワークそのものを対象
対象とした

インフラ
ネットワーク
戦略

研究対象（ラボネット）
ラボネット）
研究対象（

ITリテラシ
IT
リテラシ
教育
ポリシー

法律上の問題
基本なんでもあり先進的研究
攻撃・マルウェア
危険行動
サービスネット
そこそこのそこそこのセキュリティ
合理性・利便性
誰に責任基幹システムしっかりしたセキュリティ
合理性
誰の責任？

CIO
戦略

極めて重要
この部分で推進する意識が多くのところで欠落しているのでは？
法律上の問題基盤レベルのセキュリティ研究を行うためのネットワークやシステム、 メール、Web
メール、Web、Web、ホスティング、ストレージ、他
11

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

6

４．取り組むべき課題→ 環境変化12

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

備えるべき、二大 環境変化
① クラウド→ ここ一年だろうか。
自分たちの活用。 → スマホから② スマートフォン→ これは、この半年くらいでしょうか？
自分たちの活用。 → 個人から

13

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

7

備えるべき、二大 環境変化
パソコン
紙と鉛筆

携帯スマホ

タブレット
総務省 経産省

14

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

クラウド活用一般的なクラウド活用は
個人と中小企業から

15

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

8クラウド活用は個人と中小企業からすでに、大企業の中でも（勝手すでに、大企業の中でも（勝手に）使用している例も多い、大企業の中でも（勝手に）使用している例も多い
仮想ストレージサービス・Webメールなど無料のものも数多くある

恐らく大半の組織では違反行為だが、、、

コピー
コピー

会社

スマートＸ

http://www.lac.co.jp/info/rrics_report/csl20091221.html
企業のインターネット利用実態調査から考察する情報漏えいリスクの可能性について

16

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

ボトムアップのクラウド活用に組織は？
どうする？ 選択肢。

１．禁止する。
→ いたちごっこ。やっても一時的。
２．黙認する。
→ あり得ない。
３．すべて許可する。（受け入れる）→ 決断
４．安全なやり方を用意する。
→ 必然
17

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

9基本的な方向性は決まっていますか？
１．スマホ利用に関するポリシー
使用に関すること
使用アプリに関すること WL
WL？
？ BL
リテラシ向上の目標設定と実施策
２．クラウド活用に関するポリシー
まずは、スマホとの組み合わせ方。
どういう業務やプロセスデータの取り扱い。法的対応。
18

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

５．クラウド活用の心構え

19

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

10

クラウドの定義

クラウドの定義は様々
どれが正解などは、たぶん存在しない。
組織により生き残り方は異なる。
恐らく、生き残った組織が正しく、生き残ったクラウドが正しい。
ただ、一般論は存在する。
その組織にとって正しいかどうかは別として。
# 最初から規制や利用者からの要求でつまらなくならなければ良いが。
# あっ！ 所詮、それも自然淘汰か。
20

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

クラウドが着目される理由

クラウドに走る理由 （個人的な意見）
０．短期的には経費カット
１．経費の流動化
成功へのハードルを低く、機動力を最大限に。
２．事業の自由度確保
継続的ダメージを最小限に
３．トータルコストの削減
４．必然（スマートフォン、タブレット（スマートフォン、タブレット → スマートX
スマートX）
生き抜いていくこと。
その為には我々は環境適応し続けなければならない。
将来役に立つかもしれないけど、重たい荷物はいらない。
21

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

11

知らなければならない事実と覚悟

仮想は、仮想であり、実物ではない。
VPN、
VPN、広域イーサ（仮想的イーサ）、VLAN
広域イーサ（仮想的イーサ）、VLAN、VLAN、仮想サーバ、仮想デスクトップ、仮想ドライブ・ストレージ、仮想アプリ、仮想サイト、など

クラウドを支える基本テクノロジー「仮想化」。
この「仮想」がついたサービスは、四次元的な攻撃や事故が発生しうる。
ある面、サービス提供者は「神様」に成り得るため、その信頼度が極めて重要。
ある面、サービス提供者は「神様」に成り得るため、その信頼度が極めて重要。
→ 重要インフラのサービスがどのようなものか検証してみるのも良いかもしれない。
行政・電気・ガス・水道・金融・通信・航空・鉄道・医療・物流。
高利用率。選択肢の有る無し。
高利用率。選択肢の有る無し。SLAの有る無し。SLA
SLAの有る無し。の有る無し。法律等での無し。法律等での縛りの有る法律等での縛りの有る無し
縛りの有る無し。
無し。
重要インフラ指定のプロセスや内容。
22

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

事件から言えること外部からの犯罪
１．Web改ざん
改ざん
１．
２．USBメモリ
メモリ
２．
３．標的型メール
３．標的型メール

アカウント

あと、サービス妨害
内部犯罪
１．情報システム部門
２．上司のパソコンの面倒を見ている部下
３．協力会社（特にオフショア開発・運用）
あと、役員の競合

丸投げ
23

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

12

クラウド社会を想起させる事件
１６万人分、約1,300万通のメールを消失→ ２００７年 ヤフー メールサービス
４００万サイト以上 ホスティングサービス停止、一部データを消失した可能性→ ２００９年 ヤフー ジオシティーズ
スマートフォンサービス、連絡先、スケジュール、ToDo、写真などを消失→ ２００９年 米国 Sidekickというスマートフォン
大規模な障害、オンラインストレージ 数時間にわたりサービス停止→ ２００８年 米国 アマゾンS3
仮想サーバサービス 数時間にわたりサービス停止→ ２００９年 米国 アマゾンEC2
大規模SaaS １時間程度サービス停止→ ２０１０年 セールスフォースドットコム ２００５年には数時間程度
大規模SaaS 数時間程度サービス停止→ ２００９年 米グーグルapp engine

サービス利用の鉄則！

こんなこともあろうかと。
→ ２００８年 米グーグルgmail

SLA 99.9%≒年間８時間

24

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

クラウド活用の原則
丸投げを受け止めるクラウドは？
クラウドとして存在しえない。

丸投げは通用しない。

自己責任25

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

13

何のためのセキュリティか？
ちなみに有名な「ディズニーランド」
４つの行動原則って、ご存知でしょうか？
１．安全性（Safety．安全性（Safety））
お客様の安全を守る。安らぎの提供。
２．礼節（Courtesy）．礼節（Courtesy）
気遣い。おもてなし。 お客様の安全を
３．成果（Show．成果（Show））
考慮しないプロは考慮しないプロは有り得ない。
感動。
プロとしての大前提。
プロとしての大前提。
４．効率（Efficiency）．効率（Efficiency）
26

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

新しい社会への課題
枝葉末節にとらわれてはいけない。
どうなるのか？どうなっているのか？を理解すること。
最終的には経営判断。場合によっては 経営者の決断 が必要にもかかわらず、セキュリティ上の課題を、経営上の課題に 繋げることの出来る人 が少なすぎる。
我々セキュリティ屋も、 セキュリティ家 へ進化しなければならない。

27

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

14

クラウド型サービス
提供
方法

サービス
内容

ハード
OS、DBMS、開発環境
アプリ
PaaS
SaaS

IaaS
契約ベース
自由度高い
機動力低い
所有
高額

自社
アウトソース
ASP

自己責任
自由度低い
機動力高い
使用
低額

クラウド
28

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

クラウドサービスのセキュリティ
１．IaaS、、PaaS の場合
１．
かなり、コントロールできるはず。
うまく活用すれば、接続部分を除けば、ほとんどハード無しで、IT環境をうまく活用すれば、接続部分を除けば、ほとんどハード無しで、 環境を利用することが可能となる。
→ 個人情報保護法の運用上の課題。
個人情報をクラウドに乗せられるのか？

廃棄の部分に課題がある。
29

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

15

クラウドサービスのセキュリティ
２．SaaSの場合の場合
２．
基本的には、コントロールすることはできない。
ベンダーを見極め、評価する必要がある。

→ ちゃんと利用するには、対抗できるリテラシーが必要。
３．いずれの場合も従量課金。 → 使用量？ 使用期間？
使用量の場合のメリットとリスク。

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

30

クラウドサービスのセキュリティ
どこのベンダーも導入
どこのベンダーも導入を決めたい。（仕事がほしい）も導入を決めたいを決めたい。（仕事がほしい）「対応します。」「やらせます。」「努力します。」
それ、対応して本当にクラウドとしてやっていける？
どこも、枯れたベンダーはない。
早く限界利益を超えたい。
環境に適応できる「嘘」なのか？
どこも、あるボリュームを超えないとペイしない。
あるところまで行き着かないと、それなりのサービスは出来ないはず。
31

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

16

クラウドサービスのセキュリティベンダーを育てよう。
自分自身も成長する中で、付き合うベンダーを決めて「育てる」、相互に発展する信頼モデル。今後は真の意味でのWinWinの関係が重要になる。の意味でのWin--Winの関係が重要になる。
それを自組織の体力に合わせて推進
ベンダーへの過剰なサービス要求は「天に唾」の危険性も。自組織がどこに向かい、どういう運営をしたいのか、考慮した付き合いを戦略的に。
Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

32

スマートフォンは楽しい？
Jailbreak（脱獄） と Drive by download.
Jailbreakとは、直訳すると「脱獄」とい直訳すると「脱獄」といSafariの脆弱性を悪用

この機構は、Driveby Downloadに悪用可能。
う意味の英単語である。通常のう意味
iPhoneまたはiPod touchにインストー

攻撃コード
攻撃コード

ルできるインストールは、基本的に１．シングルタスクor マルチタスク
App Store と呼ばれるAppleが認可し２．権限昇格の図れるアプリと脆弱性たアプリケーションを販売している窓
３．実施後の恒久性

口で入手したアプリケーションのみで/のシンボリックリンクとあるが、Jailbreakツールは App
スマートＸは、ブラックボックスなだけに万一の事態把握や現象解明が出来ないして/var/root/MediaをStore では公開されていないサード
http://www.jailbreakme.com/
作成可能性が高い。通常使用しているスマートＸ機器の通信相手やその内容が妥当パーティアプリをインストール可能に要はサイトにアクセスさせ、であるか調べあげることは大変難しい。
し、またアプリのインストーラを追加す脆弱性をつくPDFを落とし、るようにファームウェアを書き換える[1]。
PDF中に仕込んだコードを実行。
いわゆる Privilege escalation（特（特犯人にとって、電話を制御できる時点で金銭的に直結。さらに、PCよりパーソナルそのコードでIOSの脆弱性をつきパーミッションを変更して権昇格）の一種である。
権昇格）の一種
権限昇格（Jailbreak）し、必要なファイな機器だけに、遠隔制御された場合のインパクトは、プライバシーの面でも強烈。
ファイルシステムへの完全ルなどをインストールする。
なアクセスを入手

http://community.websense.com/blogs/securitylabs/archive/2010/08/06/technical-analysis～ ウィキペディアよりスマートは着実に進化（高機能化）し普及している。→犯人の動機も高まっている。
on-iphone-jailbreaking.aspx
33

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

17

スマホの課題 Jailbreak （脱獄）
１．脱獄者の法的問題
特定の目的下で合法の判断。（米国）
２．脱獄者の生息地
学校
ｗｉｆｉで持ち込み → 大企業でも観測される。
３．現状発生している脅威
大したことはない。
34

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

Jailbreak （脱獄）とスマートフォンの乗っ取り（感染）４．どうやってリモートから制御？
１） SSH
SSHなどなど
２） PC
PCのボットと同様のボットと同様
３） SMSSMSを悪用するを悪用する

35

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

18

Jailbreak （脱獄）とスマートフォンの乗っ取り（感染）５．このボット化したスマホと如何に対峙するか。
１） PC
PCのボットと同様の脅威のボットと同様の脅威
２） 課金可能なダイアル発信
３） 電話DoS電話DoS
４） スパイ行為
５） 使用できなくなる
６） 暴露
７） ＶｏＩＰゲート

36

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

Jailbreak （脱獄）とスマートフォンの乗っ取り（感染）６．想定すべき規模
以前のＰＣでのボット感染率は2%~2.5%
以前のＰＣでのボット感染率は2%~2.5%
日本国内で500
日本国内で500万台のスマ万台のスマホ万台のスマホが存在とすると。
存在とすると。
→ 10万
10万~12~12万台
万台
このままだ
このままだと、ＰＣより、増と、ＰＣより、増えてしまう危険性もある。
スマホ
スマホはそのビジネ
はそのビジネスモデルにより、ウイルス対策スモデルにより、ウイルス対策が難しい。
→ 恐らく、ベンダーは絶らく、ベンダーは絶対死守すべき死守すべきエネミ
すべきエネミーライン
エネミーライン＋ 大量の感染が発生する可能大量の感染が発生する可能性。
可能性。
37

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

19

６．攻撃を受けたら

38

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

サイバー攻撃を受けたらセキュリティインシデントは罪深いことなのか？
事業継続 → 被害者保護 → 情報共有
あってはならぬこと→無謬性 → 硬直
事故前提の対応力→ 正しい経営判断→ コミュニケーション
39

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

20

サイバー攻撃を受けたら１．現状把握。何が発生しているのか？
単一事象？複合事象？、単一事象？複合事象？、単一レイヤ？多レイヤ？
同時多発？
→ 見分けられるのか？
誰が困るのか？ → サービス業者、監督、利用者
誰に聞くのか？ → 誰を信じるか？
第一報は？
→ 誰にどのレベルの情報で？
２．攻撃者の目的。
金銭、妨害、恐怖、煽動、目くらまし、信用失墜

日本の機密性に関する３．対策
事業継続？
生真面目さが標的に？？
証拠の保全 → 訓練止められる？ 回避できる？緩和できる？ → 何を 攻撃？被害？
40

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

サイバー攻撃を受けたら４．関係者
利用者、事業関係者、関係省庁、メディア
５．対応、PR５．対応、公表 → 何を？誰に？どんな影響があり、何をしろというのか？
→ 公表こそ一番という 無責任。
社会サービスとしての責任。
→ よく聞く言葉、二度と同じことを繰り返せないので、停止。
一般企業では、最後の手段。そんなもの？
６、想定しておいていいこと
１） DDoS → どのレイヤで？ IPややTCPだけだけじゃない。
だけじゃない。
２） 改ざん、情報流出、破壊
３） 流言飛語、脅迫電話、偽の通報、成りすまし41

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

21

最後にクラウドへの適応は、ある面、従来の相互依存社会（所謂、ガラパゴス国家）の破壊と、捉えることができる。
どうせやるなら、環境適応をはかりつつ、生き残りを、模索したい。

42

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

最後に文学系、経済系、政治系、法律系、工学系、理学系、医学・薬学系
いずれにせよ、ＩＴリテラシを高めセキュリティ文化を植え込んでいくのは極めて重要なこと。

専門教育の第一歩は専門教育の第一歩はITリテラシと第一歩はITリテラシと最低限のセキュリティ文化を身につけるところから。

43

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

22

ありがとうごありがとうございました。

Any question ?

世界トップレベルのセキュリティノウハウで、日本のスタイルを支える。

株式会社ラック
http://www.lac.co.jp/
sales@lac.co.jp

44

Copyright ©2010 Little eArth Corporation Co.,Ltd.
Copyright ©2010 Little eArth Corporation Co.,Ltd.

23