2010/8/25

高等教育機関におけるセキュリティ脅威の最新動向とその対策−ウィルス感染からみえてくるアンチウィルスの限界と今後−

高倉弘喜
名古屋大学

1

マルウェア感染の経路
 従来…
 受動的な感染 外部からの攻撃 最近
 能動的な感染 外部記憶ディバイス
 USBメモリだけが危険、ではない デジタルカメラや携帯電話も 部署内でデジカメの共有を禁止？
 部署外に持ち出したデジカメ(のメモリ)を洗浄？

 地雷サイトへのアクセス
 地雷へのリンクを有するサイト

2

1

2010/8/25

大抵のマルウェアはbot(通信)機能装備
 Webからの指令受信
 指令の大部分は最新マルウェアの情報通知

 最新版配布もWebから
 ダウンロードによりマルウェアは常に最新版
 5分〜1時間間隔で更新
 アンチウィルスの更新頻度
 1時間〜1週間 検知パターンが追い付かない

 活動報告もWeb経由 盗聴、DDoS攻撃参加、spamメール送信など
 戦果は逐次報告

3

何故Webアクセスか？
 外部との通信が全くないPC
 利用価値ゼロ

 外部との通信があれば…
 大抵の組織でWebアクセスは許可
 Proxyが必須でも…
OS/ブラウザの設定を参照すれば良い

 Webアクセスは対外通信の大多数を占める


指令受信/最新版取得/戦果報告が目立たない 指令/malwareは独自暗号で送受信
 Firewallは内容については関知しない 解読不能ファイルの通過阻止…httpsを禁止？
IDSやanti-virusでは検知できない422010/8/25

定期的な自己更新
 数分〜1時間周期
 最新版取得
 入手先はWebサーバ
 アクセス制限は困難

 同時に複数取得
 異なるプログラム
 アンチウィルスの検知回避

 高頻度の更新
 アンチウィルスは追従困難
 完全な駆除も困難

5Malware駆除の難しさ
 IDSにカスタムシグネチャ投入

 指令受信 最新版チェック ダウンロード 指令
 盗聴 ネットワーク キー入力 時々spam送信 Web Mailにも対応

 内部感染開始
 戦果レポート送信

63

2010/8/25

活動/休眠を繰り返す
 Proxyを頻繁に変更
 感染PC達
 御用聞き ほぼ同一タイミング→ログ調査困難 メリハリのある活動
 Cold: 休眠?
 1-shot: keepalive?
 Hot: 活動中?

7

盗聴ソフトの活動
 潜伏活動を継続 報酬(金銭)目的
 ID情報の持出し
 ソフトウェアキーボードもターゲット•

画面ダンプするmalware

 機密情報入手
 公的機関は機密情報の宝庫

 長期間の感染を目指す
 検知回避策 スケジュールに無いアンチウィルススキャン
 疑われている？
 既知のmalwareを身代わりとしてダウンロード
 「Malwareを駆除しました」レポートでユーザを安心させる 検知パターン対策
 定期的に自分自身を更新

842010/8/25

駆除の難しさ 感染機器の大半がmobile PC 自宅や移動先で指令受信/最新版入手
 移動先でUSBメモリを共有

 頻繁に変わる活動パターン
 Signatureによる検知困難

 アンチウィルスによる調査を監視
 臨時スキャン C&Cサーバへ頻繁なアクセス 状況報告?
 応援要請?
••最新プログラム入手
ついでに囮プログラム(5年モノなど)入手

 完全駆除はほぼ不可能

Helpme!

9

中途半端な対応だと…
 DDoS攻撃!
 毎分600警報(IDSの検知性能限界)
 1Gbpsの帯域消費
 DDoS対策は難しい…

 一旦は御用聞き停止
 次週には…活動再開
 前週比で数倍の規模

 駆除促進を察知
 潜伏指示か？
 その間に最新版開発
 最新版配布後、検知不能に
 挙動を変更
10

5

2010/8/25

頑張っても頑張っても…

11

多段ダウンロードによる追跡妨害
 添付ファイルはダウンローダ
 1回目のダウンロード

 1〜n-1回のダウンロード
 ダウンローダのダウンローダ

 その他のファイル
 一切検知できず

 この過程を知らなければ…
 駆除完了と誤判断 n回目のダウンロード
 盗聴ソフト等のダウンロード

 ダウンロードの追跡調査
 一切入手できず(2)(1)

 先着一名様限定(nー１) 添付ファイルのみ
 数日後に検知可能に(n)1262010/8/25

感染ファイルは…
 exeだけではない Timestamp改竄 (OS表示)

 dllファイルにも感染 半年前のタイムスタンプ
 感染ファイルと疑えるか？

 UACの監視対象外
 挙動解析は困難 どのexeがdllを呼ぶ?
 いつdllの関数を呼ぶ?

OSで表示

変更時刻

13

アンチウィルスの検知困難

実際にはkeylogger
機能装備

感染１３日後に検証

7

2010/8/25

感染後の潜伏活動

まずは、性能調査
 WindowsUpdateサイトへのアクセス

誰が指示？
ユーザの手動操作

 Sandbox（検証環境)検知 Malwareの動作検証

疑似インタネットで実施
実在するサイトへのアクセスで確認• ハニーポットなのであり得ない
 DDoS参加の下準備？
自動更新
 DDoS請負業• ないとは言いきれない その他
 品質の高さをアピール• 善意の第三者？
 帯域毎に異なる請負料金
 10分間無料お試しキャンペーン
 ダウンロードしたパッチは….
 Bot感染パソコンのメインテナンス Windows Vista 64bit版用
 常に最高のコンディションを維持 ハニーポットは32bit版
 自動更新はあり得ない
 基本は過度の活動は控える

15

Windows Update実行(ハッカーによる) 1週間ほど経過観察 マルウェア感染に気付かれていないか?
 他からの乗っ取り対策?
 WindowsUpdate必須
 ハニーポットだから放置 ハッカーがやむを得ず実行

OSで表示

 Timestamp改竄 (OS表示) ユーザから疑われないように ハッカー自身
 Malwareの通信機能を利用 Kernelファイルも改変(rootkitインストール)
 幾つかのフォルダが不可視に

…
変更時刻

作成時刻

168

2010/8/25

教育機関が抱える問題
 機種更新/ソフトウェア更新への追従
 導入時には想定しなかった使い方
 アプリケーションに機能追加
 ユーザ数急増
 ハードウェアが耐えられなくなる ハードウェア更新
 サーバOSが非対応
 サーバOS更新
アプリケーションが非対応• アプリケーション更新

 クライアントソフトも更新
 …以下同文…

 そもそも、新バージョンへの移行が困難 最初から作り直した方が早い場合も １０年間の使用を想定していたが…
 ○年で総入れ替え!?

仮想化で問題解決

17

仮想化の際の見落し 物理ハード上のシステムを仮想化すれば万事解決?
 Windows 2000 Server上で動く○○ソフトウェア
 セキュリティ対策は大丈夫か？
 ○○ソフトウェアの更新がベストではあるが…

 Openな教育機関ネットワーク
 事務系
 研究系とは別のVLAN or 物理ネットワーク
 課/掛の分離はできているか？
 事務職員のほぼ全員は悪いことをしないので…
 そこまでする必要性はあるのか？
 前半の仮定は正しい…
•全てのPCを信用できるという仮定は大丈夫か？

189

2010/8/25

事務ネットワークはfirewallで保護?
 最近のマルウェアの特徴
 感染が能動型/受動型のハイブリッドに移行
 一旦感染すると、ネットワーク経由で内部感染を広げる 例：Confickerウィルス等

 盗聴機能+Web通信機能を標準装備
 Webアクセスを許可しているネットワークであれば
 firewallによる隔離の効果は薄い
 Proxy、メール送受信サーバの設定はマルウェアも参照する

 重要サーバへのアクセスは制限する必要あり

19

仮想化は良い切っ掛けに…
 １つの筐体で
 複数の仮想システム
 VLANとの高い親和性
 1本のケーブルで収容 ゲストOSがVLAN非対応でも良い ただし…
 クライアント側の管理は面倒に PCや周辺機器の所属管理必須

20

総務VLAN

経理VLAN

教務VLAN10

2010/8/25

感染拡大防止にも有効 感染区画 感染区画のみ監視

 切断

 IDSの臨時設置

 アクセス制限

 全パケット検査も可 監視対象が狭い程良い 特に外部
 内部サーバも？
 対象VLANだけの制限

21

総務VLAN

経理VLAN

教務VLAN

PCの健康状態管理
 資産管理の一部

資産管理サーバ Softwareライセンス管理
 更新状態管理
 Anti-Virus WindowsUpdate

 HDD内全ファイル登録
 ファイル載せ換えを阻止
 不一致ファイル存在
 利用停止 設置場所特定22

総務VLAN

経理VLAN

教務VLAN11

2010/8/25

脆弱性診断…事前の予防策
 パッチの適用状況把握
 更新失敗 ソフトのバージョン確認 Activeスキャン
 疑似攻撃で診断

 中途半端な状態

 3rdパーティ製品が悪さ
 勝手にダウングレード

 OSは与り知らぬ状態に 未来永劫更新されない

 Firewallの設定状況
 不要ポートが開きっぱなし サーバプログラムの設定

 対象機器ダウンのリスク

もともと危なかったとも言える
 Passiveスキャン
 外部との通信解析で診断
 診断結果の精度に問題•

 各種診断サービス
 「御予算と相談」ではあるが…

 勘違い設定23

感染確認後の対応
 再インストールが理想 時間がかかるが…
 バックアップに注意

バックアップドライブが感染済みかも 運用継続という判断もありえる バックアップデータを確保

データ消失の最悪の事態対応

 不自然な検知結果とは…
 見つからない

でも外部のWebに定期的に接続

 5年前のmalwareを発見


前回見つからなかったのは何故？

 スキャンの度にmalware発見

誰が持ち込んだのか？

 短周期でのAVスキャン

不自然な検知結果に注意

24122010/8/25

業務継続/中止の判断
 迅速な判断が重要 大混乱中 不確かな状況下

 BCP(業務継続計画)の策定が必須 予め、PCを格付け
 データ/サービスを基本に考える
 停止しても良い サービス停止の案内文を前もって準備 継続すべきだが、外部接続不要
 接続先の制限

単独で稼働可能なPCはあまりない

 外部接続が必須
 イントラ系との通信禁止/厳しく制限

 分け方は色々
 細か過ぎない
25

最も重要な対策
 バックアップ！
 複数世代の保存
 「感染済みファイルのバックアップ」は無意味

 Read onlyメディアへの保存 ソフト的な書き込み禁止は突破される可能性あり
 バックアップ間隔は長めでも構わないので
 Read onlyメディアのファイルによる業務再開
 感染リスクを回避可能

 インシデントが発生して後では、準備する時間が取れない デスクトップPCでのデータ保存禁止/制限
 「このPCじゃないとダメ」はダメ

26

13

2010/8/25

バックアップの盲点
 保管場所 セキュリティポリシにより 重要データは物理セキュリティが確保された場所に限定
 そんな部屋は極僅か

 大抵の場合、サーバ室のみ
 サーバの上にバックアップデータを積む

 火災、水害…地震に対応できるか？
 電子データ用の耐火金庫を導入
 紙用の耐火金庫だと、電子データを破壊

 サーバ室(建物)が使用不能な場合…
 「潔く諦める！」で良いのか？

 輸送/外部保管を想定した例外規定
 暗号化したファイルは重要データの指定を解除など

27

14