最近のセキュリティ事件から学ぶこと

2014年8月25日

川口 洋, CISSP
株式会社ラック
チーフエバンジェリスト
hiroshi.kawaguchi @ lac.co.jp
Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

自己紹介川口 洋(かわぐち ひろし),CISSP
株式会社ラック
チーフエバンジェリスト 兼 担当部長
ISOG‑J 技術WG リーダ
内閣官房情報セキュリティセンター 情報統括グループ 参事官補佐
2002年 ラック入社
社内インフラシステムの維持、運用に従事する。その他、セキュアサーバの構築サービスや、サーバのセキュリティ検査業務なども行い、経験を積む。その後、IDS やFirewall などの運用・管理業務を経て、セキュリティアナリストとして、JSOC監視サービスに従事し、日々セキュリティインシデントに対応。2005年より、アナリストリーダとして、セキュリティイベントの分析とともに、IDS/IPSに適用するJSOCオリジナルシグネチャ(JSIG)の作成、チューニングを実施し、監視 サービスの技術面のコントロールを行う。
チーフエバンジェリストとして、セキュリティオペレーションに関する研究、ITインフラのリスクに関する情報提供、啓発活動を行っている。Black Hat Japan、PacSec、Internet Week、情報セキュリティEXPO、サイバーテロ対策協議会などで講演し、安全なITネットワークの実現を目指して日夜奮闘中。
セキュリティキャンプの講師として未来ある若者の指導にあたる。また、最高の「守る」技術を持つトップエンジニアを発掘・顕彰する技術競技会「Hardening」のスタッフとしても参加し、ITシステム運用に関わる全ての人の能力向上のための活動も行っている。

川口洋のセキュリティ・プライベート・アイズ（＠IT）連載中
http://www.atmarkit.co.jp/fsecurity/index/index̲kawaguchi.html
2

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

これは何の数字でしょう？

平成17年
19
平成18年
27
平成19年
32
平成20年
20
平成21年
15
平成22年
24
平成23年
55
平成24年
49
平成25年
109
平成26年上半期 87
国会で「サイバー」というキーワードが出た回数
3

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

政府の取り組み

気になるキーワード「オリンピック・パラリンピック」
4

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

ラック サイバー救急センターの出動件数

年々、緊急対応（出動）件数が増加
2013年は300件を超える出動件数
5

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

公開システムに対する攻撃

6

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

不正ログイン問題（リスト型攻撃）7

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

不正ログイン問題（リスト型攻撃）

https://www.ipa.go.jp/security/txt/2013/08outline.html

8

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

会場に質問（クリッカーを使用して）• リスト型攻撃の被害にあったことが• ある• あるような気がする• ない• 今日初めて知ったのでわからない

9

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

いわゆる「なりすましログイン／リスト型攻撃」の課題•ユーザの課題– 複数の会員制ウェブサイトで同じIDとパスワードを使い回している– 根本的にはここが課題•サービス提供者の課題– コスト• 二要素認証、二段階認証、ログインアラート機能等の技術的対策はある• サービスコストは最終的にはユーザの使用料金に転嫁される（かもしれない）– 技術的な課題• 止めること– 誤検知、見逃し、コストの問題• 見つけること– ログ保存期間– 複数種類のログの相関分析– 時刻同期10

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

ISOG‑J WG2でログ解析に挑戦してみた•

参加者の声– ログインに関するログを探した– エラーコードに注目した– 認証系のログを探した– 多数のアクセスがあるものに注目した– リクエストメソッドに注目した– 攻撃ツールのような動きについて注目した– レポート用ツールを使用してビジュアル化した– Excelを使用した– grep一本で頑張った

日本セキュリティオペレーション事業者協議会（ISOG‑J）
WG2：なりすましログインの痕跡探し
http://isog‑j.org/output/2013/wg2‑20131021.pdf

11

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

スパコンシステムへの不正アクセス

http://d.hatena.ne.jp/Kango/20131218/1387387548
12

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

ウェブサイト改ざん

http://www.ipa.go.jp/security/txt/2013/07outline.html
13

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

気づいていない利用者の事例• ある百貨店• ある不動産屋• ある学校• 連絡しても– 応答無し
– 「問題ありません」 → いや、やられてますし– 「対処しました」 → まだ、改ざんされています14

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

CMSを狙った攻撃
•••
•
•••
•
•••
•

Movable TypeWordPress
Joomla!
MODXMoodle
e107
DrupalZen Cart
osCommerce
Plone
phpAlbumpmwiki•••

攻撃内容• ファイルアップロード• アカウント追加• サイト改ざん• 情報窃取問題• 情報が少ない＆遅い• 機能が複雑• WAFやIPSで防御できないタイプの攻撃もある
攻撃対象
• 本体
• プラグイン• テーマ（特に非公式サイトの無料テンプレート）
15

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

Ploneの機能を悪用

大量のspamメール

16

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

Strutsの脆弱性による問題

http://www.security‑next.com/048427

http://www.nikkei.com/article/DGXNASDZ2902P̲Z20C14A4TJC000/

http://www.nnn.co.jp/news/140429/20140429005.html
17

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

Strutsとは•Java言語用の主要なWebアプリケーションフレームワークの一つ– Java言語
Webアプリケーション開発用の言語として業界のデファクトスタンダード。
– フレームワーク
プラットフォームとWebアプリケーションの間で「枠組み」を提供するためのソフトウェ
ア。様々なWebアプリケーションで共通して必要となる機能を集約したもの。これを利⽤することで余分な開発工数を削減し、体系だった開発を可能とする「通訳」のような存在。
実際の 開発部分

Webアプリケーション

Webアプリケーション
フレームワーク

プラットフォーム

プラットフォーム

フレームワークを使用しない場合フレームワークを使用した場合
18

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

ac.jpのStruts使用状況（2014年8月3日時点）
ac.jpドメインでStruts バージョン1(拡張子 do)を使用しているサイトをGoogleで検索印刷用としては、非表示としました

ac.jpドメインでStruts バージョン2(拡張子 action)を使用しているサイトをGoogleで検索印刷用としては、非表示としました

19

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

Struts1とStruts2の使用状況（2014年6月2日時点）

印刷用としては、非表示としました

印刷用としては、非表示としました20

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

2013年に行われたStruts2に対する攻撃・脆弱性情報の公開直後から攻撃が急増した
・多くのサイトは対策をとる時間すらなく攻撃を受けた・7月〜8月に被害情報を公開している事案の多くはこの脆弱性を悪用された可能性が高い
21

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

S2‑016を狙う攻撃ツール

K8_Struts_exploit_0718

Struts_RemoteCommand鬼哥struts2(CVE-2013-2251)漏洞测试工具

最新struts2漏洞检测工具・中国語で記載された攻撃ツールが多数リリースされている
・脆弱性公開1週間程度で5種類以上リリースされている
22

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

Strutsを内包する製品群

23

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

会場に質問（クリッカーを使用して）• 自分の組織でStrutsを• 使用している• 使用していない• 考えたこともないのでわからない• 納入ベンダに聞かないとわからない

24

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

確認方法• サーバの中で– struts‑core‑x.x.x.jar– struts2‑core‑x.x.x.jar– 複数バージョン存在することもある• Google検索で– site:mydomain.local filetype:do– site:mydomain.local filetype:action• あとは– 事業者に確認する

25

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

Active! mail を使ったユーザを狙ったフィッシング

26

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

閑話休題

27

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

Yahoo!リアルタイム検索で「マックなう」を検索すると印刷用としては、非表示としました28

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

子供とネットを考える会

29

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

具体的な対策30

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

すぐにやるべき対策
対策ポイント

対策内容

システム全体

ログ保存を行う（ログイン履歴、Outboundログは必須）
ログ保存期間を延ばす（最低1年）
リモートアクセスのログイン履歴を確認する
時刻同期設定サーバ

アプリのバージョンを確認する（Tomcat, JBoss, Struts, ColdFusion, Joomla!, WordPress, Movable Type, MODX など）
ウイルス対策ソフトのスキャンログを確認する
cronやタスクスケジューラの中身を確認する
公開DNSサーバやNTPサーバがUDPアンプ攻撃に悪用されないか確認する

クライアントAdobe Reader、Flash Player、Java、一太郎のアップデートを検討する
ウイルス対策ソフトのスキャンログを確認する
AutoRunの設定を確認する（特にサポート期限の切れたWindows XP）
ブラウザは2種類入れておく(IEの脆弱性騒ぎに対応するため)(自宅の)パソコンにEMETを入れる

ネットワーク

FW、Proxy、URLフィルタ等のログを確認する
Proxy認証の認証ログを確認する
アクセス制御ルールに不備がないか確認する

人・組織

インシデント発生を想定した訓練を行う
緊急時の連絡網を整備する
セキュリティ情報の収集を行う
IPA、JPCERT、J-LIS(旧LASDEC)のコンテンツを周知する
31

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

EMET （オススメ！！）・マイクロソフトが公開する無償の脆弱性緩和ツール
・Windowsの保護機能を活用して、システムに対する攻撃から保護するツール
・http://support.microsoft.com/kb/2458544/ja・バージョンがあがり設定が簡単になった
・とりあえず、Maximumを選んでおくのもいい
・ADでの大規模展開プロファイルや通知機能が強化されており、便利になった
32

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

SECCON

http://sankei.jp.msn.com/life/news/130822/trd13082220010015‑n1.htm

https://www.minpo.jp/globalnews/detail/2014030201001844
33

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

セキュリティキャンプ

34

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

警察の取り組み

http://www.47news.jp/CN/201405/CN2014051401001726.html
35

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

2014年、 Hardening 10 APAC
Hardening 10(two) APAC(Asia Pacific)は、「守る技術」とそれを支える人の価値をさらに広く訴求するための一歩を踏み出す試みです。
沖縄は、APAC ‑ アジアパシフィックのハブとして知られる場所です。また、国内外いずれからも集まりやすい特徴もあります。3回実施してきたHardening Projectによる価値を広く訴求する優れた機会となります。すでに、全国から、システム運営技術者のエントリーが始まっています。
5/21 17:00 競技参加エントリー〆切
6/21 Hardening Day
会場：学校法人kbc学園内会場(那覇市)
9:30 集合 オリエンテーションとチーム編成
12:00 堅牢化競技
14:00 インターネット放送
Hardening Project Online Conference 2014
19:00 全チーム参加の懇親会（競技会場近辺）

6/22 Softening Day
会場：沖縄県市町村自治会館10:00 全チームによる振り返りプレゼンテーション
実行委員会・オブザーバによる分析と講評
スポンサーブランド賞授与・グランプリ表彰14:30 解散
主催：WASForum 共催：内閣府沖縄総合事務局
特別協力・後援 (予定含む)
株式会社ラック、株式会社インターネットイニシアティブ、kbc国際電子ビジネス専門学校、
情報通信研究機構 サイバー攻撃対策総合研究センター（CYREC）、情報通信研究機構 北陸StarBED技術センター、
OWASP JAPAN、ISOG‑J 日本セキュリティオペレーション事業者協議会、内閣府沖縄総合事務局、沖縄県
36

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

ITシステム運営
ITシステム運営にかかる現実の問題を解決するのに必要なセキュリティの知識とは「壊す力」ではありません。
無停止の価値？

ITシステムへの依存が増す
顧客、社会への影響
止めるか止めないか

H/Wからアプリまで技術の拡散

フルス
タック
スキル

リスクは
広範

対策ノウハウの共有関係機関との連絡

不具合
不正アクセス
災害の影響

コミュニ
ケーションの重要性

収益性($$$) = 堅牢性(安定 – 被害) × 売上 × 信頼 x …
37

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

Hardening Project 〜守る技術の価値の最大化〜「守る技術」の価値を最大化することを目指し、最高の「守る」技術を持つトップエンジニアを発掘・顕彰するものであり、技術競技（コンペティション）の形式で実施するものです。

ビジネス継続を踏まえた防御戦
略に焦点
Focus on prevention techniques

これにより、ウェブサイト等の安全性を追求する技術の啓蒙と人材の育成、またそうした技術の社会的認知の向上による健全なネット社会への進歩に貢献することを目指します。

「守れる」エンジニアの顕彰と発掘
Engineering awards anddiscovery

Hardening Projectは、新しい人材、新しいチーム、新しい手段を実践的に試みることにより、チームと個人の両面から、幅広い人材の挑戦の場、研鑽の場とすることをコンセプトとしています。

顧客・マーケット・観客の視点
Perspective of the market

38

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

Hardening 環境
1チーム5人〜 6人
合計8チームイベント発生
評価を実施

評価チーム kuromame6

NICT StarBEDにシステムを構築
参加チームに与えられる環境
・同じ システム構成
・同じ 社内システム運用ルール
・同じ 商品・同じ イベント

売上の推移(限られた競技時間でどこまで伸ばせるかが勝負)
39

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

競技参加者が切磋琢磨し得るスキル
能力開発が期待できるエリア

競技参加者イメージ

•
•
•
•
•
•
•••
•••

•
•

システム環境の状況を把握する能力
システムの異常を発見する能力
セキュリティインシデントを予見する能力
セキュリティインシデントを発見する能力
脆弱性を発見する能力
脆弱性を修正する能力
セキュリティインシデントのトリアージ能力
チームのリソースを効率的に配分する能力
チーム全体の（連係を含む）能力
ユーザコミュニケーション能力
社内調整能力トラブルに負けない精神力

40

••
•
••

主にエンジニアの方々
所属団体の官民学などの属性を問いません。
システム運用セキュリティインシデント対応
ウェブ構築
顧客対応などの実務
上記の経験者あるいは関連する役
割を志す方々

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

総務省 実践的サイバー防御演習 CYDER

41

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

まとめ

決裁者の理解を得る（事業継続の観点で）セキュリティ対策は落とし所が重要（予算とインパクトの兼ね合い）

人財と情報が明暗を分ける（道具が同じなら使い方次第）
42

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.

ありがとうございました
43

Copyright ©LAC Co., Ltd. 2014 All Rights Reserved.