SCCS

2012

企業におけるサイバー攻撃対策の再考
2012/05/25
Hitachi Incident Response Team寺田 真敏

Copyright © Hitachi Incident Response Team. 2012. All rights reserved.

CS

20

12

サイバー攻撃活動を振り返り、新たに見えてきた脅威や課題を、企業における、これまでの施策、これからの施策という視点から報告する。

SC

1. APT(Advanced Persistent Threat)
2. 攻撃技術の変遷
3. 対策のアプローチ

Copyright © Hitachi Incident Response Team. 2012. All rights reserved.

1

APT(Advanced Persistent Threat)
情報窃取を目的とした攻撃

2010年1月 通称、オーロラ攻撃2011年2月 通称、ナイトドラゴン

20



12

グーグル、アドビ、ヤフーなど、30におよぶ企業を標的とした攻撃
知的財産の窃取

SCCS

ウェスタンオイル社など、石油、エネルギー、石油化学会社大手5社を標的とした攻撃油田やガス田の運営、入札や資金調達といった機密情報の窃取
2011年3月 米EMC社からのRSA SecurIDに関する情報窃取
5月中旬、米ロッキード・マーティン社に対して、窃取された
RSA SecurID関連情報を悪用した侵害活動が発生

2011年8月 通称、シャディラット攻撃
70以上におよぶ各国の企業や政府機関を標的とした攻撃© Hitachi Incident Response Team. 2012.

2

1

APT(Advanced Persistent Threat)
サービス停止や運用妨害を目的とした攻撃

2010年7月 イランの原子力施設を狙った攻撃(スタクスネット)

20

12

独シーメンス社製SCADAソフトウェアを通じて制御装置の動作に異常をきたすことに特化したマルウェア
30

CS

25

制御系情報システム
制御システム20
15
10
5

2011/2/21

2011/1/24

2010/12/27

2010/11/29

2010/11/1

2010/10/4

2010/9/6

2010/8/9

0

2010/7/12

SC

2011年3月末時点で、独シーメンス社製SCADAソフトウェアのインストー
ルされたWindowsシステムで24件の感染報告(実被害なし)
一般のWindowsシステムでは日本を含む世界各地で数百万台規模での感染報道あり© Hitachi Incident Response Team. 2012.

3

1APT(Advanced Persistent Threat)【初出】 オンライン誌Bloomberg Businessweek (2008年4月)

CS

2012An Evolving Crisis - BYZANTINE FOOTHOLDBYZANTINE FOOTHOLD は、2006年頃から始まった米国政府や米国軍事関連企業を標的とした攻撃活動のこと
2007. A new form of attack, using sophisticated technology, deluges
outfits from the State Dept. to Boeing. Military cyber security
specialists find the "resources of a nation-state behind it" and callthe type of attack an "advanced persistent threat." ・・・SC© Hitachi Incident Response Team. 2012.

4

1APT(Advanced Persistent Threat)【普及】 マカフィー レポート(2010年1月)

CS

20

12

重要資産の保護オーロラ攻撃など、標的型サイバー攻撃からの防護方法を詳述
APT(Advanced Persistent Threat)と呼ばれる高度でしつこい脅威は、ますます一般的な攻撃の手法となってきています。これは、権限があるシステムをターゲットとして脆弱性を利用して侵入し、目的を達成するまで攻撃をしかけ、アクセス権を奪取・保持し続ける複雑な標的型攻撃です。

SC© Hitachi Incident Response Team. 2012.

5

1

APT(Advanced Persistent Threat)のモデル化【モデル】 Exploitation Life Cycle

12

MANDIANT 「M-Trends」 レポート(2010年1月)
 【定義】【モデル】① Reconnaissance(偵察)② Initial Intrusion into the network(侵入)③ Establish a Backdoor into the network(遠隔制御)④ Obtain user Credentials(権限取得)⑤ Install Various utilities(インストール)⑥ Privilege escalation/Lateral Movement/Data Exfiltration(実行)⑦ Maintain Persistence(潜伏)

CS



20

MANDIANT defines the APT as a group of sophisticated, determined andcoordinated attackers that have been systematically compromising U.S.
government and commercial computer networks for years.

SC© Hitachi Incident Response Team. 2012.

6

1

APT(Advanced Persistent Threat)のモデル化【モデル】 Intrusion Kill Chain(Cyber Kill Chain)20

12Lockheed Martin 「Intelligence-Driven Computer Network DefenseInformed by Analysis of Adversary Campaigns and Intrusion Kill Chains(ICIW2011)」 レポート(2011年3月)
 【定義】

CS"Advanced Persistent Threat" (APT), represents well-resourced and trained
adversaries that conduct multi-year intrusion campaigns targeting highly
sensitive economic, proprietary, or national security information.

【モデル】① Reconnaissance(偵察)② Weaponization(武器化)③ Delivery(配送)④ Exploitation(攻撃)⑤ Installation(インストール)⑥ Command and Control(C2)(遠隔制御)⑦ Actions on Objectives (実行)SC© Hitachi Incident Response Team. 2012.

71APT(Advanced Persistent Threat)のモデル化【モデル】 簡易モデルＰT


20

Step1(侵入)：ソーシャルエンジニアリングを用いた攻撃
標的型メール
悪意あるウェブサイトへの誘導(⇒マルウェア：Gumblar)
USB経由(⇒マルウェア：Conficker)

CSＡ

12

特定組織を対象とし(標的型)、組織内ネットワークを活動基点とした(潜伏型)侵害活動

Step2(潜伏)：潜伏中は外部との通信環境を維持


SC



攻撃指令管理ホストとの接続
新たな機能や自身の更新のためファイルダウンロード

Step3(窃取や妨害)：最終目標(脅威)に合わせて変更



共通攻撃

ソフトウェア構成管理システムへの攻撃(⇒オーロラ攻撃)
機密情報の窃取(⇒ナイトドラゴン、米EMC社)
制御システムの動作妨害(⇒スタクスネット)個
別攻撃© Hitachi Incident Response Team. 2012.

8

2

攻撃技術の変遷：DDoS攻撃からAPT攻撃へ
DDoS攻撃攻撃指令管理と配備の体系化
発見の世代 1996年～1998年

攻撃者ひとり12

UDP Echo Flood、 TCP SYN Floodなど

DoS攻撃を実現する攻撃手法の発見

攻撃者の分身(手動)CS

20① ツール世代・・・攻撃指令管理：階層型＋配備：手動
2000年2月 ヤフー、アマゾンなど有名サイトへの攻撃

SC②ワーム世代・・・攻撃指令管理：水平型＋配備：自動
2001年7月 CodeRedによるホワイトハウスへの攻撃
2004年1月 Mydoomによるマイクロソフトへの攻撃

攻撃者の分身(自動)③ボット世代・・・攻撃指令管理：階層型＋配備：自動
2007年5月 エストニアに対する攻撃
2009年7月 米国ならびに韓国政府サイトへの攻撃

ボット(体系化)© Hitachi Incident Response Team. 2012.

92

攻撃技術の変遷：DDoS攻撃からAPT攻撃へDDoS攻撃(①ツール世代、②ワーム世代)⇒ 攻撃指令管理技術の確立

12

20

攻撃者

攻撃指令管理ホスト

攻撃エージェント
攻撃対象

CS①ツール世代
Trin00TFN
TFN2K
Stacheldraht
1999年

攻撃指令管理：階層型
攻撃エージェント配備：手動②ワーム世代Sobig.F
2003年09月

SC

攻撃指令管理：階層型
攻撃エージェント配備：自動(メールを利用したワーム感染技術)
攻撃指令管理ホスト

攻撃エージェント
攻撃対象© Hitachi Incident Response Team. 2012.

10

2

攻撃技術の変遷：DDoS攻撃からAPT攻撃へ
DDoS攻撃(①ツール世代、②ワーム世代)⇒ 攻撃エージェント配備技術の確立

攻撃エージェント

20

0
3
2
1
2003年8月13日
2003年8月14日
2003年8月15日
2003年8月16日

攻撃対象

CS

②ワーム世代Blaster
2003年8月

12

攻撃指令管理：水平型
攻撃エージェント配備：自動(脆弱性を利用したワーム感染技術)②ワーム世代
Doomjuice
2004年2月

SC

攻撃指令管理：水平型
攻撃エージェント配備：自動(バックドアを利用したワーム感染技術)
攻撃エージェント
攻撃対象
0
3
2
1
2004年2月6日
2004年2月7日
2004年2月8日
2004年2月9日© Hitachi Incident Response Team. 2012.

11

2

攻撃技術の変遷：DDoS攻撃からAPT攻撃へ
DDoS攻撃⇒③ボット世代

攻撃指令管理と配備の体系化

12

攻撃指令管理：階層型
攻撃エージェント配備：自動(脆弱性を利用したワーム感染技術)＝①ツール世代＋②ワーム世代

攻撃エージェント配備

SC③ボット世代

攻撃者

CS

20

ボットネット＝攻撃エージェント配備(分身を増やす技術)＋攻撃指令管理(攻撃エージェントの活動を制御する技術)を備えた集積技術

攻撃対象
攻撃エージェント

攻撃指令管理ホスト

攻撃指令管理© Hitachi Incident Response Team. 2012.

12

2

攻撃技術の変遷：DDoS攻撃からAPT攻撃へ③ボット世代⇒④APT世代⇒ APT攻撃に向けた進化(１)12

攻撃指令管理：階層型＋HTTPなどの汎用プロトコルの使用
攻撃エージェント配備：自動＋標的型メール、ウェブ感染型の使用

攻撃者

攻撃エージェント

SC④APT世代CS

20

組織内ネットワークを活動基点とした(潜伏型)侵害活動へ

ウェブ感染型

ファイアウォール

標的型メール
攻撃エージェント

攻撃指令管理ホスト

APT: Advanced Persistent Threat© Hitachi Incident Response Team. 2012.

13

2

攻撃技術の変遷：DDoS攻撃からAPT攻撃へ④APT世代⇒ APT攻撃に向けた進化(２)遠隔操作ツール(RAT)の進化侵入したシステムを遠隔から操作するためのプログラム
潜伏活動や窃取活動で利用されている

20

12



攻撃側発呼型から2000年前後 BackOrifice、SubSeven など

攻撃側着呼型へ
SC



CS

攻撃者

2010年前後 Poison Ivy (米EMC社)
MFC Hunter (三菱重工業)⇒潜伏中、ファイアウォールを介した外部接続可能な通信環境を実現

RAT: Remote Access Trojan / Remote Administration Tool

攻撃指令管理ホスト
攻撃者

ファイアウォールHTTPプロキシ
サーバ© Hitachi Incident Response Team. 2012.

14

3

対策のアプローチ
簡易モデル

単独型の標的型攻撃

カード番号取得
個人CS

20

12

【事例】 アカウント、パスワード、カード番号などの情報収集、情報窃取、動作阻害など、個々の機器に侵入した後、用途毎のツールをインストールして遠隔操作

情報窃取SC

カード番号取得

パスワード取得

組織C

組織A

組織B

© Hitachi Incident Response Team. 2012.

15

3

対策のアプローチ
簡易モデル

入口での侵入防止策へのてこ入れ ⇒ 多層防御

CS

20

12

攻撃を防げず、侵入を許してしまう可能性は高まっている ゼロディ脆弱性が狙われる 様々なソフトウェアの脆弱性が狙われる
 次々とウイルスの亜種が出てくる等、対策ソフトで検知できない
 教育や啓発をしても徹底されず、不審な添付ファイルを開いたり、リンクをクリックしてしまう

組織内ネットワーク

入口

SC



出口

①侵入活動

②潜伏活動

③窃取活動

入口対策

拡散対策

出口対策
© Hitachi Incident Response Team. 2012.

16

3

対策のアプローチ
簡易モデル

多層防御(構成視点)の推進
ネットワーク

拡散対策
潜伏を阻止(妨害)する施策

出口対策
侵入されることを前提に、情報漏えいを阻止(妨害)する施策

PC・サーバ他

20

12

セキュリティポリシー／教育・啓発
FW／IPS・IDS
スパムフィルタ
URLフィルタ
外部メディア利用制限
ウイルス対策ソフト
脆弱性診断(セキュリティホール診断・ウェブアプリケーション診断)
脆弱性情報の収集／セキュリティパッチの適用
ウェブプログラミング
WAF

CS

侵入を阻止(妨害)する施策

ウェブ

ネットワーク設計
通信の制限
ログ取得・分析
通信路の暗号化

ユーザ認証
アクセス制御、権限管理
プログラム認証
ログ取得・分析
アクセスログ監査

ネットワークの監視
経路制御
プロキシ認証重要資産の隔離
暗号化
コンテンツフィルタ

SC

入口対策

メール

コンティンジェンシープランの作成© Hitachi Incident Response Team. 2012.

17

3

対策のアプローチ
Cyber Kill Chain モデル

連鎖型の標的型攻撃(1)

CS

20

12

【事例】 2011年3月中旬、米EMC社のセキュリティ部門RSAの情報システムから二要素認証製品であるRSA SecurIDに関する情報の一部が盗まれた(①～③)。2011年5月中旬、米ロッキード・マーティン社に対して、3月に米EMC社から盗まれたRSA SecurID関連情報を悪用した不正アクセスが発生した(④)。
①ウイルスメール④不正アクセス
送付②遠隔ツール
インストール③RSA SecurID情報
窃取

侵害活動の成果が次の標的型攻撃に利用されるSC



米ロッキード・マーティン社

米EMC社© Hitachi Incident Response Team. 2012.

18

3

対策のアプローチ
Cyber Kill Chain モデル

連鎖型の標的型攻撃(2)

CS

20

12

【事例】 2011年10月、関連団体のコンピュータが、情報を窃取するタイプのウイルスに感染していた(①～③)。さらに、窃取されたメールにウイルスが仕込まれ、会員企業に対する標的型攻撃メールに転用されていた(④)。

①ウイルスメール
送付②遠隔ツール
インストール③メールの窃取侵害活動の成果が次の標的型攻撃に利用されるSC

防衛関連企業④窃取メールを用いたウイルスメール
関連団体© Hitachi Incident Response Team. 2012.

19

3

対策のアプローチ
Cyber Kill Chain モデル

Cyber Kill Chain
Kill Chain(F2T2EA)
米国空軍の軍事コンセプトで、発見(Find)⇒ 固定(Fix)⇒ 照準(Targeting)⇒ 追跡(Track)⇒ 交戦(Engage または Employ)⇒ 査定(Access)の6段階からなるサイクル

Cyber Kill Chain＝Kill Chainのコンセプトをサイバー攻撃に応用① Reconnaissance(偵察)② Weaponization(武器化)③ Delivery(配送)④ Exploitation(攻撃)⑤ Installation(インストール)⑥ Command and Control(C2)(遠隔制御)⑦ Actions on Objectives (実行)

SCCS

20

12



①Reconnaissance(偵察)、②Weaponization(武器化)、③Delivery(配送)、④Exploitation/ Installation(攻撃/インストール)、⑤Command and Control(C2)(遠隔制御)、⑥Actions to achieve objectives(実行)、⑦Maintenance(潜伏維持)とするモデルもある。
© Hitachi Incident Response Team. 2012.

20

3対策のアプローチ
Cyber Kill Chain モデル

多層防御(アクション視点)の推進
DOD Information Operations(軍事的な情報作戦)の目的
検出拒否中断偵察Web分析

ファイア
ウォールACL

武器化

NIDS

NIPS

配送

慎重なユーザ

プロキシ
フィルタ

ウイルス対策攻撃HIDS

パッチ

DEP

インストール

HIDS

遠隔制御

NIDS

実行

ログ監査

欺き

破壊

20

CS

SC
ファイア
ウォールACL

低下

12

フェーズ

キューイング(遅延転送)

ウイルス対策
NIPS

Tarpit(遅延)DNS
リダイレクトQoS

ハニーポットIOの目的には、Destroy(破壊)、Disrupt(中断)、Degrade(低下)、Deny(拒否)、Deceive(欺き)、Exploit(攻撃)、Influence(影響)、Protect(防護)、Detect(検知)、Restore(回復)、Respond(対応)がある。
© Hitachi Incident Response Team. 2012.

21

3

対策のアプローチ
Cyber Kill Chain モデル

Cyber Kill Chain モデルでの分析
初期段階での分析ならびに検知へ(入口対策の強化)
 攻撃観測事象(Observable)、攻撃検知事象(Indicator)の活用

12



偵察分析

検知

武器化

インストール遠隔制御

実行

インストール

遠隔制御

実行

20

配送

検知

攻撃

CS

武器化

SC

偵察分析

配送

攻撃

攻撃活動分析(Campaign Analysis)
 攻撃者のパタン、行動、TTP(Tactics, Techniques and Procedures：戦術、技術及び手順)を明らかにする。
 攻撃者の意図を明らかにする。
© Hitachi Incident Response Team. 2012.

22

3

対策のアプローチ
Cyber Kill Chain モデル

CybOX(Cyber Observable eXpression)

SCCS

20



サイバー攻撃観測記述言語
MITREが中心となり仕様策定を進めてきたもので、MandiantのOpenIOCの仕様を踏まえた、サイバー攻撃活動での観測事象を記述するためのXML仕様
経緯 2009年9月: CAPECの延長で検討開始
 2010年6月: CAPEC、 MAEC、CEEとの連携検討開始
 2010年12月: スキーマVer0.4完成、Mandiant OpenIOCとの連携検討 2011年5月: CEEとの連携、CybOXリリース
 2012年1月: CybOXスキーマVer0.7リリース(MAEC Ver2.0との連携)
 2012年4月: CybOXスキーマVer1.0リリース
利用例
 標的型攻撃メールの表記
 ダウンロードサイトURLの表記 など

12

CAPEC(Common Attack Pattern Enumeration and Classification：共通攻撃パターン一覧)
MAEC (Malware Attribute Enumeration and Characterization：マルウェア特徴属性一覧)
CEE(Common Event Expression：共通イベント記述)© Hitachi Incident Response Team. 2012.

23

1220

CS

END

SC

企業におけるサイバー攻撃対策の再考

Copyright © Hitachi Incident Response Team. 2012. All rights reserved.