2SCCS
201

進化するインシデントレスポンス
ー攻撃の変質への対応、新たな領域への対応

平成24年5月24日
サイバ 犯罪に関する白浜シンポジウム 講演
サイバー犯罪に関する白浜シンポジウム
一般社団法人JPCERTコーディネーションセンター 早貸淳子

JPCERT/CCとは一般社団法人JPCERTコーディネーションセンター

https://www.jpcert.or.jp/

01

—

2

（JPCERT/CC (ジェーピーサート・コーディネーションセンター)(ジピ サ トデ ネ シ ンセンタ )）Japan Computer Emergency Response Team Coordination CenterSCCS
2— サービス対象: 日本国内のインターネット利用者やセキュリティ管理担当者、ソフトウエア製品開発者等（主に、情報セキュリティ担当者）— コンピュータセキュリティインシデントへの対応、国内外にセンサをおいたのインターネット定点観測、ソフトウエアや情報システム・制御システム機器等の脆弱性への対応などを通じ、セキュリティ向上を推進— インシデント対応をはじめとする、国際連携が必要なオペレーションや情報連携
対 をす 、国際連携 必要な情報連携に関する、我が国の窓口となる CSIRT※各国に同様の窓口となる CSIRTが存在する(例えば、米国のUS-CERT,CERT/CC、中国のCNCERT, 韓国のKrCERT/CC、など)

経済産業省からの委託事業として、コンピュータセキュリティ早期警戒体制構築運用事業を実施
構事
実Copyright© 2011 JPCERT/CC All rights reserved.

2

JPCERT/CCの活動
活動
インシデントの予測と捕捉発生したインシデントへの対応

脆弱性情報ハンドリング

情報収集・分析・発信
情報収集・分析・発信

インシデントハンドリング

定点観測（定点観測（ISDAS/TSUBAMEISDAS/TSUBAME））（インシデント対応調整支援支援））

 マルウエアの接続先等の攻撃関連サイト等の閉鎖等による被害最小化
 攻撃手法の分析支援による被害可能性の確認、拡散抑止
ポートスキャンの上位5位を表示
 再発防止に向けた関係各関の情報交換及び情報共有01 ネットワークトラフィック情報の収集分
析 定期的なセキュリティ予防情報の提供
全センサーのポートスキャン合計（単位：時間）
ポートスキャンの平均値 ＝
センサー合計

SCCS
2

 未公開の脆弱性関連情報を製品開発者 提供し 対応依頼者へ提供し、対応依頼
 関係機関と連携し、国際的に情報公開日を調整
 セキュアなコーディング手法の普及
 制御システムに関する脆弱性関連情報の適切な流通2

インシデント予防3025（ICMPは常に表示、otherはその他合計
ICMP

TCP 135

TCP 445

20

UDP 137

15

TCP 139
TCP 1025

10

other

5
0

12/9

12/10

12/11

12/12

12/13

12/14

Data

早期警戒情報提供
早期警戒
情報提供

重要インフラ、重要情報インフラ事業者等の特定組織向け情報発信

CSIRT構築運用支援
CSIRT
構築運用支援海外のNational-CSIRTや企業内のセキュリティ対応組織の構築・運用支援

アーティファクト分析
マルウエア（不正プログラム）等の攻撃手法の分析、解析
Copyright© 2011 JPCERT/CC All rights reserved.

１． インシデントハンドリング

SCCS2012(1) 従来型の対応支援活動

１．インシデント報告の受付
２．（必要に応じ）マルウエアの解析①②

挙動、機能、脅威
被害拡大抑止のための調整を実施するための接続先等の情報の抽出

３．被害の拡大抑止のための関係先へのコーディ
３
被害の拡大抑止のための関係先 のデネーション
４．必要に応じ、早期警戒情報、注意喚起の発行

Copyright© 2011 JPCERT/CC All rights reserved.

4

実際に取り扱っている案件（一部）※複合的な場合が多い
フィッシングサイト停止依頼——

国内事業者のサイトが海外に海外事業者のサイトが国内に国内ユーザの個人情報

マルウェア公開サイト停止依頼
攻撃予告—○月×日に某ウェブサイトを攻撃する、などの内容—

マルウェアに関する対応

侵入—

サ
サーバへの侵入被害の侵入被害

ボット・ボットネット・C&C—

海外のボットネットと通信している国内のC&Cのリストなど

DoS/DDoS—SCCS
2SQLインジェクション攻撃
標的型攻撃

01

—

2キーロガー等による情報流出

海外からの大規模なアクセス

脆弱なホストのリスト—

海外組織によって収集された国内の脆弱なホストのリスト

ID/PW公開サイト
Copyright© 2011 JPCERT/CC All rights reserved.

5

(2)従来型の対応調整では解決が難しい問題
決
いわゆるAPT型の攻撃と活動家による攻撃では、同じ標的型攻撃であっても対応の仕方が異なる。
仕方が異なる

2— APTの場合は、被害者は気付きづらく、攻撃者は攻撃については一切公開しない01

インシデントの発生の事実自体が公表されない。
攻撃に気づいたことを攻撃者に気づかれずに対処する等の工夫

SC
CS
2

— 活動家による攻撃では、攻撃の成功についての声明が出たり、窃取した情報が公開された
りする
インシデント発生の事実や窃取された情報が公開される
インシデントへの対処ぶりについても注目があつまる
社会的な反応が活動家による攻撃のエネルギーにもなるが、双方とも従来型の対応支援（サイト閉鎖や活動の停止依頼等）では解決が困難
鎖な場合が少なくない。
※Advanced Persistent Threat (APT):(仮訳）複合的な（たとえば、サイバー上の、物理的な、又は詐欺的な）攻撃手法を用いることにより、目的を達成する機会を作出することができる、高度な専門的知識と莫大なリソースを有する攻撃主体。ここでいう目的とは、一般的に、情報窃取や、任出することができる 高度な専門的知識と莫大なリソ スを有する攻撃主体 ここでいう目的とは般的に 情報窃取や 任務・事業若しくは組織の重要な局面に関する弱体化又は妨害、あるいは将来においてこれらの目的を実現するための準備行為を目的として、標的とした組織のITインフラ中に、足場を構築し、利用し続けることが挙げられる。
advanced persistent threatは、(i) 長期にわたって、繰り返し繰り返し目的を達成しようとし、(ii) 対策を講じる側の対抗措置に応じて変化し、（ⅲ）目的を達成するために必要となる双方向の通信レベルを維持する確固たる意志をもつ。

※NIST SP800
SP800-39
39 「ManagingManaging Information Security Risk: Organization, Mission, and Information System View」【Appendix B GLOSSAR Y】 http://csrc.nist.gov/publications/nistpubs/800-39/SP800-39-final.pdf

Copyright© 2011 JPCERT/CC All rights reserved.

執拗に行われる巧妙な標的型攻撃の場合のインシデント
対応
コーディネーションにともなうリスクの検討— 対応していることを気付かれる— 情報やサイトの価値を気付かせる01

2→ 攻撃手法が切り替わってしまい、対策を講じたつもりでも、無意味になってしまう可能性も。

SCCS
2

CASE1) JPCERT/CC宛に届いたマルウエア添付メール(2009年3月)
 メールの送信元IPアドレスが他の標的型攻撃で使われたマルウエアの通信先と同じ
 添付されていたマルウエアの通信先は国外IPドメイン・国外IPアドレス
 コーディネーション後コーディネーション以外の手段＝たとえば、検知・対策情報の共有等も必要 Aレコ
Aレコードが削除される
ドが削除される

同じIPアドレスが他のサイト名でも使われていることを確認CASE2) インシデント情報として提供された複数のマルウエア(2009年5月)
 同じ通信先の同種のマルウエアを複数受領
 通信先は国外IPドメイン・国外IPアドレス
 コーディネーション後Aレコードが削除される
同じIPアドレスが他のサイト名でも使われていることを確認

Copyright© 2011 JPCERT/CC All rights reserved.

標
標的型攻撃：手法的にもいろいろ
法

ソ シャル ンジ アリング的手法
ソーシャルエンジニアリング的手法
 特定の組織や個人を対象とした攻撃

標的攻
撃

準標的型攻撃標的型攻撃2かなり ”鋭利” なソーシャルエンジニアリング

標的型攻撃

01

 対象にとって価値のある情報を添える
 鋭利さ故に攻撃を受けた事実を外部に提供し難い

SCCS2

 特定の事柄に関心を持つ人を対象とした攻撃
比較的 ”広角”
広角 なソなソーシャルエンジニアリング
シャルエンジニアリング

マルウエアの特徴(semi targeted) 未修正の脆弱性が積極的に悪用される

デ“ゼロデイ”
修正アップデートが提供されている脆弱性も悪用されるも多いが全てではソフトウエア等の脆弱性を悪用するとは限らない→ アイコン偽装やファイル名(拡張子)偽装等で実行ファイルを開かせる ない!!

 インストールされるマルウエアの傾向
イ
ト
されるウ
傾向
情報収集を基本機能として有する→ MACアドレスやコンピュータ名等を識別ID代わりに使う“特注品”とは限らない!!

バックドア型のマルウエア(RAT)がインストールされる
バックドア型のマルウエア(RAT)がインスト
ルされる
外形的には使い捨てだが、中は同種ツールの使いまわし
Copyright© 2011 JPCERT/CC All rights reserved.

(3)情報共有+APTを意識したインシデントレスポンス方法の選択による対策— 日本モデル
検知情報※ 検知情報：

01

SC
CS
2

検知情報等の共有
情報窃取を目的とするステルス型の標的型攻撃への対応を可能とするセキ リティ対策製品
能とするセキュリティ対策製品
やサービス

2

標的型攻撃を検出し、適切なレスポンス（対応）方法の選択を可能とするための情報共有の枠組み— 米国の先行事例

誰とでも共有できる情報ではないし、誰でも使いこなせる情報でもない。

攻撃の検知のための情報等の共有を受けることが可能となる機能や体制が必要＝組織内CSIRT等

Copyright© 2011 JPCERT/CC All rights reserved.

平成24年2月14日開催 「サイバー情報共有のためのワークショップ～海外事例と情報共有の取組について～」配付資料から

(4)経営層のリスク認識を深めてもらうための活動も必要
識 深動Nortel の情報漏えい事案
Wall Street Journal (2012年2月14日)によると, Nortel 社（2009年破産手続き開始） が10年以上にわたって、技術—文書や、研究開発報告書、経営戦略、従業員のe-mail等の文書を窃取されていた。
Nortel社のCEO等（詐欺罪等による刑事訴訟中）は、その事実を知っていたが、事業や知財権の売却の過程で、その事実を相手方に公開せず。

012—（記事からの抜粋）“Mr. Shields and a handful of the firm’s computer-security officers soon learned that hackers hadSCCS
2

apparently obtained the passwords of seven top officials, including a previous CEO. The hackers had
been infiltrating Nortel
Nortel’ss network
network, from China-based Internet addresses
addresses, at least as early as 2000
2000, Mr.
MrShields and his colleagues determined.

Hackers had almost complete access to the company’s systems, Mr. Shields said, because the internal
structure of Nortel’s network posed few barriers. “Once you were on the inside of the network, it wassoft and gooey,” he said.

About six months later, Mr. Shields said, he saw signs that hackers were still in the system. Everymonth or so, a few computers on the network were sending small bursts of data to one of the same
I t
Internet
t addressesddin
i ShanghaiShh i involved
ild in
i theth password-hacking
d h ki
episodes.
i d
Unexpected
Ut d ttransmissions
i ilike these—where one computer sends a quick “ping” to another—often suggests the presence ofspyware, security experts say.
“That’s the really deep covert presence,” said one person familiar with Nortel’s investigation. “Thereis something on those computers that’s doing that, and finding it is very difficult.”

Copyright© 2011 JPCERT/CC All rights reserved.

(5)別の視点：法改正への対応
法改2

不正指令電磁的記録の作成、提供等（刑法）やフィッシング、IR不正指令電磁的記録の作成提供等（刑法）やフィッシング IR・パスワードの不正流通のパスワ ドの不正流通の犯罪化（不正アクセス禁止法）に伴う対応の検討

SC
CS
2

01

関係機関との連携のための具体的な方法について、官民ボード等に関係機関との連携のための具体的な方法にいて 官民ボ ド等において検討を進めている。
— 攻撃に関与している者を捕まえることが、最善の抑止策— とはいえ、具体的な対応の局面では、事象の解決や被害拡散抑止のための対策を優先させる必要もば— たとえば、・ ・ ・ ・ ・Copyright© 2011 JPCERT/CC All rights reserved.

２．制御システム セキュリティ(1)従来の活動

SCCS
2

 ゼロデイの脅威から製品利用者を守る⇒脆弱性情報ハンドリング
発見された製品や規格の脆弱性が、対策も取られないまま公になる前に、拡大する被害を未然に防ぐための活動 正しいコーディング方法を広め、安全な製デグ品開発を促す⇒C/C++セキュアコーディング
不十分な理解によりコーディングされた脆
不十分な理解によりコディングされた脆弱なソフトウエア製品がもたらす脅威を未然に防ぐための活動 安全・安心なシステムの開発・運用を促す⇒制御系システムセキ リティ⇒制御系システムセキュリティ
汎用IT製品が導入された事によって、その脅威にさらされ始めた制御系システムにおいて、安全・安心な環境を維持する為の開発 運 を促す活動
開発・運用を促す活動

製品利用者を被害から守る対応型活動

2

高度な情報処理を実現するICT環境に潜む脆弱性によって脅かされる、全ての利用者の安全を守る為に３つの観点から活動

01

Copyright© 2011 JPCERT/CC All rights reserved.

脆弱性情報ハンドリング

セキュアなコーディングの普及

制御システムセキュリティ

製品開発時点で問題を防ぐ予防型活動
安全・安心なシステム構築・運用を促す予防・対応型活動12

【参考】（従来からの）情報システムに関する脆弱性関連情報ハンドリング
情報セキュリティ早期警戒パートナーシップ（国内）
脆弱性関連情報を、適切な関係者へ事前に開示し、被害を最小限に食い止めるためのプロセス
未公開脆弱性情報の受付 ⇒ 検証 ⇒ 製品開発者に開示
国外の関係機関（CERT/CC、CPNI等）と連携し、国内外の製品開発者へ情報展開
関係するすべての製品開発者が同時に情報公開するよう調整
脆弱性情報ポータルサイト（JVN）を運営し、脆弱性情報と各社の対応を公開

2

———
—

経済産業省告示 「ソフトウェア等脆弱性関連情報取扱基準」 に基づく活動

海外の情報源01

IPAが受付機関、JPCERT/CCが調整機関として指定
JEITA、JNSA、JISA、CSAJ、IPA、JPCERT/CC が協同で「情報セキュリティ早期警戒パートナーシップ」ガイドラインを策定

SC
CS
2

——

通知

海外の情報源

脆弱性の検証
対策 作成
対策の作成

ネット上
ネッの情報

CERT/CC/

CPNI

収集

JPCERT/CC

脆弱性情報の開示、公表日程の調整

メーカ1

エンド
ユーザ

メーカ2

企業
ユーザ
SIer

メーカ3

通知

脆弱性の発見者

脆弱性情報の報告

対策情報のとりまとめ

IPA

受付
分析
Copyright© 2011 JPCERT/CC All rights reserved.

対策情報の提供

該当するメーカを抽出しメ
カを抽出し情報配信

JVN（脆弱性情報ポータル）

ISP

メーカ4

メーカ5

日程を日程を合わせて合わせて公表
公表

小売り
マス
マスコ
ミ

(2)制御システムセキュリティに特化したチームを新設＝日本版ICS CERTの設置＝日本版ICS-CERTの設置
これまで行ってきた制御システム機器に関する脆弱性関連情報ハンドリングや制御システムセキ リティに関する情報発信等の活動を進化させて 以下の活動を行う
ステムセキュリティに関する情報発信等の活動を進化させて、以下の活動を行う。
インシデントハンドリング支援業務

2

1.

2.

SCCS
201

 事案対処支援：現地での対応支援を含む 検証（再現性・攻撃ツール etc）：新設された制御システムセキュリティセンター（技術研究組合）テストベッド等とも連携
 執拗な特定の目的による巧妙な攻撃への対応については、情報システムに対するものと同様の問題が。と同様の問題が脆弱性関連情報調整業務

 制御システム関連製品における脆弱性対応のスキーム検討
 JVN等での公開が最適解ではない。

 制御システム関連製品開発者の脆弱性対応に係る支援 等

33.

制御システムに関するインシデントハンドリング、脆弱性関連情報調整のためのコミュ
制御システムに関するインシデントハンドリング
脆弱性関連情報調整のためのコミュ
ニティ運営
 カンファレンス開催
 Idaho Advanced Training 日本向け開催 等

Copyright© 2011 JPCERT/CC All rights reserved.

ご質問 お問合わせはご質問、お問合わせはインシデントの報告、対応依頼

2— http://www.jpcert.or.jp/research/#webdefacement— 電子メール：info@jpcert.or.jp (PGP 公開鍵)

01((*)) JPCERT/CC PGP 鍵が更新されました。詳細はリンク先をご覧下さい。

SCCS
2— FAX： 03-3518-2177 (インシデント報告以外のものは 03-3518-4602)— 電話： 03-3518-4600

早期警戒情報の配信
早期警戒情報の配信、マルウエア解析レポート
ウ ア解析レポ ト— http://www.jpcert.or.jp/wwinfo/— JPCERT/CC 早期警
早期警戒グループ 早期警
早期警戒情報登録受付窓口
情報 録受
E-mail :ww-info@jpcert.or.jp

注意喚起、ウィークリーレポート等を受信いただくJPCERT/CCメーリング
リストへの登録— http://www.jpcert.or.jp/announce.html

Copyright© 2011 JPCERT/CC All rights reserved.

15