2020年度研究発表

脆弱性情報を利用したゼロデイ攻撃対策
セキュリティシステム
Zero-Day Attack Prevention Security System
Using Vulnerability Information
竹原一駿，楠目幹，西岡大助
最所研究室

2020/6/2

s20g470@stu.kagawa-u.ac.jp1

2020年度研究発表

目次
1. はじめに
2. 近年のゼロデイ攻撃による被害
3. セキュリティシステム全体
4. 脆弱性情報収集部
5. IT資産管理部
6. 影響算出部
7. ネットワーク制御部
8. おわりに
9. 類似研究2020/6/2

s20g470@stu.kagawa-u.ac.jp2

2020年度研究発表[付録]A-1. 用語解説
■ BYOD (Bring your own device)• 個人保有の携帯機器を職場に持ち込み，業務に使用する• 香川大学の学生にも義務づけられている■ ソフトウェア• コンピュータを動作させるためのプログラム(命令)を記述したデータのまとまり．Windows，Excel，Word■ Firewall (ネットワーク機器)• 外部とのネットワーク接続の間で検問する• 防火壁と言われる■ L2スイッチ (ネットワーク機器)• ネットワークの接続を分割する• 宛先を見て判断する機能がついている
2020/6/2

s20g470@stu.kagawa-u.ac.jp

3

2020年度研究発表[付録]A-2. 用語解説
■ 脆弱性 (セキュリティホール)• プログラムの不具合や，設計上のミスが原因となって発生した情報セキュリティ上の欠陥• 設定ミスや監査の不備なども脆弱性と成りえる■ パッチ• 脆弱性やバグを修正するためのファイルやプログラム• しばしば，Windows Updateで配信されている中身の一部■ 情報資産• 組織にとって守るべき価値をもつ情報(顧客情報，製品情報，マーケティング情報など)• それを取り扱う一連の情報システム(必要なハードウェア，ソフトウェア，ネットワーク)
2020/6/2

s20g470@stu.kagawa-u.ac.jp

42020年度研究発表[付録]A-3. 用語解説
■ 脆弱性とバグの違い

設備の不備
入退室管理
メンテナンス

技術の不備
バグ

脆弱性

設定ミス
ユーザ教育
機器管理脆弱性とならないバグもある

2020/6/2

管理の不備

s20g470@stu.kagawa-u.ac.jp

52020年度研究発表[付録]A-4. 用語解説
■ ゼロデイ攻撃• ソフトウェアに存在する脆弱性を発見• ベンダによるパッチ配布前に行う攻撃• 基本的な対策は，パッチの配布を待つ• それまでの攻撃には，対応できない

2020/6/2

s20g470@stu.kagawa-u.ac.jp

62020年度研究発表[付録]A-5. おすすめ書• 増井敏克, おうちで学べるセキュリティのきほん, 翔泳社• 上原孝之, 情報処理教科書 情報処理安全確保支援士 2020年版, 翔泳社

2020/6/2

s20g470@stu.kagawa-u.ac.jp

7

2020年度研究発表[付録]B-1. 過去の発表実績• 楠目幹, 喜田弘司, 最所圭三. “脆弱性情報を利用したゼロデイ攻撃対策
システムにおける構成情報収集機能の実装及び脆弱性評価機能の設計”.
電子情報通信学会技術研究報告, Vol. 119, No. 140, pp. 1~6, 2019.
• 竹原一駿, 最所圭三. “脆弱性情報を用いたアクセス制御に基づくゼロデイ攻撃対策セキュリティシステム”. 先端工学研究会2020, pp.49, 2020.
(http://www.kagawa-u.ac.jp/kagawa-u_ead/topics/event/2020/)

2020/6/2

s20g470@stu.kagawa-u.ac.jp

8

2020年度研究発表

1-1. はじめに■ ゼロデイ攻撃による被害が増えている• 標的型攻撃を組み合わせた攻撃• ゼロデイ攻撃自体を防ぐことは難しい■ 企業や大学におけるBYODが増えている• 自らの機器を持ち込み，業務に使用する• 組織のネットワークに接続することが多い

個人情報を始めとした情報資産を守る
脆弱性情報と機器情報を用いてネットワーク制御を行う
ゼロデイ攻撃対策セキュリティシステム
2020/6/2

s20g470@stu.kagawa-u.ac.jp

92020年度研究発表

1-2. 情報資産を守る期待される状態の情報資産(正常)脅威

差異が生じる
可能性を減らす差異が発生した状態の情報資産(異常)損失
2020/6/2

s20g470@stu.kagawa-u.ac.jp10

2020年度研究発表

1-3. 本提案の狙い

パッチの配布に依存しないかつソフトウェアの脆弱性情報を利用した対策
本対策

従来の対策

リリース直後 脆弱性の公開 パッチの配布 パッチの適用

2020/6/2

s20g470@stu.kagawa-u.ac.jp

112020年度研究発表

1-4. 本システムの効果
対策システムなし

対策システムあり

影響を算出できない影響を算出できる対策が取れない

事前対策が取れる攻撃への対応の遅れ

攻撃への素早い対応

被害の拡大

被害の最小化管理者が適切な対策を取れるように影響範囲や対策を提供
2020/6/2

s20g470@stu.kagawa-u.ac.jp

12

2020年度研究発表

1-5. 影響範囲の予測

影響範囲を予測し、事前対策● 影響の有無● 影響するマシン● 影響するマシン数● マシンの管理者● 緊急性の有無
等

2020/6/2

s20g470@stu.kagawa-u.ac.jp

事前対策が取れる13

2020年度研究発表

1-6. 本システムの目標
十分な対策が可能
大企業

大学や病院

人材や資金が豊富

人材や資金が不足

対策の不足や属人化

大学や病院等の 小さな組織におけるセキュリティ対策の向上を目指す
対策が全く取れていない

2020/6/2

少しでも対策が取れている
s20g470@stu.kagawa-u.ac.jp

より対策が取れている14

2020年度研究発表

2. 近年のゼロデイ攻撃による被害◼ Internet Explorer• ライブラリの脆弱性を悪用• 対策パッチ配布までは，アクセスしないことを推奨• 被害を確認している“Microsoft Internet Explorer の脆弱性対策について (CVE-2019-1367):IPA 独立行政法人 情報処理推進機構”
https://www.ipa.go.jp/security/ciadr/vul/20190924-ms.html, 2020/01/29◼ 三菱電機• ウイルス対策ソフトの脆弱性を悪用• 8000人超えの個人情報，技術資料，営業資料が流出“三菱電機、約 8000 人の個人情報流出か ウイルス対策システムにゼロデ イ攻撃 - ITmedia NEWS”
https://www.itmedia.co.jp/news/articles/2001/21/news083.html, 2020/01/23

身近なソフトの脆弱性を悪用
2020/6/2

s20g470@stu.kagawa-u.ac.jp

15

2020年度研究発表

3-1. システム全体の流れ① 脆弱性情報

脆弱性情報

通知

脆弱性情報収集部 ③

イン
タネ

ユーザ

④ 指示
影響算出部
ネットワーク制御部

機器情報⑤遮断/ 復帰命令

IT資産管理部
セキュリティ対策システム

ト
自分の機器に対処
ネットワーク機器②機器情報
管理対象機器組織内

2020/6/2

s20g470@stu.kagawa-u.ac.jp

16

2020年度研究発表

3-2. 脆弱性情報を収集① 脆弱性情報

脆弱性情報

通知

脆弱性情報収集部 ③

イン
タ
ネ

ユーザ

④ 指示
影響算出部
ネットワーク制御部

機器情報⑤遮断/ 復帰命令

IT資産管理部
セキュリティ対策システム

ト
自分の機器に対処
ネットワーク機器②機器情報
管理対象機器組織内

2020/6/2

s20g470@stu.kagawa-u.ac.jp

17

2020年度研究発表

3-3. 組織の機器情報を収集① 脆弱性情報

脆弱性情報

通知

脆弱性情報収集部 ③イ
ン
タネ

ユーザ

④ 指示
影響算出部
ネットワーク制御部

機器情報⑤遮断/ 復帰命令

IT資産管理部
セキュリティ対策システム

ト
自分の機器に対処
ネットワーク機器②機器情報
管理対象機器組織内

2020/6/2

s20g470@stu.kagawa-u.ac.jp

18

2020年度研究発表

3-4. 組織ネットワークへの影響を算出① 脆弱性情報

脆弱性情報

通知

脆弱性情報収集部 ③

イ
ン
タネ

ユーザ

④ 指示
影響算出部
ネットワーク制御部

機器情報⑤遮断/ 復帰命令

IT資産管理部
セキュリティ対策システム

ト
自分の機器に対処
ネットワーク機器②機器情報
管理対象機器組織内

2020/6/2

s20g470@stu.kagawa-u.ac.jp

19

2020年度研究発表

3-5. 結果をもとにネットワークを制御① 脆弱性情報

脆弱性情報

通知

脆弱性情報収集部 ③イン
タネ

ユーザ

④ 指示
影響算出部
ネットワーク制御部

機器情報⑤遮断/ 復帰命令

IT資産管理部
セキュリティ対策システム

ト
自分の機器に対処
ネットワーク機器②機器情報
管理対象機器組織内

2020/6/2

s20g470@stu.kagawa-u.ac.jp20

2020年度研究発表

4-1. 脆弱性情報収集部① 脆弱性情報

脆弱性情報

通知

脆弱性情報収集部 ③イ
ン
タネ

ユーザ

④ 指示
影響算出部
ネットワーク制御部

機器情報⑤遮断/ 復帰命令

IT資産管理部
セキュリティ対策システム

ト
自分の機器に対処
ネットワーク機器②機器情報
管理対象機器組織内

2020/6/2

s20g470@stu.kagawa-u.ac.jp

21

2020年度研究発表

4-2. 脆弱性情報収集部◼ 脆弱性情報を利用したゼロデイ攻撃対策システムの考案と DB 構築• JVN iPediaで公開された脆弱性情報をDBに格納• 対象製品，ソフトウェア，ベンダ，深刻度• ベンダのパッチ配布に依存せず，公開後速やかに集約

JVN iPedia - 脆弱性対策情報データベース https://jvndb.jvn.jp/“脆弱性情報を利用したゼロデイ攻撃対策システムの考案と DB 構築”
楠目幹，本学部電子・情報工学科2018年度卒業論文

2020/6/2

s20g470@stu.kagawa-u.ac.jp22

2020年度研究発表

5-1. IT資産管理部① 脆弱性情報

脆弱性情報

通知

脆弱性情報収集部 ③イン
タネ

ユーザ

④ 指示
影響算出部
ネットワーク制御部

機器情報⑤遮断/ 復帰命令

IT資産管理部
セキュリティ対策システム

ト
自分の機器に対処
ネットワーク機器②機器情報
管理対象機器組織内

2020/6/2

s20g470@stu.kagawa-u.ac.jp

23

2020年度研究発表

5-2. IT資産管理部◼ BYODに対応したIT資産管理システムの開発• 持ち込まれた機器をユーザと紐付けし，DBで管理• 機器の重要度を登録 (重要度:個人情報の保存)• エージェントの導入を行う• 未導入の機器は，ネットワーク接続を未許可に”BYODに対応したIT資産管理システムの開発”
西岡大助，本学部電子・情報工学科2019年度卒業論文

2020/6/2

s20g470@stu.kagawa-u.ac.jp

24

2020年度研究発表

5-3. 情報取得の流れ① ログイン認証② ハードウェア情報の取得③ エージェントのインストール④ ソフトウェア情報の取得

Windows
2020/6/2

macOS

Linux
s20g470@stu.kagawa-u.ac.jp25

2020年度研究発表

5-4. 管理する情報

ユーザ情報

ハードウェア情報

ソフトウェア情報• ユーザID• MACアドレス• ソフトウェア名• 氏名• 固定IPアドレス• バージョン

• メールアドレス• OS情報

• 所属

• 重要度

• ステータスLDAPと連携
各自入力

2020/6/2

ログイン認証時に取得

エージェントで各端末から取得

s20g470@stu.kagawa-u.ac.jp26

2020年度研究発表

6-1. 影響算出部① 脆弱性情報

脆弱性情報

通知

脆弱性情報収集部 ③

イン
タネ

ユーザ

④ 指示
影響算出部
ネットワーク制御部

機器情報⑤遮断/ 復帰命令

IT資産管理部
セキュリティ対策システム

ト自分の機器に対処
ネットワーク機器②機器情報
管理対象機器組織内

2020/6/2

s20g470@stu.kagawa-u.ac.jp

27

2020年度研究発表

6-2. 影響算出部■ 組織にどのような影響がでるのか算出⚫ パラメータ• 脆弱性の深刻度• 情報資産(データ)の重要度• 機器資産(HardWare)の価値• 攻撃状況
• 通信実績
• サービス形態(内向，外向)• 可用性 …etc

⚫ 制御方針• 管理者に警告• 外部との接続を遮断• 検疫ネットワークへ隔離• アクセス制限⚫ 判定結果• 制御方針• 制御対象 (MACアドレス)

2020/6/2

s20g470@stu.kagawa-u.ac.jp28

2020年度研究発表

6-3. 緊急度算出の例● 脆弱性が存在● 稼働しているサービスや使用するソフトウェアに関係● 脆弱性が存在● 稼働しているサービスや使用するソフトウェアに無関係

緊急度は高い

緊急度は低い直ちに隔離が必要

担当者に警告2020/6/2

s20g470@stu.kagawa-u.ac.jp

29

2020年度研究発表

7-1. ネットワーク制御部① 脆弱性情報

脆弱性情報

通知

脆弱性情報収集部 ③イン
タネ

ユーザ

④ 指示
影響算出部
ネットワーク制御部

機器情報⑤遮断/ 復帰命令

IT資産管理部
セキュリティ対策システム

ト
自分の機器に対処
ネットワーク機器②機器情報
管理対象機器組織内

2020/6/2

s20g470@stu.kagawa-u.ac.jp30

2020年度研究発表

7-2. ネットワーク制御部
L2スイッチ⑤ ポート変更の監視と追従③ 外部との遮断命令
操作
Firewall② IPアドレスの取得
ネットワーク制御部④ 内部との隔離命令(検疫へ移動)DHCPサーバ① 遮断指示VLAN
影響算出部

内部ネットワーク2020/6/2

検疫ネットワーク”脆弱性情報を用いたセキュリティシステムにおけるネットワーク制御機構に関する研究”竹原一駿，本学部電子・情報工学科2019年度卒業論文

s20g470@stu.kagawa-u.ac.jp

31

2020年度研究発表

7-3. 機能評価• 実装機能の動作を評価• 影響算出部による該当機器を想定• 外部ネットワークからの遮断と復帰• 内部ネットワークからの隔離と復帰• L2スイッチへの接続しているポート変更の監視と追従• ”ping” (ICMPパケット) の通信中の遮断を確認• 20回送る途中に遮断する• 外部ネットワークとの通信• 内部ネットワークとの通信

2020/6/2

s20g470@stu.kagawa-u.ac.jp

32

2020年度研究発表

7-4. 外部ネットワークからの遮断
1 3 3 . 9 2 . 1 4 7 . 0 /2 4

L2 スイッチ

1 9 2 . 1 6 8 . 3 0 . 0 /2 4

192.168.30.2

192.168.30.1

Firewall

DHCPサーバ
The Internet

外部ネットワーク2020/6/2

192.168.30.13
ネットワーク制御部
192.168.30.4

内部ネットワークs20g470@stu.kagawa-u.ac.jp

検疫ネットワーク33

2020年度研究発表

7-5. 内部ネットワークからの隔離
L2スイッチ

1 9 2 . 1 6 8 . 3 0 . 0 /2 4

192.168.30.2

192.168.30.1

Firewall

DHCPサーバ

192.168.30.13
ネットワーク制御部
192.168.30.4

VLAN

内部ネットワーク2020/6/2

s20g470@stu.kagawa-u.ac.jp

検疫ネットワーク34

2020年度研究発表

7-6. 接続ポートの監視と追従
L2スイッチ

1 9 2 . 1 6 8 . 3 0 . 0 /2 4

192.168.30.2

192.168.30.1

Firewall

DHCPサーバ
ネットワーク制御部
192.168.30.4

VLAN

内部ネットワーク2020/6/2

s20g470@stu.kagawa-u.ac.jp

検疫ネットワーク35

2020年度研究発表

8. おわりに■ まとめ• 組織に存在する情報資産を守る• 大学や病院など小さな組織を対象とする• 組織のネットワークに対する影響を算出する• 脆弱性情報と機器情報を用いてネットワーク制御を行うゼロデイ攻撃対策セキュリティシステム

■ 問題点と課題• 影響算出部の開発• 無線LAN環境や異なる機種への対応• エージェントの機能拡張• 機器の重要度の算出方法について検討
2020/6/2

s20g470@stu.kagawa-u.ac.jp

36

2020年度研究発表

9-1. 他学校の導入システム■ KWIINS• 2000年度より京都女子大学にて導入• 学内ネットワーク接続へのユーザ認証• 一定時間の無通信時の再認証• ウイルス等への振る舞い検知と隔離機構• ⇒ 不正な活動の検知や隔離• ⇒ これらの対策とした通信制限を不要に•(※ セグメントを超えたICMPの禁止など)• 未知のウイルスにおいても検知が可能• 我々のシステムとの併用でセキュリティ向上を期待
宮下健輔. “学内ネットワークの安全性向上を目指したアクセス制御と脅威検知の導入”.
情報処理学会インターネットと運用技術シンポジウム 2008, pp. 73–79, 2008.

2020/6/2

s20g470@stu.kagawa-u.ac.jp37

2020年度研究発表

9-2. 他社製品■ SKYSEA Client View
• 機器の一元管理を行う• ベンダーが配布したパッチのキャッシュを行う• パッチ配布前には対策しない
SKYSEA Client View Ver.14｜SKYSEA Client View｜Ｓｋｙ株式会社
https://www.skyseaclientview.net/ver14/#tabs-2■ IoT向け脆弱性情報管理サービス• 脆弱性情報に対して，通知を行う• 通知まで，数日を要する• ネットワーク制御までは行わない
ActSecure IoT向け脆弱性情報管理サービス | NEC
https://jpn.nec.com/act/acts_iotvms.html#servicemenu
2020/6/2

s20g470@stu.kagawa-u.ac.jp38