標的型攻撃の脅威とセキュリティ対策～サイバー攻撃のデモ実演～

2012年11月17日

独立行政法人情報処理推進機構
技術本部 セキュリティセンター
研究員 渡辺 貴仁

Copyright © 2012 独立行政法人情報処理推進機構

1目次
1. サイバー攻撃について
1
2. 標的型攻撃（新しいタイプの攻撃）とは
3. 新しいタイプの攻撃のモデル
新し タ プ 攻撃
デ
4. 対策へのアプローチ

Copyright © 2012 独立行政法人情報処理推進機構

2

サイバー攻撃報道事例
時期報道

2011/5

韓国の農協でシステム障害 （読売新聞等）

2011/4-5

ソニーにサイバー攻撃、個人情報流出１億件超 （朝日新聞等）

2011/9三菱重にサイバー攻撃、８０台感染…防衛関連も （読売新聞等）

2011/9ＩＨＩにもサイバ 攻撃 日本の防衛・原発産業に狙いか
ＩＨＩにもサイバー攻撃
日本 防衛 原発産業に狙いか （産経新聞等）

2011/10

衆院にサイバー攻撃 議員のパスワード盗まれる （朝日新聞等）

2011/11

サイバー攻撃：参院会館のＰＣ、ウイルス感染は数十台に （毎日新聞等）

2012/1

ＪＡＸＡ：職員のパソコン感染、無人補給機情報など流出か （毎日新聞等）

2012/2

農水省に標的型メール攻撃、情報流出狙う？ （読売新聞等）

2012/2

特許庁 トロイの木馬型感染…メール情報流出か （読売新聞等）
特許庁、トロイの木馬型感染…メール情報流出か

2012/3

国際協力銀行の顧客220社とのメール流出 （毎日新聞等）

2012/6

パソコン５台、ウイルス感染か＝外部サイトと通信－原子力安全基盤機構（時事通信）

2012/7

財務省ＰＣ数か月情報流出か…トロイの木馬型 （読売新聞等）

2012/9「中国紅客連盟」の標的か…総務省統計局サイト （読売新聞等）

2012/10

不審メール:内閣府を名乗り
不審メル:内閣府を名乗り、県に県に ／徳島 （毎日新聞）

Copyright © 2012 独立行政法人情報処理推進機構

3サイバー攻撃の発生事例①～防衛産業に対する標的型攻撃～ 国内の大手総合重機メーカに対する標的型攻撃（2011年9月）■ 攻撃①
関係組織の職員のPCがウイルスに感染させ、大手総合重機メーカとのやりとりメ ルを盗んだ
やりとりメールを盗んだ。

ウイルス付きのメール

関係組織

関係組織へのメール情報を窃取■ 攻撃②
攻撃①の10時間後、関連企業に対し、盗んだメールを利用した標的型攻撃メールを送付した。

Copyright © 2012 独立行政法人情報処理推進機構

関係組織から窃取したメールを利用して標的型攻撃メー
ルを送付※複数の報道から導き出したシナリオです。

A社 関連企業
B社

4

サイバー攻撃の発生事例①～防衛産業に対する標的型攻撃～■ 被害
事象：ウイルスは広域に社内拡散
事業所数11拠点
感染数：83台のPCやサーバ外部通信を行う

感染した端末から深部のサーバへ侵入し、情報を抜き取る。

端末に感染したウイルスが内部サーバに侵入し、原発・防衛関連情報を攻撃者（米国サーバ）へ送付する。
攻撃者（米国サーバ）へ送付する抜き取った情報を攻撃者のサーバへ送付する

同社の愛知の拠点のサーバへ情報が集約され送付された
愛知報※複数の報道から導き出したシナリオです。

組織内に巧妙なルートで侵入され、・組織内拡散
・組織内調査・重要サーバへの不正アクセスによる・・・
による組織の重要情報（知的財産、顧客情報等）を狙われる事件が顕在化
Copyright © 2012 独立行政法人情報処理推進機構

5サイバー攻撃の発生事例②～攻撃された後、外部への攻撃に使われたと思われるケース～
 EMC Corporationのセキュリティ事業部門であるRSAのSecurIDに関する情報が盗まれたケース「A t「Anatomyoff an AttAttack」
k
http://blogs.rsa.com/rivner/anatomy-of-an-attack/

①
②
③
④
⑤
⑥
⑦⑧

従業員宛に標的型攻撃メールを送付
添付ファイルはExcelのゼロデイの脆弱性を狙うウイルス
従業員がクリックして感染し、バックドアを作成されるネットワーク情報を収集し、更に権限の高いアカウント情報を取得
収集し収集したアカウント情報を利用し、ターゲットのサーバへ侵入
ト情報 利 し タ ゲ ト
侵サーバから機密情報（RSA SecurIDの製品情報と言われている）を取得⑥の情報を外部サーバ（侵入されたホスティング業者のサーバ）へ送付
攻撃者が情報を取得後、外部サーバから痕跡を消去● また、ロイター通信の報道によると、RSAから盗んだ情報を利用しロッキード・マーチンへの攻撃に使われたと報道されている
http://jp.reuters.com/article/topNews/idJPJAPAN-21564820110607※RSA SecurID：
EMC Corporationのセキュリティ事業部門であるRSAの展開しているサービスであるワンタイムパスワードシステム。
Copyright © 2012 独立行政法人情報処理推進機構

抜き取った情報を攻撃者のサ バへ攻撃者のサーバへ送付する

6

サイバー攻撃の発生事例③
 韓国農協（金融業務）が攻撃を受ける（2011年4月）
 攻撃経路： ウェブハウェブハードサイト（ウェブ経由のファイル共有サイト）
ドサイト（ウェブ経由のファイル共有サイト）
 農協ネットワークシステムの外部委託業者がウェブサイト経由でマルウェアに感染
 攻撃の結果：
 電算ネットワークのデータが大量に破壊され、数日にわ電算ネットワ クのデ タが大量に破壊され 数日にわたって業務不能状態へ。
 農協のバックアップされたデ農協のバックアップされたデータも削除
タも削除
 一部のデータは復旧不可能な状況へ

Copyright © 2012 独立行政法人情報処理推進機構

7

サイバー攻撃の変遷～ 攻撃手法の巧妙化だけでなく攻撃者像も変化 ～ 攻撃者の狙い
いたずら目的ず 目的
顕示欲の誇示金銭目的（犯罪）
サービス妨害（嫌がらせ）

スパイ・諜報活動
機密情報の窃取グループ
犯罪者

国家？・Hacktivist・
犯罪プロ集団

BotnetSpamメール

標的型・シーケンシャ
ルマルウェア 攻撃者像
攻撃者1人
セキュリティ技術者

 攻撃手法不正侵入※ソーシャルエンジニアリングによる、ウェブ、メール、USB等経由の攻撃へ ビジネスインパクト
ビジネスイン クト
 個人情報流出 ⇒ 企業の社会的責任
 知的財産情報の窃取 ⇒ 企業の競争力低下、国家の危機管理問題へ
 制御機器やシステム停止 ⇒ 企業の競争力低下、サプライチェーンの崩壊、社会インフラの混乱、国家の危機管理問題へ
Copyright © 2012 独立行政法人情報処理推進機構

8サイバー攻撃の種類（攻撃者像から）
１.諜報活動をする者？
目的

情報窃取が主な目的（情報破壊等もあり得る）

手法
標的型攻撃メール
組織内ネットワークへ侵入

事例
大手重工関連企業
衆議院・参議院

２.共通思想集団（Hacktivist）
目的

独自の主義主張手法
サーバへのDDoS攻撃
サーバから情報窃取
サ
バから情報窃取SNSで勢力拡大

事例
Anonymous, Lulzsec
ゲーム会社への攻撃

３ 詐欺集団（従来からの攻撃の1つ）
３.詐欺集団（従来からの攻撃の1つ）
目的

金銭目的

手法
フィッシング詐欺
マルウェア感染（クレジットカード番号取得等）

Copyright © 2012 独立行政法人情報処理推進機構

事例
一般ユーザのウイルス感染
決済サイトへの攻撃
ショッピングサイトへの攻撃
9

標的型攻撃メールはいつからあった？
～10年前から行われている攻撃～10年前から行われている攻撃
国内の政府機関 Operationへの標的型メ ル Aurora Stuxnet
への標的型メール
Stt

Titan Rain

大震災
総合重機メーカ

RSA

政府機関への攻撃の観測
X
2003

~

2005

~

2009

2010

2011

2012

2006/5/30

 10年間攻撃が続いており、被害が食止められていない現実
 ここ2年間で攻撃による被害が顕在化してきた
Copyright © 2012 独立行政法人情報処理推進機構

10

目次
1. サイバー攻撃について
1
2. 標的型攻撃（新しいタイプの攻撃）とは
3. 新しいタイプの攻撃のモデル
新し タ プ 攻撃
デ4. 対策へのアプローチ

Copyright © 2012 独立行政法人情報処理推進機構

11

『標的型攻撃』とは？
標的型攻撃の特徴
巧妙（ソーシャルエンジニアリング）し（執拗）とにかくしつこい（執拗） 1回の攻撃で終わりではない。何度も何度もやってくる。
 組織のネットワークに忍び込んでいる。（何か月から何年の単位で徐々に攻撃を行う）

組織の活動に被害をもたらしかねない情報を窃取される（もしくは破壊される） 海外での呼び方
 APT(Advanced Persistent Threat：先進的でしつこい脅威)
 Cyber Espionage：サイバー空間におけるスパイ活動

 色々な日本語訳もあります 標的型攻撃（標的型サイバー攻撃）
標的型攻撃（標的型サイ攻撃）
 持続的標的型攻撃 新しいタイプの攻撃(IPA)
Copyright © 2012 独立行政法人情報処理推進機構12

『標的型攻撃』の実際のメール文面
 IPAに届出のあったメールの場合◇メールタイトル：3月30日放射線量の状況◇メール本文内容：<本文なし>◇添付ファイル名：3月30日放射線量の状況.doc
送信時期2011年4月で興味の持たれそうなタイトルやファイル名を使っていた

 IPAを騙ったメールの場合◇（偽装された）差出人：IPAのメーリングリスト◇メ ル本文内容 実際にIPAがウ ブ等で◇メール本文内容：実際にIPAがウェブ等で発表した内容
および、実際の職員の名前◇添付ファイル名 調査報告書概要◇添付ファイル名：調査報告書概要
差出人をIPAとして実際に発表した内容を流用
これらのほかにもIPAでは実在の職員を詐称したメールが届いたことも。
Copyright © 2012 独立行政法人情報処理推進機構

13

巧妙な添付ファイル～メール本文で受信者の興味を引き、既知の脆弱性を悪用～
メ ル本文で受信者の興味を引き、既知の脆弱性を悪用 メールに添付されていたドキュメント・ファイルの一例

出展： IBM Security Services「2012 上半期 Tokyo SOC 情報分析レポート」
http://www-935.ibm.com/services/jp/its/pdf/tokyo_soc_report2012_h1.pdf

Copyright © 2012 独立行政法人情報処理推進機構

14脆弱性とは
 脆弱性：
１．脆弱性の定義
脆弱性とは、ソフトウエア製品やウェブアプリケーション等において、コンピュータ不正アク
クセスやコンピュータウイルス等の攻撃により、その機能や性能を損なう原因となり得るや ン
タウイ等の攻撃 より、その機能や性能を損なう原因となり得るセキュリティ上の問題箇所です。
情報セキュリティ早期警戒パートナーシップガイドラインより
http://www.ipa.go.jp/security/ciadr/partnership_guide.pdf

2. 脆弱性とは組織の情報資産は、多くの脅威にさらされています。
脆弱性とは、組織の情報セキュリティ体制上、これらの脅威に対する攻撃に弱い状態のことを指します。
第三者が脅威となる行為(システムの乗っ取りや機密情報の漏洩など)を行うことができ()る欠陥や仕様上の問題点といったシステム上の問題点や、機密情報の管理体制が整っていないなどといった人間の振る舞いに関する問題点も脆弱性となり得ます。
脅威と脆弱性とリスクの関係より
http://www.ts-ism.com/materials/archives/55.html

Copyright © 2012 独立行政法人情報処理推進機構

15

狙われるソフトウェアの脆弱性
 Black Hole Exploit Kit（攻撃ツール）が攻撃対象とする脆弱性：
 93%が3rdパーティ製の既知の脆弱性を使う
93%が3 dパ テ 製の既知の脆弱性を使う

いま一番危ない脆弱性は何だ?
いま番危ない脆弱性は何だ? ～2011年版～
2011年版
http://itpro.nikkeibp.co.jp/article/COLUMN/20110904/368103/
Copyright © 2012 独立行政法人情報処理推進機構

16

脆弱性を狙った攻撃～製品ベンダー側も日々対策を行っている～
製品ベンダ 側も日々対策を行っている
 主要クライアントソフトのセキュリティ対策情報公開の推移

Adobe Reader, JRE, Adobe Flash Playerにおいて発見される脆弱性が増えている• 統計情報：利用者のセキュリティパッチ／アップデート状況– 「Windows OS のセキュリティパッチ」の更新を行っている ・・・70%– 「Adobe Readerのバージョンアップ」 を行っている
・・・55.8%OSに比べて、クライアントソフトの定期的な更新作業がOSに比べてクライアントソフトの定期的な更新作業が定着していない実情
Copyright © 2012 独立行政法人情報処理推進機構

17

ゼロデイ攻撃とは ゼロデイ攻撃：OSやアプリケーションの脆弱性を修正するパッチが開発ベンダより提供されるより前にOSやプリケ シ
脆弱性を修 するパ チが開発
ダより提供されるより前に行われる、その脆弱性を突いた攻撃のこと

ゼロデイ攻撃に利用された脆弱性
ゼロデイ攻撃に利用された脆弱性：
CVE番号

脆弱性名

ベンダー対応時期

CVE-2011-2462 Adobe Reader および Acrobat における任意のコードを実行される脆弱性

2011/12

CVE-2012-0767
CVE
2012 0767 Adobe Flash Player におけるクロスサイトスクリプティングの脆弱性

2012/2

CVE-2012-0779 Adobe Flash Player における任意のコードを実行される脆弱性

2012/5

CVE-2012-1535 Adobe Flash Player における任意のコードを実行される脆弱性

2012/8

CVE-2012-4681 Oracle Java 7 に脆弱性

2012/8

CVE-2012-4969 Internet Explorer に任意のコードが実行される脆弱性

2012/9Copyright © 2012 独立行政法人情報処理推進機構

18

標的型攻撃メールの傾向～99%以上が既知の脆弱性が悪用されている～
99%以上が既知の脆弱性が悪用されている 攻撃に使われたファイル種別と脆弱性種別

メールに添付されていた不正なファイルの拡張子

ドキュメント・ファイルの悪用する脆弱性の割合

出展： IBM Security
出展
S
it S
Services「2012i「2012 上半期 TokyoT k SOC 情報分析レポート」
情報分析レポ ト
http://www-935.ibm.com/services/jp/its/pdf/tokyo_soc_report2012_h1.pdf

脆弱性対策をタイムリーに行っていれば、攻撃を防げる
脆弱性対策をタイ
リ に行 ていれば、攻撃を防げる可能性は高まる
Copyright © 2012 独立行政法人情報処理推進機構

19

『標的型攻撃』の状況～攻撃者が狙う情報や地域は多岐にわたっている～
 McAfee社が、2011年8月に公表した資料「世界14カ国、72組織をターゲットにしたOperation Shady RAT (McAfee)」
http://www mcafee com/japan/security/mcafee labs/blog/content asp?id=1275
http://www.mcafee.com/japan/security/mcafee_labs/blog/content.asp?id=1275

国家機密情報、ソースコード、メールアーカイブ、交渉計画、新規油田・ガス田開発に関する詳細な調査結果、ドキュメントストア、契約書、システム設計図面などが窃取
金銭情報

機密・知的財産情報
2006年から2010年までの攻撃対象国

国

攻撃数

国

攻撃数

業種

攻撃数

米国

49 インドネシア1

政府・行政機関22組織

カナダ

4 ベトナム

1

工業関連

6組織

韓国

3 デンマーク

1

通信関連

13組織

台湾

3 シンガポール
ポ

1

軍需関連

13組織

日本

2 香港

1

金融関連

4組織

スイス

2 ドイツ

1

その他

12組織

英国

2 インド

1

Copyright © 2012 独立行政法人情報処理推進機構

20

標的型攻撃メールの傾向～前年度より2倍に検知件数が増加～
前年度より2倍に検知件数が増加

 標的型攻撃メールの件数と業種別割合

標的型メール攻撃の検知件数比較

標的型メール攻撃のターゲットとなった組織の業種別割合

出展： IBM Security Services「2012 上半期 Tokyo SOC 情報分析レポート」
http://www-935.ibm.com/services/jp/its/pdf/tokyo_soc_report2012_h1.pdf
p ////jp/ /p / y __ p_ p

 政府機関、報道機関、製造事業者などにメールが送付
 添付ファイルを開くことで、マルウェアが感染する攻撃手法
添付フ イルを開くことでルウ アが感染する攻撃手法
Copyright © 2012 独立行政法人情報処理推進機構

21

誰を標的にしている？
報道では大企業や官公庁が狙われているものが取り上げられる。のが取り上げられる
中小企業は対象外？
2011年 被害を受けた企業の規模
18
1050

8
52501人以上
1501-2500人
人
1001-1500人
501-1000人
251-500人
1-250人9単位：％

インターネットセキュリティ脅威レポート 2011年の傾向より
http://www.symantec.com/content/ja/jp/enterprise/white_papers/istr17_wp_201207.pdf
Copyright © 2012 独立行政法人情報処理推進機構

22

目次
1. サイバー攻撃について
1
2. 標的型攻撃（新しいタイプの攻撃）とは
3. 新しいタイプの攻撃のモデル
新し タ プ 攻撃
デ
4. 対策へのアプローチ

Copyright © 2012 独立行政法人情報処理推進機構

23

情報セキュリティにおける攻撃の分類～ 新たな対策を検討する段階へ～
新たな対策を検討する段階
兵器レベル(Stuxnet)兵器(S)サイバー攻撃

標的型攻撃

諜報目的

DDoS攻撃実験レベル

Webサイト攻撃

周到な組織的作戦計画
綿密な攻撃
計画と戦果管理を実施
金銭目的の誘導型メール

情報セキュリティ

情報管理

人間による情報窃取・誤操作
人間による情報窃取誤操作
例：内部告発のための持出、メール・ファックス誤送信等

一口に標的型攻撃といっても、高度なものから低度なレベルまで様々存在する
ま 様々存在す
Copyright © 2012 独立行政法人情報処理推進機構

24

「新しいタイプの攻撃」の流れ
0 [事前調査]

1 [初期潜入段階]

2 [攻撃基盤構築段階]
事前調査

2

3 [システム調査段階]
4○○○○○○○○○○○○■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■

1

3

4 [攻撃最終目的の遂行段階]

Copyright © 2012 独立行政法人情報処理推進機構

25

第０段階～第１段階～用意周到な準備を経て攻撃が行われる～
用意周到な準備を経て攻撃が行われる

 攻撃者は、標的の身辺を偵察した後に攻撃を仕掛ける
攻撃者を信じ込ませる
メールを送信
メルを送信
メール窃取
情報収集

取引先

SNS

メ ルによるメールによるやり取り

活動状況

標的者
Copyright © 2012 独立行政法人情報処理推進機構

26

第１段階～第２段階～標的型メールを使った内部ハッキング～

 標的型メールによって内部ハッキングをするためのバックドアを構築する
標的型メールによって作られた通信経路（バックドア）

発見 非常 困難
発見が非常に困難！

元々、情報システムは境界内部は安全ゾーン思想で設計してある。

攻撃者が情報システム内部からハッキングしてるのと同じ状態を作り出す。
Copyright © 2012 独立行政法人情報処理推進機構

27

第２段階～第３段階～長期間発見されないように潜伏して情報を窃取～

 数か月～数年単位で潜伏する
2010

2011

2012
20 2

この間に・必要な情報を取得・ウイルスの機能アップデート
・組織内への拡散
組織内 の拡散等を行う

 攻撃者がバックドア通信を行うのは業務時間帯。通常の通信の中に紛れて発見しづらいように行われる人が多く、通信のやり取りも多い時間帯

Copyright © 2012 独立行政法人情報処理推進機構

28

第３段階～第４段階～狙われるディレクトリサーバ～

 社員のユーザ管理をするディレクトリサーバを攻撃し、特権のIDを取得する
得す
ユ ザ名
ユーザ名
ユ ザID
ユーザID
属性1
ディレクトリサーバ内の○田◇◆

marutamanager□木○○shikakuki

user

○木□○

marukiuser△×●sankaku

user

T口S太

tguchiuser

特権ユーザ情報を窃取し、様々なシステムへアクセスできるように そして、目的の機密情報の窃取へ
重要サーバA

重要サーバB

バックドア端末

重要サーバC
Copyright © 2012 独立行政法人情報処理推進機構

29

「新しいタイプの攻撃」の分析
 「新しいタイプの攻撃」の流れを分析してみると共通的な攻撃手法があることが分かった
攻撃内容

特徴

第0段階
[事前調査段階]（1）攻撃戦略の検討

第1段階の初期潜入を確実に行うための関係者しか知らない情報が狙い

第1段階[初期潜入段階]（1）各種初期攻撃

第2段階[攻撃基盤構築段
階]（1）バックドア(裏口)を使った攻撃基
盤構築

第3段階
[システム調査段階]（1）組織のシステムにおける情報の取得（2）情報の存在箇所特定

時間をかけて何度もしつこく行う。

第4段階[攻撃最終目的の遂行段階]（1）組織の重要情報(知財・個人情報等)の窃取（2）組織情報(アカウント等)と基に、目標を再設定何度も攻撃を行うための情報窃取。
組織への影響を与える情報窃取組織への影響を与える情報窃取。

・攻撃ターゲットの環境調査
攻撃
環境調
・関係機関に対する情報窃取活動
・標的型攻撃メール添付ウイルス・ウェブ改ざんによるダウンロードサーバ誘改誘
導・外部メディア(USB等)介在ウイルスなど

入口の対策をすり抜け、システム深部に潜入
素早く次の段階へ移行
素早く次の段階へ移行。
攻撃手法は使い捨て構築した攻撃基盤は発見されない。
構築した攻撃基盤は再利用される。

・ウイルスのダウンロードと動作指示・ウイルスの拡張機能追加

Copyright © 2012 独立行政法人情報処理推進機構

共通攻撃手法段階30

共通攻撃手法の分析
 共通攻撃手法を更に見ていくと4つの機能が存在する
番号

共通攻撃手法機能役割①

httpバックドア通信機能

ウイルスと攻撃者のサーバとの通信を確立

システム内拡散機能

システム内の情報窃取の効率化のため、多くの端末に感染させる

②

③

④

一斉バージョンアップ機能

システム内のウイルスに効果的な攻撃を行わせる機能を持たせるようにする

USB利用型情報収集機能

クローズ系システムの情報を収集するためUSB等にそのような機能のウイルスを入れ込む

発見しにくく静かな（密かな）攻撃１

ウェブサーバ情報ネットワーク

３

２

PLC

PLC

6ES7-417

6ES7-315-2

制御ネットワーク

SIMATICSIMATICSTEP 7PCS 7

制御情報ネットワーク

SIMATIC

WinCC

ＩＴオープン系

プロセスコンピュータ

クローズ系

４
共通攻撃手法部分

Copyright © 2012 独立行政法人情報処理推進機構

31

目次
1. サイバー攻撃について
1
2. 標的型攻撃（新しいタイプの攻撃）とは
3. 新しいタイプの攻撃のモデル
新し タ プ 攻撃
デ4. 対策へのアプローチ

Copyright © 2012 独立行政法人情報処理推進機構

32

セキュリティ対策の特徴と弱点(1)～境界防御の概念でシステムができている～
境界防御の概念でシ テ ができている

 不正侵入を阻止
 FireWall
Fi W ll

検疫システムFirewall 許可された通信のみ通過
 通信内容は関知しな
通信内容は関知しない

 IDS（IPS）

DMZ

内部LAN

 攻撃を行う通信を検知
 未知の攻撃の阻止は難しい

 Anti-Virus マルウェアの侵入を阻止
ルウ アの侵入を阻止
 見逃しの可能性

 端末でのセキュリティ対策
 端末レベルで侵入を阻止
 脆弱性対策

制限NW

 基本的に外→内への侵入に備える
基本的に外 内への侵入に備える
Copyright © 2012 独立行政法人情報処理推進機構

33

セキュリティ対策の特徴と弱点(2)～個人のスキルやエンドポイントセキュリティ～個人の キルや ンドポイントセキ リティ

 脆弱性対策(セキュリティパッチ適用)
 エンドポイント(PC)へのパッチ適用
 セキュリティ対策の基本であり、効果大 全端末に適用することを前提
 エンドユーザ主導による対策の為、漏れの可能性
エンドユ ザ主導による対策の為 漏れの可能性

 サーバ機器等へのパッチ適用
 互換性の問題で適用できないケースの問題
換性 問題 適用 きな ケ問題
 システム停止が許容できない運用上の事情

 啓発活動による対策

・・・・・
・・・・・

 不審メールを開かない個人や組織への啓発
 組織内での注意力・対策熱が上がる
 1人でも感染すれば組織内に侵入
 マルウェア開封率0%が必須条件
 ルールによる制限
 USBメディアの持込禁止
 業務に支障をきたす可能性
Copyright © 2012 独立行政法人情報処理推進機構

セキュリティ対策には一長一短があり、完全な対策は難しい
34

新しい発想による対策
コンプライアンスポリシ、セキュリティ基準類「脅威を入れない」の思想で対策

コスト的にも、技術的にも..限界「脅威は入っても、実害は防ぐ」の思
想で対策

注意喚起、情報共有、脆弱性管理
インシデントレスポンス、フォレンジックス解析

従来の対策「脅威を入れない」対策
な」対策

新しい発想の対策

侵入されることを前提とした対応

Copyright © 2012 独立行政法人情報処理推進機構「実害を防ぐ」
対策35

新しい発想による対策
 入口と出口に二重のセキュリティ対策を 外部からの脅威をブロックする 「入口対策」
入口対策」
 情報が外部に持出されない為の「出口対策」
組織への影響と入口対策・出口対策
組織影響 入 対策 出 対策
入口対策と影響
多くの攻撃は防げるが、すり抜けてしまう

A社

知財・個人情報等重要情報の窃取組織への影響（知財等の情報窃取やシステムの破壊）を回避する必要。
入口対策では防ぎきれない場合がある。

入口対策

出口対策イメージ

入口対策
Copyright © 2012 独立行政法人情報処理推進機構

出口対策によりたとえ攻撃されても 組織への影響も、組織への影響を回避することが可能になる

A社

たとえ入口で防げなくても、窃取を防ぐ対策

出口対策

36

攻撃の分析
～共通的な攻撃手法と対策ポイント～
共通的な攻撃手法と対策ポイント
 設計対策のポイント
 外部通信の検知と遮断することによる攻撃基盤構築の阻止
 ウイルスのシステム内拡散防止による攻撃の最終目的への到達回避
発見しにくく静かな（密かな）攻撃１

ウェブサーバ情報ネットワーク

３

２

PLC

PLC

6ES7-417

6ES7-315-2

制御ネットワーク

SIMATICSIMATICSTEP 7

PCS 7

番号

共通攻撃手法機能役割①

httpバックドア通信機能

ウイルスと攻撃者のサーバとの通信を確立②

システム内拡散機能

システム内の情報窃取の効率化のため、多くの端末に感染させる③

一斉バージョンアップ機能
斉ジ
プ機能

システム内のウイルスに効果的な攻撃を行わせる機能を持たせるようにする

USB利用型情報収集機能

クローズ系システムの情報を収集するためUSB等にそのような機能のウイルスを入れ込む

制御情報ネットワーク

SIMATIC

WinCC

ＩＴオープン系

プロセス
コンピュータクローズ系

４④

共通攻撃手法部分

共通攻撃手法を止める対策（出口対策）を
Copyright © 2012 独立行政法人情報処理推進機構

37

出口対策 考え方
～マルウェアの活動を制限する為のネットワーク設計～
マルウェアの活動を制限する為のネットワ ク設計
 バックドア通信の検知と抑止
 プロキシサーバとFWの設定
プロキシサ バとFWの設定
 正常な通信の流れを作る
 ルール外の通信を試みるマルウェアの検知と遮断

 感染予防策 アクセス区画の整理
 VLANを構築
 VLAN間の通信を制限
 マルウェアの偵察行為を阻止

マルウェアを封込める

 浸食予防 VLAN毎に通信の監視
 感染発覚時は、VLANを切り離す

 早期発見のために ログの監視グ 監視Copyright © 2012 独立行政法人情報処理推進機構38

8つの出口対策（設計対策）■(黄色)はバックドア通信を止める対策■(青色)はシステム内拡散等を止める対策

対策

実装手法

区分

① サービス通信経路設計

1.ファイアウォールの外向き通信の遮断ルール設定
2.ファイアウォールの遮断ログ監視

A.保守等作業ですぐできる対策② ブラウザ通信パタ
ブラウザ通信パターンを模倣するhttp通信ンを模倣するhttp通信検知機能の設計

1.httpメソッド利用バックドア通信の遮断

B.システム設計時に見Bシステム設計時に見直すべき対策③ RATの内部proxy通信(CONNECT接続)の検知遮断設計

1.RATのCONNECT確立通信の特徴を利用した、内部proxyログでの監視

B.システム設計時に見直すべき対策④ 最重要部のインターネット直接接続の分離設計

最重要部がインターネットへ直接接続しないようにVLAN等で設計

B.システム設計時に見直すべき対策

1.ADを管理する管理セグメントを防1ADを管理する管理セグメントを防護する。
2.利用者から見えるADのサービスに対するパッチ当て。

B.システム設計時に見Bシステム設計時に見直すべき対策

利用者セグメントと管理セグメントを分離設計する等

B.システム設計時に見.シ テ 設計時 見直すべき対策⑦ 容量負荷監視による感染活動の検出

スイッチ等の負荷やログ容量等における異常検知を行い、セキュリティ部門と連携する

B.システム設計時に見直すべき対策⑧ P2P到達範囲の限定設計③④の対策に加え、不要なRPC通信の排除を目的としたネットワーク設計

B.システム設計時に見直すべき対策⑤ 重要攻撃目標サーバの防護⑥ SW等でのVLANネットワーク分離設計
SW等でのVLANネットワ ク分離設計

Copyright © 2012 独立行政法人情報処理推進機構

39

【参考】設計対策:サービス経路設計
 プロキシサーバを経由して正常通信の流れを作る
 FWのログから攻撃の有無を把握する
ブラウザのプロキシの設定に則った通信は通過。

インターネット

方針③：クライアントゾーンからの外部通信遮断
方針③：クライアントゾンからの外部通信遮断【FWルール】

UntrustFW

DMZ

外部プロキシIPアドレス：192.168.3.101

Accept Src ="Tsust/192.168.1.101",Dst = "DMZ/192.168.3.101",Service = "http"Accept Src = "DMZ/192.168.3.101", Dst = "Untrust/Any", Service = "http"Deny
Src = "Trust/Any", Dst="Unstrust/Any", Service = "Any"Trust

ウイルスの通信はルール違反のため遮断。
遮断ログを残す。

L3-SW
サーバゾーン
ネットワークセグメント：192.168.1.0/24
クライアントPC
IPアドレス：192.168.2.36

内部プロキシIPアドレス：192.168.1.101

ウイルス
クライアントゾーン
ネットワークセグメント：192.168.2.0/24

方針②：内部プロキシの上位に外部プロキシ設置

方針①：端末ブラウザの内部プロキシ設定

上位プロキシサーバ
プロキシサーバ

プロキシサーバ
プロキシサーバ

192.168.3.101

Copyright © 2012 独立行政法人情報処理推進機構

192.168.1.101

40

【参考】設計対策:サービス経路設計
 FWでプロキシ経由以外の通信を遮断することで・・・
 TCPベ
TCPベースの独自プロトコルとHTTP（プロキシ対応しない）通信の46％のスの独自プロトコルとHTTP（プロキシ対応しない）通信の46％のバックドア通信を遮断可能。

4%

バックドア通信種別
TCPベースの独自プロトコルTCPベスの独自プロトコル

26%
28%

42%

HTTPS
HTTP（プロキシ対応）
HTTP（プロキシ対応しない）
データ提供：トレンドマイクロ※2011年4月～10月国内で収集
標的型攻撃メールに添付されていたと思われるウイルス50個のバックドア通信サンプル

Copyright © 2012 独立行政法人情報処理推進機構

41

【参考】設計対策:最重要部のインタ ネット直接接続の分離設計
インターネット直接接続の分離設計
 バックドアを仕掛けられても、重要な情報を窃取させない為の対策
インターネットFW
インターネット直接続の禁止

重要サーバ

重要サーバからの情報の取り出しは 管理系セグ
取り出しは、管理系セグ
メントからのみ
外部通信は管理系セグメントから実施

L3-SW

PROXY

一般利用者

業務SV
運用管理部門Copyright © 2012 独立行政法人情報処理推進機構

42

【参考】設計対策:
VLANネットワ ク分離設計
VLANネットワーク分離設計
 ネットワークを分離することでウイルスの拡散を防止する
 ウイルスが活動しづらいネットワ
ウイルスが活動しづらいネットワーク環境を作る
ク環境を作る 業務(通信)要件を整理し、不要なポートを開けないインタ ネット
インターネット

VLANによる重要部と一般系のセグメント分
離設計

重要サーバのデータは 運用者の操作では、運用者の操作で一般両者へ提供する

FW

L3-SW

重要サーバ
重要サバ

PROXY

一般利用者
般利用者

管理用ネットワーク（ＶＬＡＮ）
Copyright © 2012 独立行政法人情報処理推進機構

業務SV
運用管理部門43

【参考】設計実装図例

自組織のネットワーク構成図をベースに重要資産や通信の流れを明確にして関係者全員で対策を検討してみましょう

Copyright © 2012 独立行政法人情報処理推進機構

44

対策製品で何ができて何ができないか
 対策製品を選定する上で重要なポイント
 できることとできないことをしっかり見極める（聞く）
できることとできないことをし かり見極める（聞く）
 100%防ぐことができればいいが・・・ 全てを防ぐことのできる万能製品は存在しないことを前提にする必要がある ハコを置いただけで防げる攻撃は単純な攻撃だけ 攻撃者は防御をすり抜けよう、と日々考えている！
 そのような攻撃に対してハコを置いただけで守ることができるだろうか 運用をしっかり考える その製品を運用する場合、どの程度工数をかけなければならないかを真剣に考えなければならない。
 宝の持ち腐れどころか、結局機能しなくなる恐れも・・・

Copyright © 2012 独立行政法人情報処理推進機構

45

対策の考え方の整理
 攻撃による組織への損失を見極めましょう 何が発生すると組織にとって脅威なのか。ウイルス侵入ではなく、情報の窃取
何が発生すると組織にとって脅威なのか ウイルス侵入ではなく 情報の窃取
 同じ攻撃であっても、環境や組織の形態によって脅威は変わってくる システム全体を見渡したトータルな対策
システム全体を見渡したト タルな対策
 一部分の対策では対策に漏れや、効率的・効果的な対策が行えなくなる 入口対策に偏らず、出口対策にも視点を当てたバランスの取れた対策が重要
入口対策

出口対策

 組織の運用形態に合った対策を組織の運用形態に合 た対策を
 いくら万全のセキュリティ対策設備を整えても、運用ができなければ効果なし
 自分達で運用できる
自分達で運用できることを念頭においた対策検討が重要とを念頭 お た対策検討が重要

他組織の脅威をそのまま自組織の脅威に当てはめて考えるのではなく 自組織の影響を分析して対策することが重要のではなく、自組織の影響を分析して対策することが重要
Copyright © 2012 独立行政法人情報処理推進機構

46

設計・運用ガイドについて
『新しいタイプの攻撃』の対策に向けた設計・運用ガイド 2011/8/1 リリース
～Stuxnet(スタックスネット)をはじめとした新しいサイバ 攻撃手法の出現～～Stuxnet(スタックスネット)をはじめとした新しいサイバー攻撃手法の出現～
http://www.ipa.go.jp/security/vuln/newattack.html＜内容＞
 APT攻撃(新しいタイプの攻撃)の説明
 攻撃仕様の分析
 設計対策の考え方
 対策補助資料の提供

Copyright © 2012 独立行政法人情報処理推進機構47

おわりにIPAは、安心安全な情報システム、社会インフラの心
情
社会実現実現を目指します
指しご清聴,ありがとうございました
独立行政法人情報処理推進機構 技術本部 セキュリティセンター
セキ リティセンタ
http://www.ipa.go.jp/security/index.html
http://www.ipa.go.jp/security/vuln/index.html

Copyright © 2012 独立行政法人情報処理推進機構

48