2020年の大事な時期に認識しておくべきサイバー空間の変化
2020年 2月
名和 利男

トピック１

直近数年で大きく変化したサイバー攻撃2

正規の更新機能を利用するマルウェア感染
Web

メール

デバイス

人間の心理的な隙を悪用

アップデートサーバ

正規の更新機能を悪用
拡張機能

マルウェアが感染更新モジュールがマルウェア化して感染© 2019 Toshio Nawa

拡張機能がマルウェア化して感染3

正規(有名)サービスを(時間差で)踏み台にするC2通信

マルウェア（悪意のあるソフトウェア）© 2019 Toshio Nawa

C2
サーバ

マルウェア

（悪意のあるソフトウェア）

正規(有名)
サービス

C2
サーバ

一定の感染数超過
或いは時間経過後

4

スクリプト実行環境を利用した正規プログラムによる挙動

マルウェア（悪意のあるソフトウェア）

C2
サーバ

マルスクリプト

C2
サーバ（悪意のあるスクリプト）

正規プログラムによる挙動のため検知が困難© 2019 Toshio Nawa

5

正規(有名)サービスの同期機能を利用するC2通信

マルスクリプト（悪意のあるスクリプト）© 2019 Toshio Nawa

C2
サーバ

マルスクリプト（悪意のあるスクリプト）

正規(有名)
サービス

同期機能
によるC2通信6様々な対象から調達・窃取した認証情報の悪用

認証
情報

流出
情報

ブラックマーケット

認証情報

フィッシング
詐欺
拡張機能
キーロガー

スマート
ダンプ デバイスツール

ブラウザ

悪意のあるアプリ

メモリ© 2019 Toshio Nawa

7

敵対国のソフトウェアやプロダクトからのデータ流出

内部
情報

内部
情報
偵察
バックドア
ソフトウェア

不正な手続き

バックドア

運用・保守

スパイ

ハードウェア© 2019 Toshio Nawa

8

機械設備のPCに対するマルウェア感染

C2
サーバ
情報通信（IT）
ネットワーク

マルコード

C2
サーバ
計測制御（OT）
ネットワーク

情報通信（IT）
ネットワーク
マルコード

計測制御（OT）
ネットワークマルウェア

IT管理者が把握していない
ネットワーク© 2019 Toshio Nawa

9

偽Wi-Fiアクセスポイントによる中間者攻撃
インターネット

インターネット

悪意のある中間者(盗聴、改ざん)
偽Wi-Fi
アクセスポイントWi-Fi
アクセスポイント© 2019 Toshio Nawa

Wi-Fi
アクセスポイントマルコード

悪意のあるアプリ10悪意のあるDNSサーバによるC2通信
インターネット

インターネット

悪意のあるサーバ
DNS
サーバ

悪意のあるDNSサーバ
或いはドメイン登録の改ざん

マルコード© 2019 Toshio Nawa

11

ソフトウェア・サプライチェーンによる不正挙動

マルコード
サードパーティ或いはGitHub

コンポーネント© 2019 Toshio Nawa

サードパーティ或いはGitHub

マルコード

悪意のあるアプリ

悪意のあるサーバコンポーネント12トピック２「防御側」の現実

13

不十分な状況認識 vs 適切な状況認識

不十分な状況認識
サイバー攻撃によるインシデントで、事業停止・営業機会損失が加重© 2019 Toshio Nawa

適切な状況認識

自組織の環境と想定するサイバー攻撃に適応したサイバーセキュリ
ティ対策(発生回避、拡大抑止、迅速対処、早期回復)

により、事業停止・営業機会損失が軽減

14

「防御側」における 情報力とネットワーク の圧倒的な低さ• サイバー攻撃は、攻撃側の事前偵察(窃取)した情報と互助関係にあるネットワークで増大。
• サイバー攻撃は「非対称」であるが、攻撃側と防御側の情報力とネットワークは「対称」。

高国家
国家

攻撃側

攻撃側

攻撃側

国家
国家
攻撃側

世界
© 2019 Toshio Nawa

防御側
攻撃側

情報
力とネットワーク

日本
攻撃側

会社

低15

「防御側」における 情報(資産の)保証(IA)に偏重 したセキュリティ対策• APT攻撃の重点事項は、CND(Computer Network Defense)概念に基づく「システムによる多層的な防御」である。
• IA(Information Assurance)概念に基づいたセキュテリィ対策は、「情報資産の単層的な防御」になりがちである。（IAを重点事項にした場合、システム管理者に対し「適切に・・・せよ。」という現場任せの指示になりやすい。）• 「外部漏洩させない」セキュリティ対策•「侵入させない」セキュリティ対策• 「IA的なインシデント ＝ 情報漏えい」• 攻撃プロセスの後半で認識• システム所有者(発注者)が対応•「CND的なインシデント ＝ 侵入」•攻撃プロセスの前半で認識•システム保守管理者(委託者)が対応「情報資産」をベースにしたセキュリティ対策「システム防護」をベースにしたセキュリティ対策© 2019 Toshio Nawa

16

「防御側」における 厳しい環境と現実
攻撃側
攻撃の強い意図や目的を有する（経済的利得、主義主張の達成等）➢攻撃者は、利己的行動の特性を持つ

試行錯誤の侵入行為やマルウェア作成等による経験の蓄積➢攻撃者は、豊富な（攻撃）経験を持つ攻撃技術や対象組織に関する情報を円滑かつ迅速に共有➢攻撃者は、互いの情報共有が活発

防御側 (インシデントレスポンダー)(組織)防御に係る高い目的意識と活動意欲を有する➢防御者は、利他的行動の特性を持つ

インシデント対処の経験の蓄積（サイバー演習による擬似的経験）➢防御者は、豊富な(防御活動)経験を持つ防御技術や攻撃主体に関する情報を円滑かつ迅速に共有➢防御者は、他と情報共有を活発にする攻撃を実施しやすい
IT環境の獲得と積極的な利用防御を実施しやすい
IT環境の獲得と積極的な利用➢攻撃者は、ITリテラシーを高く発揮できる環境➢防御者は、ITリテラシーを高く発揮できる環境

経済的困窮や利益確保のための攻撃者の急激な増加

防御活動によるインセンティブのある対処要員の増強➢攻撃者は、インセンティブを得やすい環境© 2019 Toshio Nawa

➢防御者は、インセンティブを得やすい環境
17

「防御側」に求められる 過度な対処能力
現場で必要な対処能力

C&C＝

サイバーインテリジェンス

外部記
憶媒体

マルウェア解析＋

ネットワーク・フォレンジック

ネットワーク・フォレンジック＋

MalwareMalwareAnalysisAnalysis

マルウェア解析＋

インターネット

デジタル・フォレンジック

聞き取り＋

人間
デジタル・フォレンジック© 2019 Toshio Nawa

内部
ネットワーク 内部サーバ

聞き取り

サイバー
インテリジェンス
18

「防御側」に求められる 過度な対処能力
対以処前
活ま動での最近の対処
活動

デジタル・コンピュータ・
フォレンジック
フォレンジック
聞き取り
マルウェア解析

残存していたマルウェアの静的及び動的解析により、マルウェアの活動実態やその目的を把握するために行う分析のこと。

インシデントハンドリ
ング／コーディネー
ション

現場の運用者や技術者だけではなく、責任を持つ管理職や経営層がどのような方針や手順でインシデント解決までの道筋（インシデントハンドリング）を立てるか、または、解決のために複数の組織や部署を巻き込む必要のある場合の組織間連携（インシデントコーディネーション）をどのようにすべきかなどのアドバイスや方法論・ノウハウを提供すること。

ネットワーク・フォレンジック

サイバーインテリジェンス© 2019 Toshio Nawa

コンピュータシステム上の痕跡(特にファイルシステムの履歴)、及び搭載されているソフトウェアによる様々な記録情報を分析すること。

マルウェアの挙動や内部データ（ファイル）の流出経路などを解明する、或いは不正な挙動を確認するも、マルウェアが発見できない場合などに、サーバ／プロキシ／ファイアウォール等のログを分析したり、コンピュータシステムにおいてネットワークコマンドやシステム管理コマンドで得られる全ての出力データを総合的に分析すること。
技術的な分析のみでは解明が困難な場合、同じ分野のレスポンスチームやCSIRTで経験して明らかになっている攻撃手法や技術、攻撃者コミュニティで流通している手法、その他、類似したマルウェアによる事例等を収集し、それらの情報との類似性に着目して分析すること。
19

「防御側」に求められる 過度な対処能力
対以処前
活ま動での最
近の対処
活動

デジタル・
コンピュータ・フォレンジック
フォレンジック
聞き取り
マルウェア解析

インシデントハンドリ
ング／コーディネーション

ネットワーク・フォレンジック

サイバーインテリジェンス

コンピュータシステム上の痕跡(特にファイルシステムの履歴)、及び搭載されてい（技術的能力）るソフトウェアによる様々な記録情報を分析すること。
• インターネットのアーキテクチャ、理念、将来像に関する知識•残存していたマルウェアの静的及び動的解析により、マルウェアの活動実態ネットワークインフラのリテラシーと設計思想の理解やその目的を把握するために行う分析のこと。
• ネットワークプロトコルの深い理解•現場の運用者や技術者だけではなく、責任を持つ管理職や経営層がどのようネットワークアプリケーション、サービス、関連プロトコルの理解•な方針や手順でインシデント解決までの道筋（インシデントハンドリング）を立セキュリティの基本原則•てるか、または、解決のために複数の組織や部署を巻き込む必要のある場合
コンピュータ及びネットワークに対するリスクと脅威の理解の組織間連携（インシデントコーディネーション）をどのようにすべきかなどの•アドバイスや方法論・ノウハウを提供すること。
セキュリティの脆弱性や弱点、及びそれを利用した攻撃の理解• ネットワークセキュリティ対策とその問題に関する知識と理解•マルウェアの挙動や内部データ（ファイル）の流出経路などを解明する、或い暗号化技術、デジタル署名、ハッシュアルゴリズムの理解•は不正な挙動を確認するも、マルウェアが発見できない場合などに、サーバプログラミング、ネットワークコンポーネント、基本ソフトの理解と経験／プロキシ／ファイアウォール等のログを分析したり、コンピュータシステム（管理的能力）においてネットワークコマンドやシステム管理コマンドで得られる全ての出力•データを総合的に分析すること。
安全管理/危機管理/危機対応能力• 技術的な分析のみでは解明が困難な場合、同じ分野のレスポンスチームやコミュニケーション（対人）能力、言語能力• CSIRTで経験して明らかになっている攻撃手法や技術、攻撃者コミュニティ作業編成能力• で流通している手法、その他、類似したマルウェアによる事例等を収集し、そ強い目的意識と不屈の精神防御側れらの情報との類似性に着目して分析すること。

© 2019 Toshio Nawa20

トピック３

対策・対処のあり方21

① サイバー攻撃に関する正確な事実把握を行う• 一般メディア等が発信する情報を鵜呑みにしてはいけない。
• オジリナル・レポーター(Original Reporter)が発信する情報を追求する。
情報量50%を把握

メディア
情報量80%を把握© 2019 Toshio Nawa

オリジナル・レポーター（CSIRT）

情報量10%を把握

企業（CSIRT）• 双方向のやり取り• 信頼関係• 協調活動情報量60%を把握

22

② サイバー空間における動向情報を積極的に収集する攻撃者ｺﾐｭﾆﾃｨ

インターネット(グローバル)

他のネットワーク

他のネットワーク

ﾌｧｰｽﾄﾚｽﾎﾟﾝﾀﾞｰ

ファイアウォール

専門家ｺﾐｭﾆﾃｨ
既知の攻撃情報及び対処技術の把握のみに限られる。

ﾘｻｰﾁｬｰ・ｱﾅﾘｽﾄ

内部ﾈｯﾄﾜｰｸ

社内システムによる情報収集

内部ﾈｯﾄﾜｰｸ
内部ﾈｯﾄﾜｰｸ

法執行機関（捜査機関）

さまざまなサイバー攻撃に関する情報を収集。特に、今後、日本(自社)に到達する可能性のある攻撃情報や対処技術等の動向を事前に把握。
© 2019 Toshio Nawa

セキュリティ対策部門
セキュリティカンファレンス（国内及び海外）参加

社内ネットワーク23

③ 攻撃経路を見出した上で、多層防御のセキュリティ対策を行う• ある程度の攻撃の仕組みを理解すること– サイバー攻撃を「静的な絵」として理解するのではなく、組織全般に渡る＆時間の流れのある「動的ストーリー」として理解することが必要– 主要な（攻撃）経路ポイントにおけるセキュリティ対策の要否及びレベルの設定には、業務慣習や部署風土も考慮することが必要
サーバセキュリティ

①ネットワーク
セキュリティ

インターネット

デバイス
セキュリティ

③②④クライアント
セキュリティ

© 2019 Toshio Nawa

24

④ すべてのサイバー攻撃対処に明確な目的を設定する• サイバー脅威に対して、網羅性の高い対策を検討し、実装及び確実な運用をすること。
– 日本国内の対策は、「防御策(Protect)に偏重」しているため、いたずらにコストがかかってしまう状況。
– 最近のサイバー防衛策におけるベストプラクティス(最善策)は、対処策(Respond)である。
（最低限のリスクを受容し、実質的な被害を発生させないことで、結果的に有効な防衛策となる。）– 基本的な対策コンセプトは、次の4つのとおり。

VictimVictim
回避策(Prevent)© 2019 Toshio Nawa

Victim
防御策(Protect)

Victim
対処策(Respond)

復旧策(Recovery)25

【参考】 組織が取り組むべきサイバーリスク・マネジメントのアプローチ
古典的なサイバーセキュリティの焦点

包括的なサイバーリスク・マネジメントのアプローチ
ガバナンス
組織プロセスプロセス

コントロール
資産コントロール
資産人

人

データ

データ

サードパーティー© 2019 Toshio Nawa

26

【参考】 組織としてのサイバーセキュリティ向上のためのプログラム

オンライン・
セミナー

カンファレンス／セミナー

オンライン・
コラボレーション

サイバー・
レンジ

アナリスト・ミーティング

オンライン・カンファレンス

ミーティングセキュリティ評価© 2019 Toshio Nawa

27

本資料に関する連絡先

名和 利男（Toshio NAWA）

SITE: https://www.nawa.to
PGP: 0xE38B4E01© 2019 Toshio Nawa

28