Japan Computer Emergency Response Team Coordination Center

電子署名者 : Japan Computer Emergency Response Team Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku, email=office@jpcert.or.jp, o=Japan Computer Emergency Response
Team Coordination Center, cn=Japan Computer Emergency Response Team Coordination Center
日付 : 2010.02.01 10:22:28 +09'00'

重要インフラ情報セキュリティフォーラム２０１０

インシデントセキュリティ侵害のリスクの現状・動向
具体的なセキュリティインシデント対応を主体にLet’s update!
２０１０．１．２５
独立行政法人 情報処理推進機構
Information-technology Promotion Agency, Japan (IPA)
セキュリティセンター 情報セキュリティ技術ラボラトリー長
小林 偉昭 hd-koba@ipa.go.jp
Copyright © 2010, IPA all right reserved.

1

サイバー攻撃（テロ）の概要

経済活動

国民生活

＜重要インフラ＞
情報通信、金融、航空、鉄道、電力、ガス、政府・行政サービス、医療、水道、物流 など
重要情報インフラ（Critical Information Infrastructure）＜サイバー攻撃（テロ）＞
重要情報インフラに侵入し、データを破壊、改ざんしたり、重要情報インフラを機能不全にすること
Copyright © 2010, IPA all right reserved.

インターネット
悪い人たち

サイバー攻撃者（テロリスト）2サイバーテロ（攻撃）も映画に金融街の交通システム、航空管制システムやテレビ放送の制御奪取等の攻撃

http://movies.foxjapan.com/diehard4/

Copyright © 2010, IPA all right reserved.

3

ケース1

ウェブサイト改ざんの新たな手口（通称ガンブラ：Gumblar)

金融、鉄道関係での発生例

一般利用者

改ざんされた信頼されている企業のウェブサイト

④
改ざんされたウェブサイト閲覧

情報システムインターネット
正しいパスワードでアクセス
ID：ｘｘｘｘ
Pass：ｘｘｘｘ

社内LAN

悪意あるウェブサイトに誘導

ウェブサイト改ざん制御システム

③

⑤

情報漏えい
金銭被害
パスワードの窃取○○○○○○○○■■■■■■■■■■■■■■■■■■■■■■■■■■■■

監視・制御装置■■■■■■■■■■■■■■■■■■■■

コントローラ■■■■■■■■■■■■■■■■■■■■

ID、パスワードの窃取
センサ、製造装置等

ウェブサイト管理者
Copyright © 2010, IPA all right reserved.

ウイルス侵入①②
悪意あるウェブサイト

悪意ある者たち4

ケース２

想定される脅威（標的型攻撃）

BCPは「もし起きたら」を考えた対策を

BCP: Business Continuity Planアカウント情報窃取だけでなく・・・・悪意のある指令も・・・・
信頼されている企業のウェブサイト

情報システム

一般利用者

インターネット④

情報漏えい、業務停止
制御システム

社内LAN③

監視・制御装置
コントローラウェブサイト
管理者等
標的型攻撃

センサ、製造装置等

Copyright © 2010, IPA all right reserved.

②①悪意のある指令
悪意ある者たち5

ケース３

外部メディア（USB等）でのコンピュータウイルス感染例
ウイルスに感染したパソコンでUSBを使用する。

「コンフィッカー」ウイルス（Conficker)等+

USBにウイルス感染。ウイルスを自動実行させる
ファイル作成。

ウイルス
自動実行
ファイル

情報窃取
他のパソコンでそのUSBを使用することでそのパソコンもウイルスに感染する。

脅威：ネットワークや物理的な壁を越え、クローズドにしている環境を汚染してしまう。
セキュリティポリシーの徹底

Copyright © 2010, IPA all right reserved.

クローズドな環境は一般的にセキュリティ対策が弱い。
6

ケース４

想定される脅威（SCM攻撃）

BCPは「もし起きたら」を考えた対策をウイルスに感染したパソコンでUSBを使用する。

+

USBにウイルス感染。ウイルスを自動実行させるファイル作成。

ウイルス
自動実行
ファイル

精密加工装置ベンダでのウイルス対策発表

他のパソコンでそのUSBを使用することでそのパソコンもウイルスに感染する。

製造ラインの機器がウイルスに感染したら・・・・最悪製造停止も・・・・SCMが混乱
BCP : Business Continuity Plan

SCM : Supply Chain Management
Copyright © 2010, IPA all right reserved.

生産・製造ラインの停止

医療現場も7

企業のセキュリティリスクとBCMの例
BCM : Business Continuity Management

企業のセキュリティリスク例

BCMとしての対応が必要

ケース１と３ ： 一般の利用者が被害者個人情報（銀行カード情報や医療情報等）が窃取される
金銭賠償、企業への信頼喪失
改ざん情報（株価情報や政治的トピックス等）による被害
金銭賠償、社会混乱、企業への信頼喪失
ボットネットとしてDDoSやスパムメールに利用される
社会混乱、企業への信頼喪失

重要なウェブ選別と多重防護対策＊更新PCの隔離（システム、物理的）運用外部委託先へも徹底（共用禁止）＊PC内ソフト更新

ケース２と４ ： 企業内の利用者、システムが被害
企業情報（取引、機密情報等）が窃取される
金銭被害、取引企業からの信頼喪失
業務停止（オフィス業務、製造ラインなど）
金銭被害、取引企業からの信頼喪失社会インフラサービス停止、SCM混乱
 社会混乱を引き起こす可能性

重要システム・情報選別と多重防護対策＊サーバやアクセスPCの隔離（システム、物理的）＊PC内ソフト更新

パソコンの高性能化やネットワーク帯域拡大により、パソコン利用者は分からない
アンチウイルスソフトで検出できない、検出が遅い場合が起きている
SCM : Supply Chain Management

8Copyright © 2010, IPA all right reserved.

ITリスク評価の方法
ー JIPDECのリスク算出式 ー＜リスク値の計算式＞

リスク値＝情報資産の価値 X 脅威 X 脆弱性
＜適用例＞
情報資産

資産価値

脅威レベル

脆弱性レベル

リスク値

A

４３３３６B２

４５４０

リスク値の大きい情報資産Bに対する対策を優先
Copyright © 2010, IPA all right reserved.

9リスク値のセキュリティへの適用

リスク値＝情報資産の価値 X 脅威 X 脆弱性
情報資産の価値 ： 重要システム（ウェブシステム含む）と情報の洗い出し、ビジネスインパクト分析など
脅威 ： 攻撃のしやすさ、攻撃者の動機やツールの存在、対策情報の存在など
脆弱性 ： 攻撃に対する弱点

参考
共通脆弱性評価システム CVSS （ Common Vulnerability Scoring System)(1) 基本評価基準 (Base Metrics)
脆弱性そのものの特性を評価する基準です(2) 現状評価基準 (Temporal Metrics)
脆弱性の現在の深刻度を評価する基準です。
(3) 環境評価基準 (Environmental Metrics)
製品利用者の利用環境も含め、最終的な脆弱性の深刻度を評価する基準です。
http://www.ipa.go.jp/security/vuln/CVSS.html

Copyright © 2010, IPA all right reserved.

10

脅威に関する情報提供：１０大脅威や注意喚起
１０大脅威

2009年度10大脅威

2010年3月に公開予定

2009年を通して注目すべき脅威をセキュリティの有識者を集めた10大脅威執筆者会(122名)の意見を基に作成したドキュメント。特に通称Gumblarの脅威を中心に記載。開発者・運用者向けの記載に加え、経営者向けの記載も追加。
ダウンロード件数

2009年度 構成（約30ページ）

事例
Gumblar事例・内部犯行事例
10大脅威概要

新規追加

2009年度 10大脅威
脅威
1位

正規のウェブサイトを経由した攻撃の猛威

2位

アップデートしていないクライアントソフト

3位

多様化するウイルスやボットの感染経路

4位

アップデートしていないウェブアプリケーション

5位恒常化する情報漏えい

6位

巧妙化する標的型攻撃7位

深刻なDDoS攻撃

ユーザIDとパスワードの使いまわしていませんか

運営者・開発者向け

経営者 向けリスク・影響

リスク・影響

8位

対策

対策

9位

クラウドのセキュリティ

10位

インターネットインフラを支える製品の脆弱性表現等修正中注意喚起

IPAセキュリティセンター ： http://www.ipa.go.jp/security/index.html
SQLインジェクション攻撃や通称ガンブラ（Gumblar)対策等の注意喚起：30件ほど
JVNに登録した脆弱性対策情報の公開：70件ほど
Copyright © 2010, IPA all right reserved.

11

脆弱性対策推進：バージョンチェッカ等提供
アップデートを！ 中国でのGoogle事件は！！
脆弱性対策情報JVN/
JVNiPedia

7600件
以上

月間アクセス100万件突破（2009年12月）

MyJVN

Shockwave Player予定

2009/11/30 MyJVN バージョンチェッカ提供
2009/12/21 MyJVN セキュリティ設定チェッカ提供
2009/12/24 改ざんされたウェブサイトからのウイルス感染に関する注意喚起
http://jvndb.jvn.jp/apis/myjvn/index.html

JVN iPedia

Internet Exploreｒの古いバージョンが・・・

MyJVNバージョンチェッカのURLが掲載された一般紙の記事が、インターネッ
トポータルサイト(Yahooなど)で紹介されたことにより、アクセス数が急増している(2010年1月)

1月6日 毎日.jp掲載
1月11日 産経ニュース掲載
1月18日YOMIURI ONLINE掲載

2009/6/18 利用者向け機能強化
・検索機能強化（類義語検索など）
2009/12/28 登録件数累計 7,646件(年間1,876件増)
http://jvndb.jvn.jp/

国際連携2010/1/8 CVE互換認定取得
2010/1/19 CVSS の計算ソフトウェアを多言語化（7ヵ国語化対応※）
JVN:脆弱性対策情報ポータルサイト
CVSS : Common Vulnerability Scoring System（共通脆弱性評価システム）
CVSS多言語化: アラビア語、英語、フランス語、ドイツ語、日本語、韓国語、スペイン語
Copyright © 2010, IPA all right reserved.

12脆弱性を作りこまないために「安全なウェブサイトの作り方」、「安全なSQLの呼び出し方」
ウェブサイトの脆弱性を作りこまないための、具体的な対策を説明したドキュメント。
届出に基づいた説明を展開。対策を「根本的解決」と「保険的対策」に分けた取組みを可能に。

ダウンロード件数
1,600,000

1,347,498

1,400,000
1,200,000「安全なウェブサイトの作り方 改訂第4版」

2010年1月 改訂第4版

発行日： 2010年1月20日
ページ数： 92ページ

2008年3月 改訂第3版
994,552

1,000,000※
改訂第3版（2008年6月発行、76ページ）に、失敗例4種類と、WAFの説明を追加。

年間
800,000

累計

644,791
2006年1月 第1版
600,0002006年11月 改訂第2版

340,939
400,000

303,852

349,761

352,946

http://www.ipa.go.jp/security/vuln/websecurity.html

別冊「安全なSQLの呼び出し方」

200,000
0
2006年

2007年

2008年

2009年

累計：134万件（2006年1月～）
Copyright © 2010, IPA all right reserved.

発行日： 2010年2月（予定）ページ数： 32ページ（予定）仮○※「安全なウェブサイトの作り方」のSQL関連部分を具体化し、新規に作成。

13

脆弱性の届出状況

脆弱性の届出状況と公表した脆弱性対策情報の傾向
http://www.ipa.go.jp/security/vuln/report/vuln2009q4.html

届出件数6,000件突破！

公表した脆弱性対策情報の傾向
アプリケーションが増加

SCADA関連尐しずつ増加
2008年6件
2009年9件
合計15件公開

http://www.ipa.go.jp/security/vuln/report/JVNiPedia2009q4.html
Copyright © 2010, IPA all right reserved.

14

ご清聴ありがとうございました。
「重要インフラ制御システムの脆弱性低減と普及施策に関する調査」報告書
2010年４月 IPAウエブサイトで公開予定

Let’s update!
IPA セキュリティセンター
Copyright © 2010, IPA all right reserved.

15

参考資料

ITの脆弱性へのBCM適用例

Copyright © 2010, IPA all right reserved.

16

BCMのPDCAサイクルと脆弱性への対応
出典：経済産業省報告書

ビジネスインパクト分析
Plan

事業の維持に当たって重要なITシステムの特定と迅速・タイムリーな脆弱性対策の検討・実施

ＢＣＰの策定維持・管理（定期的、スパイラル指向での改善）

Do

Check・ITの脆弱性対策BCP方針の策定（脆弱性情報入手、 効果検証・
パッチ対策時期、発見時対応方針等）
継続的改善
・脆弱性（セキュリティインシデント）対応体制の構築
Action・セキュリティ関連リスクコミュニケーション方針策定

BCMの運営・脆弱性情報の定期的な入手と対策の遂行（セキュリティインシデント対応含む）
・セキュリティ問題発生時の緊急対応、復旧対応、コミュニケーション対応等遂行・想定外の脆弱性を発掘したり、発見時・インシデント発生時の対応を考慮した
17
教育や訓練・演習
Copyright © 2010, IPA all right reserved.

BCMの適用例：脆弱性情報の入手と対策（その1）
脆弱性情報の入手：
脆弱性情報を公表している機関からの情報入手。
・公的なセキュリティ機関からの入手。
IPAやJPCERT/CCからの情報はJVNから入手。
IPAでは、届出された脆弱性に加え、日本のITシステムに関係する脆弱性情報の収集・蓄積・公開。
7600件程度も蓄積・公開。JVNiPedia
海外情報は、米国CERT/CCや英国NISCC他から入手可能。
・セキュリティ専門ベンダから脆弱性に関する情報入手（有料）。
脆弱性情報の対策（パッチ）：
迅速な対策を推進することが大切。全社内のすべてのシステムとその対応責任者や窓口担当の連絡先を登録しておくことが望ましい。
推進体制の配置や対策のアウトソーシングも考慮すべき。
JPCERT/CC:Japan Computer Emergency Response Team / Coordination Center
JVN:JP Vendor Status Notes CERT/CC:Computer Emergency Response Team/Coordination Center
NISCC:National Infrastructure Security Co-ordination Centre
Copyright © 2010, IPA all right reserved.

18

BCMの適用例：脆弱性情報の入手と対策（その2）
脆弱性の存在指摘連絡時：
企業のイントラネットやWebサイトについて、問題を引き起こす脆弱性の存在をIPA他から指摘された場合には、その問題を早急に対策するための展開を進める。
このような脆弱性情報の社内展開を支援する体制を配置することが望ましい。CSIRT（Computer Security Incident Response Team）構築。
セキュリティ維持のアウトソーシングサービスを受けることも考慮。
自社で脆弱性発見時：
自社のシステムへの対策を優先して実施するのは当然であるが、同じような脆弱性が他社のシステムでも存在する可能性があるときは、IPAへの届出・相談を積極的に実施することをお願いします。
CSIRT：コンピュータ・セキュリティに関する事故が発生した場合に、実際に対応に当たる組織。
米国のCERT/CCや日本のJPCERT/CCなどが公共的なCSIRTだが、CSIRTとは企業や自治体などでのみ活動するといった、業務範囲が限られた組織といったとらえ方が多い。
CSIRT設置に当たってはどのような問題が起きる可能性があるのかを洗い出す事前調査から、障害発生時に際しての指揮命令系統の確保、外部専門機関との連絡体制の確認などを考慮する必要がある。
19
Copyright © 2010, IPA all right reserved.

考慮すべきベストプラクティスまとめ（その１）「セキュリティインシデント」に対する考慮項目例
適用範囲とビジネスインパクト分析：
・ソフトウエアの脆弱性を悪用した不正アクセス、コンピュータウイルス感染やWeb改ざん等より業務の停止・低下、個人情報の漏洩や情報の改ざんなどの発生により顧客・協力会社や社会から信頼を失い、経営に重大な影響を及ぼすことを想定したBCPを策定する。
・本BCPで対象とする情報システムは、たとえば、オンラインショッピングサイト。
個々の情報システムの目標復旧時間（RTO）の設定。たとえば、システム停止をしてから脆弱性対策を実施し、システム再開までの目標復旧時間を決める。4時間とか1日。
Copyright © 2010, IPA all right reserved.

20

考慮すべきベストプラクティスまとめ（その２）
BCP策定：
・社内対応体制、社外機関との連携活動方針を決める。たとえば、社内の連絡体制と各連絡先の文書化。社外機関との連携では、脆弱性情報を定期的にIPAとJPCERT/CCが共同運営するJVNから入手したり、セキュリティサービス事業者から最新インシデント情報等を入手する等の方針を決める。
・個人情報の漏えいの可能性があるときのリスクコミュニケーション方針や、Webサイトを停止するときの公表方法等の方針を決める。
・外部からのセキュリティインシデントに対する指摘をスムーズに対応するため、社内の適切なセキュリティ担当者に情報が正確に伝わるよう、社内のWeb窓口やコールセンターとの連携方法を決めておく。
・Web開発時に脆弱性を作りこまないように確認すべき項目を明確にすること、脆弱性発見時の対策方法を契約時にどう記載するかを明確にする。
21
Copyright © 2010, IPA all right reserved.

考慮すべきベストプラクティスまとめ（その３）BCMの運用：・脆弱性情報の定期的な入手と計画的な対策の実施。
・定期的なセキュリティ診断の実施（専門家への依頼も含む）。
・セキュリティインシデント発生時は、状況把握やインシデント特定とその対応を実施する。（セキュリティ問題発生時の緊急対応、復旧対応、コミュニケーション対応等遂行）
・リスクコミュニケーションにおいては、「信頼される企業」としての行動を基本とする。
・一般従業員を含んだ、セキュリティ教育を定期的に実施し、セキュリティ上のリスク低減を図る。（セキュリティに対する企業ポリシーを徹底的に教育する。啓発教育、セキュアプログラミング教育等の実施。その際、IPAの公開資料の活用も。）
・想定外の脆弱性を発掘したり、発見時・インシデント発生時の対応を考慮した教育や訓練・演習
効果検証・継続的改善：
22
Copyright © 2010, IPA all right reserved.
・維持・管理（スパイラル指向での改善、できるところから対応する）