Japan Computer Emergency
Response Team Coordination
Center

電子署名者 : Japan Computer Emergency
Response Team Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku,
email=office@jpcert.or.jp, o=Japan ComputerEmergency Response Team Coordination Center,
cn=Japan Computer Emergency Response TeamCoordination Center
日付 : 2014.02.20 15:53:23 +09'00'

制御システムセキュリティカンファレンス 2014

企業組織に迫りくるセキュリティ脅威への備えと対策

2014年2月5日（11:30-12:00）

JPCERTコーディネーションセンター
理事・分析センター長 真鍋 敬士

本日お話ししたいこと
サイバー攻撃に使われたメール
●●●●

●●

最近のサイバー攻撃例

インシデントへの対応

●●●●

1

Copyright©2014 JPCERT/CC All rights reserved.

サイバー攻撃事例2Copyright©2014 JPCERT/CC All rights reserved.

- サイバー攻撃事例 -ある日…

製造業の株式会社αからJPCERT/CCにインシデント情報の提供
 ネットワーク監視サービスで不審な通信の報告
 乗換検索サイトβにアクセスした際に感染
 感染したマルウエアに関する情報を提供

乗換検索サイトβを運営する
組織に情報を提供
3

Copyright©2014 JPCERT/CC All rights reserved.

当該ウェブや不審な通信先に関する情報を展開

- サイバー攻撃事例 -1日目：αからの最初の情報提供
株式会社α
乗換検索サイトβ

総務部門

製造部門

A1:Web感染
Webサーバシステム部門ドメインコントローラ

人事部門

広報部門

Webサーバ

Web管理端末

攻撃者

4

Copyright©2014 JPCERT/CC All rights reserved.

VPNサーバ【αでの調査】
 総務部門のPCが不審なサイトに通信していた。
 ファイアウオール
でサイトへの通信をブロックした。
 当該PCを隔離して調査した。
 βにアクセスした時にマルウエアをダウンロード・実行させられていることが判明した。
 βへのアクセスは日常業務で、直前までは異常なかった。

- サイバー攻撃事例 -2日目：βからの情報提供
株式会社α
乗換検索サイトβ

総務部門

製造部門

A1:Web感染
Webサーバシステム部門ドメインコントローラ

人事部門

広報部門

Webサーバ

Web管理端末

攻撃者

5

Copyright©2014 JPCERT/CC All rights reserved.

VPNサーバ【βでの調査】
 1ヶ月前に外部から侵入されていた。
 特定のアクセス元に対して不審なサイトへリダイレクトする設定が追加されていた。

- サイバー攻撃事例 -2週目：αからの追加情報提供
株式会社α
総務部門

製造部門

A3:移動

乗換検索サイトβ
A1:Web感染
Webサーバシステム部門A4:移動
ドメインコントローラ

人事部門

広報部門

Webサーバ

Web管理端末

攻撃者

6

Copyright©2014 JPCERT/CC All rights reserved.

VPNサーバ【αでの調査】
 管理用PCとドメインコントローラに侵入されていたことが判明した。
 管理用PCから不審なサイトに情報送信された痕跡があった。
 ファイアウオール
でサイトへの通信をブロックした。
 全アカウントのパスワードを変更した。

- サイバー攻撃事例 -3週目：αからの情報提供（再侵入）株式会社α【再侵入の調査】
 ドメインコントローラへの侵入の試みを検知した。
 WebサーバからWeb管理端末と管理用PCを経由して侵入を試みていた。
 製造部門のPCにも侵入されていた。
 前回の侵入時にWebサーバとWeb端末に裏口が設置されていた。

総務部門

製造部門

関係部門のみ（総務とシステム）で対応を進めていたシステム部門ドメインコントローラ

VPNサーバ

人事部門

広報部門

全社を対象に調査
Webサーバ

Web管理端末

攻撃者

7

前回の侵入に対してCopyright©2014 JPCERT/CC All rights reserved.

- サイバー攻撃事例 –4週目：αからの情報提供（全社調査結果）
株式会社α【人事部門】
先週から不審なメールが何通も届いている。

総務部門

いずれの攻撃も防御していたので報告されなかった【システム部門】
先々週からVPNサーバへの不審な接続試みが続いている。

システム部門ドメインコントローラ

人事部門

広報部門

Webサーバ

Web管理端末【取引先γ】
6ヶ月前に外部から侵入されていた。

E:攻撃

攻撃者

8Copyright©2014 JPCERT/CC All rights reserved.

取引先γ

VPNサーバ

C1:攻撃【製造部門】
先々週にマルウエアが混入したDVD-Rが届いていた。

製造部門

- サイバー攻撃事例 -攻撃の全容
他組織も巻き込んで様々な手段で次々と攻めてくる…
株式会社α
総務部門

製造部門

工場

VPNサーバ

取引先γ

A3:移動乗換検索サイトβ
A1:Web感染
Webサーバシステム部門A4:移動
ドメインコントローラ

人事部門

広報部門

C1:攻撃Webサーバ

Web管理端末

E:攻撃

攻撃者

9Copyright©2014 JPCERT/CC All rights reserved.

インシデントへの対応

10

Copyright©2014 JPCERT/CC All rights reserved.

- インシデントへの対応 -取組みから見た「二つの脅威」
使われる技術や手段には共通性もある
成果がやりとりされている可能性もある
でも、簡単に見分けられるとは限らない

広い対象を持つ特定の対象に向かう

脅威

脅威

直接的な被害をともなう
短期間で行われる
変化しながらも単純に繰り返される
守りを固めて排除する
11

Copyright©2014 JPCERT/CC All rights reserved.

被害がわかりにくい
必要に応じて長期間かけて行われる
様々な手段で継続的に繰り返される対応の違い

観察して避ける- インシデントへの対応 -対応プロセス
マネージメントの積極的関与

外部との情報連携攻撃を特徴づける情報
ここが最も重要準備

一般的にここが起点になる
検知・分析

封じ込め

外部と共有
根絶

修復

役立つのは…
通信ログ（ファイアウオール、プロキシ等: 内部⇒外部や内部⇒内部）
証跡データ（端末ログ、IT資産管理システム等）
IT資産管理情報※ログ類は状況により6カ月～1年以上遡る

平常時の備え12

Copyright©2014 JPCERT/CC All rights reserved.

有事における対応

教訓- インシデントへの対応 -侵入事例での対応を振り返る
 早く全社調査していればWebサーバやWeb管理端末の裏口を発見・駆除できていたかもしれない。
 全社調査が遅くなれば、再々侵入を許していたかもしれない。

被害は何だったのか？
攻撃者の狙いは？

 ユーザや端末の情報以外にもデータを持ち出された可能性はあるが内容は特定できていない。
 他の組織や工場が本来のターゲットだった可能性もある。

 様々な手段で攻撃が繰り返される。
 継続的に観察できることが対策に繋がる。

13

再侵入を防ぐことはできなかったのか？

Copyright©2014 JPCERT/CC All rights reserved.

終息宣言は？

- インシデントへの対応 -想定される被害は？
情報漏えい

外部への情報発信時の焦点になりやすい問題— 注目されるのは個人情報の漏えい「攻撃者はあらゆる情報に価値を見出す」と考えるべき— 盗まれた情報を完全に特定することはほぼ不可能
全ての情報アクセスと全ての通信を記録する必要がある
盗まれることを前提に情報を無効化するという考えもインフラの乗っ取り

当事者になって初めて思い知らされる問題— サプライチェーンに対する攻撃の温床「自組織には盗まれて困る情報はない」という思い込み— 自爆的な攻撃
インフラを使って攻撃メールを派手にばらまく取引先やメディアへの対応に翻弄される対応のために発生したコスト

発覚後に捻出しなければならない費用— サーバ・端末、ログ類の調査費用— サーバ・端末の調査・復旧にともなう業務停止
14

Copyright©2014 JPCERT/CC All rights reserved.

- インシデントへの対応 -もし工場がターゲットだったら…
株式会社α
【工場】
正常部門との間でUSBメモリを使ってデータのやりとりをしている。

総務部門

製造部門

工場

システム部門ドメインコントローラ

人事部門

広報部門

Webサーバ

Web管理端末

攻撃者

15

Copyright©2014 JPCERT/CC All rights reserved.

VPNサーバ工場に耐性はあったか？

脅威への対応と対策
事後対応■ 緊急対応体制の起動

事前対策■ 情報集約と情報連携の取組み

 組織内の統制
 対応スケジュールの検討

 CSIRT機能の構築
 情報連携の取組みへの参加■ サーバ・端末やログ等の調査■ 攻撃との共存を意識した環境作り

 侵入経路や影響範囲の特定
 クリーンナップ

 セキュリティ教育・トレーニング
 ログ設定のチューニング
 メールのアーカイブ・検索
 次世代ファイアウォール等の導入検討■ 外部への情報発信 二次被害の危険性のある対象への注意喚起
 メディア等への対応
 セキュリティベンダ等への情報提供■ 情報資産の把握・保護
 ネットワークやシステムの構成把握
 保護すべき情報の洗い出し

ゼロからの対応は困難【耳を澄まして、攻撃者の息づかいを感じ取る】
16

Copyright©2014 JPCERT/CC All rights reserved.

お問い合わせ、インシデント対応のご依頼はJPCERTコーディネーションセンター‒ Email：office@jpcert.or.jp‒ Tel：03-3518-4600‒ Web: https://www.jpcert.or.jp/

インシデント報告‒ Email：info@jpcert.or.jp‒ Web: https://www.jpcert.or.jp/form/

ご清聴ありがとうございました。
17

Copyright©2014 JPCERT/CC All rights reserved.