重要インフラ情報セキュリティセミナー2008

NTTグループの情報セキュリティ
リスクに対する取り組み～ R&Dの視点から ～2008年2月20日

NTT情報流通プラットフォーム研究所
大久保 一彦All rights reserved NTT Corporation ©, 20081

<Table of Contents>
１．はじめに
２．情報セキュリティリスクへの取り組み
３．セキュリティ運用強化に向けたＲ＆Ｄ
４．日本の情報セキュリティ向上を目指して
All rights reserved NTT Corporation ©, 20082

１．はじめに～ＮＴＴ研究所について～All rights reserved NTT Corporation ©, 2008

3

NTTグループにおけるR&Dのフォーメーション
R&D

R&D

基盤的研究開発●新サービス実現のための共通基盤技術●新原理、新部品等を生み出す基礎・要素技術

応用的研究開発

人員： 約6,000名
費用： 約3,000億円●システム改良●カスタマイズ等

NTT (持株会社)

NTT
NTT
NTT
NTT
東日本 西日本 ｺﾐｭﾆｹｰ ドコモ
ｼｮﾝｽﾞ

NTT
データ

R&D

R&D

R&D

R&D

R&D

県内通信

県内通信

国際・県間
通信

移動体
通信

SI

（規制会社）All rights reserved NTT Corporation ©, 2008

R&D

NTT
ﾌｧｼﾘ
ﾃｨｰｽﾞ

NTTME

NTT
ｺﾑ
ｳｪｱ

NTT
ＮＴＴｴﾚｸﾄﾛ AT
ﾆｸｽ

ビル設計・
管理

設備運営
２種事業

ソフト開発、
ｺﾝﾋﾟｭｰﾀｻｰﾋﾞｽ

光ﾃﾞﾊﾞｲｽ、
LSI

技術移転、
ｿﾌﾄ・ﾊｰﾄﾞ
開発

幾つかの会社についてはR&D活動も実施

4NTT研究所の拠点
京阪奈★コミュニケーション
科学基礎研究所●（★：研究所企画部の所在地）

武蔵野研究開発センタ■情報流通基盤総合研究所★サービスインテグレーション基盤研究所★情報流通プラットフォーム研究所★ネットワークサービスシステム研究所☆環境エネルギー研究所☆サイバーソリューション研究所☆サイバースペース研究所☆未来ねっと研究所●

筑波研究開発センタ★アクセスサービスシステム研究所

大手町（東京）・持株スタッフ部門（研究企画部門）

●

●

●

幕張
☆アクセスサービスシステム研究所

厚木研究開発センタ●■先端技術総合研究所★マイクロシステムインテグレーション研究所★フォトニクス研究所★物性科学基礎研究所☆コミュニケーション科学基礎研究所★環境エネルギー研究所
All rights reserved NTT Corporation ©, 2008

横須賀研究開発センタ●■サイバーコミュニケーション総合研究所★サイバーソリューション研究所★サイバースペース研究所☆ネットワークサービスシステム研究所☆アクセスサービスシステム研究所★未来ねっと研究所

5NTT研究所の構成
サイバーコミュニーケーション総合研究所
ｻｲﾊﾞｰｿﾘｭｰｼｮﾝ
研究所

情報流通ビジネスのための共通プロダクトとサービス基盤の研究開発等

ｻｲﾊﾞｰｽﾍﾟｰｽ研究所

情報流通ビジネスの発展に資するコンテンツ流通要素技術の研究開発等

情報流通ビジネスアプリケーション
用の新たなプロダクトの創出

情報流通基盤総合研究所
ｻｰﾋﾞｽｲﾝﾃｸﾞﾚｰｼｮﾝ
基盤研究所

戦略的企画、ＮＷアーキテクチャ及び通信トラヒック・品質技術の研究開発、研究所横断的な研究開発推進等

情報流通
ﾌﾟﾗｯﾄﾌｫｰﾑ研究所

各種情報流通ネットワークサービスにおいて、共通的な構成要素となるプラットフォームの研究開発等

ﾈｯﾄﾜｰｸｻｰﾋﾞｽ
ｼｽﾃﾑ研究所

ネットワークサービス及びそれらを実現するネットワークの高度化の研究開発等

ｱｸｾｽｻｰﾋﾞｽ
ｼｽﾃﾑ研究所

情報流通ビジネスの基盤となる新たなアクセスサービスの創出とそれを支える
アクセスネットワークの実現等

環境ｴﾈﾙｷﾞｰ研究所

環境情報技術（環境ＩＴ）、環境を考慮したエネルギーシステムの研究開発等

グループの情報流通ネットワーク
サービスの創出

先端技術総合研究所
未来ねっと研究所

革新的通信方式に基づくネットワークシステムの研究開発等

ﾏｲｸﾛｼｽﾃﾑ
ｲﾝﾃｸﾞﾚｰｼｮﾝ研究所

ユビキタスサービスに革新をもたらすデバイス、モジュール、サブシステムの研究開発等

ﾌｫﾄﾆｸｽ研究所

通信・情報分野に大きな技術革新をもたらす光・電子部品、モジュール及び材料の研究開発等

ｺﾐｭﾆｹｰｼｮﾝ科学
基礎研究所

情報通信に変革をもたらす知識処理、メディア処理など新しい知見や概念の創出等

物性科学基礎
研究所

速度・容量・サイズなどネットワーク技術の壁を越える新原理・新コンセプトの創出等

All rights reserved NTT Corporation ©, 2008

情報通信に全面変革をもたらす
新原理・新コンセプトの創出、
及び５～１０年先の事業領域拡大につながる先端技術の研究開発

6

NTT研究所における“全体最適”を目指した研究
・ネットワークの一元的保守／運用（ﾈｯﾄﾜｰｸ、ｼｽﾃﾑの監視／運用）

・ライフラインとしての接続性保証（故障時の無瞬断切り替え／
サービス無中断ファイル更新）

・End-Endの品質保証（ネットワークレベルでのサービス品質[QoS]制御）・トラヒックを考慮した網設計（トラヒックに応じた網トポロジーの設計）
コアネットワーク

メトロネットワーク

アクセスネットワーク

・標準化推進（マルチベンダ、相互接続性）

All rights reserved NTT Corporation ©, 20087

２．情報セキュリティリスク
への取り組みAll rights reserved NTT Corporation ©, 20088

セキュリティ脅威の変遷
1990

2000

2003

脅
脅 威
威

事
事 象
象

状況分析
状況分析

フロッピー感染型ウイルス

愉快犯的・限定的感染被害

ﾊﾟｽﾜｰﾄﾞ解読ﾂｰﾙの普及等

特定サイトに対する侵入

第１期
・パソコンの普及
・愉快犯の能力誇示
・限定的被害電子メール添付型ウイルス

ｲﾝﾀｰﾈｯﾄを介した広域感染

ネット上での攻撃ツールの入手容易化等

ホームページ書換え・
DoS攻撃

第２期
・インターネットの普及
・被害の大規模化
・攻撃側の情報共有の進展

ぜい弱性を悪用したウイルス・ワーム

ｲﾝﾀｰﾈｯﾄの普及と相俟った
急速かつ大規模な感染、被害の深刻化

第３期
・ソフトウエアぜい弱性問題の顕在化
・ウイルス・ワームの機能
高度化

スパイウェアフィッシング

経済的利得を目的とした
情報詐取等

ボット

組織化・分業化、複合的な手法を用いた攻撃

2004

2005

出典： 「情報セキュリティの最新動向」，IPAX2007 （2007.6.28）
http://www.ipa.go.jp/security/event/2007/ipax/IPAX2007-0628-11-Nakata.pdf
All rights reserved NTT Corporation ©, 2008

第４期
・経済的動機（なりすまし・詐欺）
・攻撃側の組織化・分業化の進展・手口の高度化・複合化
9脅威と対策z最近のサイバー攻撃では、攻撃者は技術を駆使し、ますます巧妙になってきている・・・{愉快犯から利益目的の窃盗団型に{Webアプリを媒体にするウィルスの増加{自らをアップデートして進化するボットも出現

z攻撃側の“分業化”や“プロ化”が進む中で、防御側も検知・分析技術を磨くとともに、組織連携して継続的にセキュリティ対策に取り組む必要がある。
All rights reserved NTT Corporation ©, 200810

セキュリティリスクに対する取り組み●セキュリティの視点では、システム等の構築時のみならず、
システム構築後の継続的な監視･対応が肝要。
システムのセキュア化

セキュリティ運用の強化

・システム要塞化・事前対応 ⇒未然防止例） 防火壁例） 夜番「火の用心」

・検知から対策までの
自動化

リスクの
更なる低減

例） スプリンクラー

・事後対応 ⇒被害極小化例） 消火活動：アナロジー（火災を例に）
All rights reserved NTT Corporation ©, 200811

システムのセキュア化に向けたR&Dzシステム要塞化{暗号アルゴリズム及び、ライブラリ{NGN構成要素のセキュア化{各種認証機能の強化
zユーザ認証、サービス認証、時刻認証 等

z検知から対策までの自動化{異常トラヒック対策技術{ボットネット対策技術{Ｗｅｂセキュリティ対策技術 等
All rights reserved NTT Corporation ©, 2008

12

ＮＴＴ暗号・研究開発の歴史
暗号の社会的位置づけの変化

ＮＴＴでの
暗号Ｒ＆Ｄ

「規制すべき
武器」

ＮＴＴ単独
での高度な
技術追求

「標準化すべき
社会基盤技術」

仲間作りを
通じた
競争力強化

 1985年 FEAL（共通鍵暗号）{ 国内初の64ビット共通鍵ブロック暗号{ DESよりも高速 1985年 ESIGN（署名）{ 国内初のデジタル署名{ RSAよりも高速 1998年 E2（共通鍵暗号）{ 国内初の商用128ビット共通鍵ブロック暗号{ 日本から唯一のAES暗号プロジェクトに応募

 1999年 PSEC（鍵配送）、ECAO（署名）{ 国内初の証明可能安全な楕円暗号

 2000年 Camellia（共通鍵暗号）{ 128ビット共通鍵暗号を三菱電機と共同開発{ ＮＴＴの高速ソフトウェア実装技術と三菱電機の小型高速ハードウェア実装技術を融合 2003年 CRESERC（署名；仕様）{ 三菱電機と日立製作所と共同で楕円デジタル署名
ECDSAの実装仕様を規定
All rights reserved NTT Corporation ©, 200813

All rights reserved NTT Corporation ©, 200814

All rights reserved NTT Corporation ©, 2008

15

更なる先端研究へ
現在

量子コンピュータの実用化（20～30年以降）

次世代暗号プロトコル

現代暗号
の黎明

PSEC
ESIGN

素因数分解ベース暗号

量子公開鍵暗号→量子公開鍵署名→
MOV 署名→ペアリング応用→
IBE→

量子コンピュータ
実現後も安全な暗号方式への挑戦

楕円曲線ベース暗号
新しい利用領域を拓く次世代暗号の開発

暗号の安全性に対する理論的保証
All rights reserved NTT Corporation ©, 200816

NGNの概要

出典： NTT東日本・平成19年度（第9期）中間決算について （http://www.ntt-east.co.jp/release/0711plhw/bmzk071109a_13.html）
All rights reserved NTT Corporation ©, 200817

NGNのセキュリティ■ＮＧＮでは、回線ごとに割り当てられた発信者ＩＤをチェックし、なりすましを防止します。また、ネットワークの入り口で、不正なアクセスやなりすましをブロックする機能等を具備しています。

出典： http://www.ntt-east.co.jp/ngn/about/index.html
All rights reserved NTT Corporation ©, 200818

サイバー攻撃対策技術(1)トラヒック監視設定(2)正常状態の確認- レポート機能によるトラヒック状況の確認(3)異常トラヒックの検出(4)異常トラヒックの分析- 攻撃先アドレス・攻撃元アドレス等の自動抽出- レポート機能によるトラヒック状況の確認(5)異常トラヒック対策- ルータへのアクセス制御により、攻撃トラヒックを廃棄
各種サーバ等
WWW
DNS
サーバ ・・・ ｻｰﾊﾞ

①攻撃を検知ｵﾍﾟﾚｰｼｮﾝ端末

異常トラヒック
対策システム

DoS攻撃
検出／分析

ルータ

DoS攻撃
ＧＷ

ＩＰネットワーク（ユーザＮＷ等）①攻撃を検知②攻撃者の近傍で対処
All rights reserved NTT Corporation ©, 2008

ルータ

トラヒック統計
情報収集

ルータ

サービス毎のトラヒック情報の収集

19

セキュリティ運用の強化◆セキュリティ運用の強化に向けては、専門家による組織的な活動を行う部隊※と呼ばれる形態が注目されている。
であるＣＳＩＲＴ※※ＣＳＩＲＴ： Computer Security Incident Response Team

社内組織
セキュリティ
管理者

判断・指示

他CSIRTとの技術協力及び 情報提供・技術支援
情報交換等

ＣＳＩＲＴ

報告

機能

主な役割

セキュリティ
管理者

対応の判断・指示、対策実施の管理

ＣＳＩＲＴ

対応の調整、
技術支援、
情報収集・分析・提供

システム運用者／開発者

対策実施（パッチ適用、バージョン
アップ、設定変更等）

情報提供・技術支援
システム運用者／開発者
対策実施

All rights reserved NTT Corporation ©, 2008

20

ＣＳＩＲＴ業務の概要
１．事後対応型サービス◆アラートと警告◆インシデントハンドリング
・インシデント分析
・オンサイトでのインシデント対応
・インシデント対応支援
・インシデント対応調整◆脆弱性ハンドリング
・脆弱性分析
・脆弱性対応・脆弱性対応調整◆アーティファクトハンドリング
・アーティファクト分析・アーティファクト対応・アーティファクト対応調整

２．事前対応型サービス

３．セキュリティ品質管理
サービス

◆告知
◆技術動向監視◆セキュリティ監査又は審査◆セキュリティツール、
アプリケーション、インフラ
及びサービスの設定と保守◆セキュリティツールの開発◆侵入検知サービス◆セキュリティ関連情報の提供◆リスク分析
◆ビジネス継続性と障害回復計画◆セキュリティ・コンサル
ティング
◆意識向上
◆教育・トレーニング◆製品の評価又は認定

出典： http://www.jpcert.or.jp/csirt_material/files/03_activities_of_csirt.pdf
All rights reserved NTT Corporation ©, 200821

NTT-CERTについて●ＮＴＴグループのＣＳＩＲＴとして、2004年10月に発足 （情報流通プラットフォーム研究所に設置）●ＦＩＲＳＴ※に加盟（2005年１月）●NTT Computer Security Incident Response andReadiness Coordination Team の略称※FIRSTとは・・・
Forum of Incident Response and Security Teamsの略。
1990年に設立された世界中のCSIRTの集まり（2007年現在で190チーム以上）。

All rights reserved NTT Corporation ©, 200822

NTTグループのセキュリティ強化に向けて●NTT-CERT（セキュリティ運用チーム）は、NTTグループのセキュリティ関係者
による技術連携を推進し、関連ノウハウの蓄積を図るとともに、NTTグループの安心・安全なサービス提供、安心・安全のブランド向上に貢献しています。
●世界中の専門家組織と協調して、セキュリティ上の諸問題を解決することで、お客様の個人情報の保護、企業等の事業継続性の確保に努めています。
外の仲間
東日本
東日本

西日本
西日本

ｺﾐｭﾆｹｰｼｮﾝｽﾞ
ｺﾐｭﾆｹｰｼｮﾝｽﾞ

CSIRT

CSIRT

CSIRT

グループ内のセキュリティ情報流通体制
CSIRT

CSIRT

CAIS/RNP （アメリカ） JPCERT/CC（ブラジル）

データ
データ

All rights reserved NTT Corporation ©, 2008

（日本）

持株
持株 NTT-CERT
信頼の輪
会社
会社 （持株R&D）

CSIRT
・・・

ドコモ
ドコモ

CERT/CC

他ｸﾞﾙｰﾌﾟ会社
他ｸﾞﾙｰﾌﾟ会社

HIRT
（日立）

IIJ-SECT
（IIJ）

CPNI
(イギリス)

GHP

Surfnet

他専門家
他専門家
組織
組織

（ドイツ） （オランダ）23

組織連携を機軸としたセキュリティ運用強化■効果的な対策を立案・実施するためには、素早い状況把握や情報の共有等、組織（or■効果的な対策を立案・実施するためには、素早い状況把握や情報の共有等、組織（or 会社）間
会社）間の連携が重要。
の連携が重要。
■組織を跨る、１）セキュリティマネジメントの連携、２）セキュリティ情報・対応支援(CSIRT)の連携の■組織を跨る、１）セキュリティマネジメントの連携、２）セキュリティ情報・対応支援(CSIRT)の連携の両輪によって、セキュリティリスクへの対応が強化できる。
両輪によって、セキュリティリスクへの対応が強化できる。
１）グループ企業におけるセキュリティマネジメント
の連携

持株会社

２）グループ内外のセキュリティ情報・対応
支援の連携（CSIRT連携）
外部

事業会社（または社内組織）

ｾｷｭﾘﾃｨ管理者

ｾｷｭﾘﾃｨ管理者

CSIRT

NTT-CERT

PoC

ｲﾝｼﾃﾞﾝﾄ情報
脆弱性情報：（Point of Contact）

事が起こった後の事が起こった後の迅速＆適切な
迅速＆適切な
対応
対応

診断結果
対処状況
：

PoC

事が起こる前の事が起こる前の普段からすべき普段からすべき
ことの徹底
ことの徹底

（Point of Contact）

ｼｽﾃﾑ運用者
ｼｽﾃﾑ運用者
及び開発者
及び開発者
守るべき資産社内システム ネットワーク ソリューション等
All rights reserved NTT Corporation ©, 2008

24

外の仲間との連携◆Give&Takeにより信頼の輪を強化しつつ、セキュリティ情報の共有や関連技術の高度化を図っている・・・
教育ﾄﾚｰﾆﾝｸﾞ等
ボット／スパム分析等の連携（日本関連のサイバー攻撃
情報もあわせて入手）

CERT/CC（米国）

CAIS/RNP（ブラジル）

ウィルス拡散の検知システム構築での連携

All rights reserved NTT Corporation ©, 2008

GHP
（ドイツ）

JPCERT/CC
（日本国）

先進的組織
間での連携

HIRT
（日立）

Surfnet（オランダ）
ウィルスやボット等のカタログ活用（捕獲したマルウェアを
NTT-CERTから提供）

日本代表との連携

信頼の輪

IIJ-SECT
（IIJ）

先進的組織
間での連携

25

３．セキュリティ運用強化に向けたＲ＆Ｄ

All rights reserved NTT Corporation ©, 200826

NTT-CERTの取り組み
NTT-CERT

外の仲間②分析・調査⑥トレーニング等

①検知

④対応支援

③情報共有
自らも監視

ハニー
ポット等

事業会社
⑤リスク管理All rights reserved NTT Corporation ©, 200827

NTT-CERTの業務概要
セキュリティ運用業務の概要①検知

ハニーポット等を用いたインシデントの発見や攻撃傾向の把握②分析・調査インシデントや脆弱性、マルウェア等の分析・調査③情報共有

インシデント発生／脆弱性発覚時の案件ハンドリング
セキュリティ関連情報のモニタリング、レポーティング④対応支援

事業会社におけるインシデント発生時の対応サポート⑤リスク管理事業会社にて普段から実施するセキュリティリスク
診断や対応管理に関わる支援⑥トレーニング等

一般／専門家向けのセキュリティ教育コース及び、草の根活動としてのワークショップの開催

All rights reserved NTT Corporation ©, 2008

28

検知･分析の支援システム【目的】
・インシデントの発見や攻撃傾向の把握（これをいち早く行うことで、被害の未然防止、極小化に繋げる）【アプローチ】
・ひとつの手段として、nepenthes等のlow-interaction honeypotを用いた
イベント検知システム（SURFnet IDS）を利用し、攻撃情報を収集・・・《SURFnet IDS》
- SURFnet（オランダ）が提供する侵入検知システム(IDS)- Sensor、 Honeypot/Tunnelサーバ、Loggingサーバによる構成- 攻撃者（主にworm、virusが対象）の挙動の記録やmalwareの収集が可能- 異なるネットワークに複数のSensorを配置することにより、分散型IDSとして機能
All rights reserved NTT Corporation ©, 2008

29

SURFnet IDS《攻撃者》

・脆弱性を模擬・攻撃をハンドリング

：攻撃
：ＶＰＮ
All rights reserved NTT Corporation ©, 200830

ウィルス拡散の状況（脆弱性への攻撃）
ウィルス拡散元となってしまったユーザ

All rights reserved NTT Corporation ©, 200831

NTT-CERTの業務概要
セキュリティ運用業務の概要①検知

ハニーポット等を用いたインシデントの発見や攻撃傾向の把握②分析・調査インシデントや脆弱性、マルウェア等の分析・調査③情報共有

インシデント発生／脆弱性発覚時の案件ハンドリング
セキュリティ関連情報のモニタリング、レポーティング④対応支援

事業会社におけるインシデント発生時の対応サポート⑤リスク管理事業会社にて普段から実施するセキュリティリスク
診断や対応管理に関わる支援⑥トレーニング等

一般／専門家向けのセキュリティ教育コース及び、草の根活動としてのワークショップの開催

All rights reserved NTT Corporation ©, 200832

早期警戒パートナーシップ◆経産省が「ソフトウエア等脆弱性関連情報取得基準」を告示し（2004年7月）、
ＩＰＡが受付機関として、「情報セキュリティ早期警戒パートナーシップ」を開始。
※に影響を与え、インターネットの安全を大きく脅かす◆国際的には、市中製品※
脆弱性について、各国を代表するＣＳＩＲＴ（調整機関）が協力して一般公開前の脆弱性情報を関連製品の開発者間で共有し、更新ソフトウェアの公開日を一致させながら対処していく取り組みが展開されている。
※ソフトウェア製品及び、ソフトウェアを組み込んだハードウェア製品

米国の枠組み《米国のＣＳＩＲＴ》

EUの枠組み《英国のＣＳＩＲＴ》

日本の枠組み《日本のＣＳＩＲＴ》

CERT/CC（代表調整機関）

CPNI（代表調整機関）JPCERT/CC（代表調整機関）各社のＣＳＩＲＴ

各社のＣＳＩＲＴ

各社のＣＳＩＲＴ

製品開発者

製品開発者

製品開発者

・脆弱性情報の交換
・一般公開日の調整

All rights reserved NTT Corporation ©, 200833

非公開脆弱性への対応の事例
情報処理推進機構
メール受信時の認証プロトコル“APOP”の脆弱性を発見!!

・脆弱性の報告・対処案の提案（ﾒｰﾗﾍﾞﾝﾀﾞ向け）

パスワードが短いと破られるぞ！

All rights reserved NTT Corporation ©, 2008

一般公開

・情報共有
・対応支援

・脆弱性
の報告
ある研究者
（NTT）

・お客様への注意喚起
や問合せ対応の準備

パスワードを長く or別の方式を使う！

NTT-CERT・APOPを利用しているシステムの洗い出し
・影響システムの担当者とNTT-CERTで対策検討

34

脆弱性ハンドリングの流れ●いち早く、適材適所にかつ、セキュアに実施するためには・・・（１）特定の脆弱性の影響を受ける製品の網羅的な調査と対策の提供（２）一般公開前の脆弱性情報の漏洩の防止（３）対応状況管理及び、調整機関との公開スケジュール調整
プロダクトオーナ

外部調整
機関など

企業での
対応

セキュリティ
管理者等
製品構成把握

受付
脆弱性情報

対応状況

一般公開
All rights reserved NTT Corporation ©, 2008

製品構成情報製品構成連絡

受付
社内展開

脆弱性情報

対応状況管理内外の調整

製品への影響及び対応方針調整
製品への影響及び対応方針システム システム
開発者
運用者

調査、検証

対策実施

対応状況

ユーザ周知
35

案件ハンドリングの支援システム要件
案件ﾊﾝﾄﾞﾘﾝｸﾞ ①脆弱性・ｲﾝｼﾃﾞﾝﾄの流れ
情報等の受付＜情報の階層化管理と暗号化＞
・復号／署名検証機能（ＰＧＰ）
・送受信文書の関連付け管理の高度化（ソート・絞込み等）
・全文検索機能・インデックス機能等②トリアージュ（関係者
特定・優先レベル付け）③対応策定/送付（ｱﾄﾞﾊﾞｲｻﾞﾘ・技術情報等）＜コンタクトポイント管理＞・コンタクトポイント管理機能（PoC情報登録、検索及び、参照）
・対応案件毎の伝達先に応じた階層化

トリアージュ
担当者＜文書作成支援＞・ユーザ操作履歴機能・文書作成履歴機能
・暗号化／署名機能
（ＰＧＰ）

脆弱性・
ｲﾝｼﾃﾞﾝﾄ情報等

①

③

対応案検討
担当者

ｱﾄﾞﾊﾞｲｻﾞﾘ等

PoC業務（①～④）
を実施

対応状況等

DB

③
④

NTT-CERT＜ＰｏＣ業務フロー関連＞・案件のｽﾃｰﾀｽ管理に基く
進捗状況管理機能・優先レベルに基づく対応期
限通知機能

NTTグループ外のCSIRT等②
DB④各案件の対応状況
を一元的に把握レビュー
担当者

All rights reserved NTT Corporation ©, 2008

DB

•情報（申告、問題、コンタクト
ポイント、対策等）の関連付け•案件ごとの対応状況•PGP鍵 等

事業会社

システム運用者、
システム運用者、システム開発者システム開発者36

セキュリティ情報共有を支えるシステムの全体像
セキュリティ管理者，
CSIRTの実施プロセス

システム機能管理データ

システム機能プロダクトオーナ，システム運用者等の実施プロセス

コンタクト
コンタクト
ポイント管理ポイント管理どういった情報が必要か
技術キーワード等を登録

ｺﾝﾀｸﾄﾎﾟｲﾝﾄ管理
コンタクト
コンタクト
ポイント検索ポイント検索特定の情報を誰に対して通知するべきか検索

コンタクト
ポイント情報案件ﾊﾝﾄﾞﾘﾝｸﾞ支援

情報の入手

組織全体の
リスク管理

脆弱性・
脆弱性・
インシデントインシデント
情報の
情報の
個別通知
個別通知

情報の
個別通知

対応ステータス対応ステータス
把握
把握

対応状況の
把握

脆弱性・
脆弱性・
インシデントインシデント
情報閲覧
情報閲覧

情報の閲覧

担当する
プロダクト・
サービス
における
影響度の
評価

対応ステータス対応ステータス
管理
管理

状況報告

脆弱性・
インシデント対応

脆弱性情報

インシデント
情報

対応
ステータス

ｾｷｭﾘﾃｨﾎﾟｰﾀﾙ
情報の入手
情報の登録
資料作成
All rights reserved NTT Corporation ©, 2008

ニュース等
ニュース等
公開情報
公開情報
の登録
の登録

ニュース・
記事情報

技術資料・
アドバイザリ

ニュース等
ニュース等
公開情報
公開情報
の閲覧
の閲覧

情報の閲覧・利用37

NTT-CERTの業務概要
セキュリティ運用業務の概要①検知

ハニーポット等を用いたインシデントの発見や攻撃傾向の把握②分析・調査インシデントや脆弱性、マルウェア等の分析・調査③情報共有

インシデント発生／脆弱性発覚時の案件ハンドリング
セキュリティ関連情報のモニタリング、レポーティング④対応支援

事業会社におけるインシデント発生時の対応サポート⑤リスク管理事業会社にて普段から実施するセキュリティリスク
診断や対応管理に関わる支援⑥トレーニング等

一般／専門家向けのセキュリティ教育コース及び、草の根活動としてのワークショップの開催

All rights reserved NTT Corporation ©, 200838

インシデント（侵入・改竄）対応の事例
某金融機関のフィッシングサイトが立てられてしまった･･･【正規のサイト】
http://www.xxx.com/【フィッシングサイト】
http://www.xxx.com/www.yyy.com/

Webminの脆弱性をねらって侵入、フィッシングサイト設立

インシデント対応支援①海外のある組織からメールによりインシデントの連絡②初動対応支援フィッシングサイトのコンテンツを外部からアクセスできない場所に移動

NTT-CERT
対応支援等

水平展開

③原因分析（フォレンジック）
某国からWebmin経由で侵入し、フィッシングサイトを立てた可能性を発見④被害状況の分析

事業会社A
ＮＴＴ
グループ

DBサーバに格納された個人情報の漏えいがないことを確認⑤NTTグループ内に注意喚起と未然防止策を水平展開
類似インシデントの未然防止

All rights reserved NTT Corporation ©, 200839

インシデント・レスポンスにおける課題《運用上の要件》◆初動対応がキー・現場の担当者に十分な情報やスキルが必要
・被害の重篤度が判明するまではライブ分析が必要

初動調査(Triage)

検知《技術的要件》

データ取得

・ディスク等の大容量化により取得対象の選別とプロセスの効率化が課題

一次分析
重要度判断
データ取得

詳細調査

詳細分析

・対象のOS、アプリ、デバイス等の多様化に対応すべく、
分析ノウハウの蓄積及び、再利用が課題

対応判断

All rights reserved NTT Corporation ©, 200840

フォレンジックの支援システム(1)①初動対応のシステム化◆リモートから自動で問題のサーバや端末のデータを取得◆自動による一次分析および結果のレポーティング②分析ノウハウの蓄積および再利用◆アプリケーション・スペシフィックな分析ノウハウの蓄積◆自動分析モジュールから利用可能な形態でのライブラリ化＜初動対応支援システム＞
ＣＳＩＲＴ
またはＳＯＣ

分析ﾉｳﾊｳﾗｲﾌﾞﾗﾘ②分析ノウハウの蓄積、再利用
All rights reserved NTT Corporation ©, 2008

＜調査対象システム＞①遠隔・自動でデータ取得、分析＆ﾚﾎﾟｰﾃｨﾝｸﾞ

サーバ、端末等

サーバ、端末等
41

フォレンジックの支援システム(2)＜初動対応支援システム＞＜調査対象システム＞
初動対応者 ①現地の初動対応者がWebブラウザで支援システムのWebページにアクセス②エージェントプログラム、SSL用証明書をダウンロード及び実行
Agent

調査員

Agent
③エージェントから支援システムに対してコネクションを確立(Webプロキシ対応，SSL)
通信チャネル⑤コマンド実行④コマンドの送信（システム情報を抽出）⑦分析⑥-1 支援システムへの送信
調査対象システムのシステム情報⑥-2 外付けHDDへ保存

All rights reserved NTT Corporation ©, 2008

調査対象システムのシステム情報レポート42NTT-CERTの業務概要
セキュリティ運用業務の概要①検知

ハニーポット等を用いたインシデントの発見や攻撃傾向の把握②分析・調査インシデントや脆弱性、マルウェア等の分析・調査③情報共有

インシデント発生／脆弱性発覚時の案件ハンドリング
セキュリティ関連情報のモニタリング、レポーティング④対応支援

事業会社におけるインシデント発生時の対応サポート⑤リスク管理事業会社にて普段から実施するセキュリティリスク
診断や対応管理に関わる支援⑥トレーニング等

一般／専門家向けのセキュリティ教育コース及び、草の根活動としてのワークショップの開催

All rights reserved NTT Corporation ©, 200843

ガーディアンによるセキュリティ管理体制の補強◆セキュリティ管理者の補佐となり、セキュリティ状況を一元的に把握し、システム運用者◆セキュリティ管理者の補佐となり、セキュリティ状況を一元的に把握し、システム運用者等と連携して問題解決にあたる“ガーディアン”の導入によりセキュリティ管理体制を補強。
等と連携して問題解決にあたる“ガーディアン”の導入によりセキュリティ管理体制を補強。
●守るべき資産の一元管理、定常的なセキュリティチェック
●守るべき資産の一元管理、定常的なセキュリティチェック
●脆弱性情報の通知・対処勧告及び、システム運用者支援●脆弱性情報の通知・対処勧告及び、システム運用者支援●リスク情報の把握、対処状況の追跡・管理●リスク情報の把握、対処状況の追跡・管理●セキュリティ管理者への定期／随時レポーティング●セキュリティ管理者への定期／随時レポーティング

事業会社

ガーディアンによる対応

セキュリティ
管理者

システムA
情報Ａ

システムZ
補佐

情報Ｚ
• ｾｷｭﾘﾃｨ情報提供• 案件対応支援 等

システム運用者

All rights reserved NTT Corporation ©, 2008

ガーディアン（専担者）

システム開発者
PoC（Point of Contact）

44

リスク診断・管理のシステム要件
セキュリティ診断
管理業務の流れ①情報資産（情報、ｻｰﾊﾞ等）を登録②情報資産のｾｷｭﾘﾃｨ
状況を定常的に診断＜情報資産管理＞・管理対象システムの情報登録、更新、削除機能
・登録した情報資産の有効期限確認
機能④対応状況を一元把握、③問題を一元的にﾉｳﾊｳとして蓄積把握し対応判断・勧告＜セキュリティリスク診断＞
・ネットワーク診断機能・Ｗｅｂ診断機能
・サーバ監査機能
・診断スケジューリング機能

ガーディアン

ｾｷｭﾘﾃｨ
管理者

補佐

ｾｷｭﾘﾃｨﾘｽｸ
診断機能＜リスク情報管理、レポーティング＞
・リスク情報の登録、更新、検索、削除機能
・対応状況監視／通知、役割別
メニュー表示機能
・内容承認機能・リスク情報・対応状況の外部出力機能

ｾｷｭﾘﾃｨﾘｽｸ
管理機能
セキュリティリスク
診断・管理システム

④

②

① ③

情報資産
All rights reserved NTT Corporation ©, 2008④
システム
運用者／開発者45

NTT-CERTの業務概要
セキュリティ運用業務の概要①検知

ハニーポット等を用いたインシデントの発見や攻撃傾向の把握②分析・調査インシデントや脆弱性、マルウェア等の分析・調査③情報共有

インシデント発生／脆弱性発覚時の案件ハンドリング
セキュリティ関連情報のモニタリング、レポーティング④対応支援

事業会社におけるインシデント発生時の対応サポート⑤リスク管理事業会社にて普段から実施するセキュリティリスク
診断や対応管理に関わる支援⑥トレーニング等

一般／専門家向けのセキュリティ教育コース及び、草の根活動としてのワークショップの開催

All rights reserved NTT Corporation ©, 200846

草の根活動によるスキル底上げ◆「人は石垣、人は城」◆セキュリティワークショップの定期的な開催

情報、ノウハウ、
ベストプラクティスの共有

参加者各自のスキル、経験、ノウハウ、苦労話、工夫点の共有とディスカッション

All rights reserved NTT Corporation ©, 2008

人脈形成

グループ内セキュリティ実務担当者間で「信頼できる人的ネットワーク」を構築（Web of Trust）

セキュリティ実務者のスキル向上最新のトピック、対策技術に関する講義、実習型トレーニング（外部講師もあり）47

４．日本の情報セキュリティ向上を目指してAll rights reserved NTT Corporation ©, 2008

48

通信事業者が立ち向かう新たな脅威①サイバーテロ・組織化されたサイバー攻撃••

インフラに破壊的な被害をもたらす設備の処理能力を超えてしまう②サイバー犯罪••

営利目的
ユーザに迷惑や経済的被害をもたらす③非意図的な行為••

誤設定・誤操作
ソフトウェアの不具合④その他の意図的な行為•

内部脅威

All rights reserved NTT Corporation ©, 2008

※NTTラーニングシステムズの調査結果より49

世界で初めて発生したサイバーテロとは？
z ２００７年４月下旬にバルト海沿岸の国エストニアで大規模なサイバーテロ攻撃が発生
z エストニア{ １９４０年 ソ連に編入、１９９０年 ソ連から独立{ IT国家として名高い、NATO加盟国（２００４年）

z 経緯（出典）外務省ホームページ{ ２００７年４月２６日、ソ連時代に設置された記念銅像を撤去{ 翌日から大量のトラヒックが国外から流入{ 政府、大統領府、省庁、大手銀行、新聞社、ISPに被害が発生{ ATMや固定電話も使いづらくなった{ ５月中旬に攻撃が突如停止したz 「偵察活動」との見方もあり

All rights reserved NTT Corporation ©, 2008

※NTTラーニングシステムズの調査結果より50

経済的被害をもたらすサイバー犯罪
z盗んだアカウント・パスワードやアイテムを取り引きする闇市場が形成されている
z盗んだアカウント・パスワードやアイテムを取り引きする闇市場が形成されている
z犯罪を幇助しないよう、通信事業者が対応措置を取らされる事例が増加している
z犯罪を幇助しないよう、通信事業者が対応措置を取らされる事例が増加している中国のアンダーグラウンド・エコノミー

ヤミ市場における販売価格
商 品

価格（ドル）

クレジットカード（米国）

１～６

銀行口座

１４～１８

メールアドレス（２万９千件）５

Skypeアカウント

１２

PayPalアカウント

10～500（出典）シマンテック

All rights reserved NTT Corporation ©, 2008

※NTTラーニングシステムズの調査結果より

51

災害対応
z自然災害の対応では、被災地の支店が復興の主役となり、本社は後方支援を実施
z自然災害の対応では、被災地の支店が復興の主役となり、本社は後方支援を実施
zインバウンド情報を集約して、関係者への報告やロジスティクス支援を実施
zインバウンド情報を集約して、関係者への報告やロジスティクス支援を実施
地震、台風など

他支店

災害発生！
稼動/物資応援

被災地支店
状況報告•設備状況の把握
•復興作業
復旧の支援
制約
・危険地域への立ち入り

テレビ報道
気象情報
All rights reserved NTT Corporation ©, 2008

本社（後方支援）•被災規模の把握•ロジスティクスの支援•関係者への報告※NTTラーニングシステムズの調査結果より

52

セキュリティ・インシデント対応●アウトバウンドで情報を収集し、被害拡大の抑止と根本解決につなげる●アウトバウンドで情報を収集し、被害拡大の抑止と根本解決につなげる
関連省庁、
他事業者
情報共有期機関

外部機関との連携

コマンド機能•情報収集/真偽確認、情報統制•対応の指示•外部関係者との連携

エスカレーション

制約
状況の確認•通信履歴の取得•他事業者への情報提供

フロント
脅威が動く！
申告

All rights reserved NTT Corporation ©, 2008

※NTTラーニングシステムズの調査結果より

53

従来の災害対応とセキュリティ・インシデント対応の比較
比較項目

自然災害

セキュリティ・インシデント

脅威

動かない

動く

災害・インシデントの発生場所

限定的（地理的に特定可能）

特定不可能

災害・インシデントの終息宣言

第三者（気象庁など）が判断

自ら情報を集めて、自らが判断

復旧時の制約

危険地域への立ち入り
ロジスティクス（稼動応援、予算）

真の原因究明、
憲法・法律（通信の秘密、個人情報）回復方法

NTT設備の復旧

場合により異なる

他事業者との連携

NTT伝送路を使っている場合は連携もあり犯人特定やインシデント情報
共有で連携は必須

世間の反応

同情的

批判的

All rights reserved NTT Corporation ©, 2008

※NTTラーニングシステムズの調査結果より

54取り組みのスタンス●NTT-CERTは、電気通信インフラ分野
における情報分析・共有機能の取り組み(T-CERTOAR)を推進。
●この取り組みをより効果的に進めるため、
日本シーサート協議会の個別企業等におけるCSIRT構築・運用支援の活動にも協力。
All rights reserved NTT Corporation ©, 200855

日本のＣＳＩＲＴ事情
z セキュリティ・インシデントへの迅速な対応
が単独のCSIRTでは困難になってきている･･･{ 日本国内の企業事情を巧みに利用する攻撃{ 対応ノウハウの蓄積が難しいターゲット型攻撃z 国内CSIRTの活動も活発化し、個々のチーム同士での連携が進んできている

これ迄にない高いレベルの緊密な連携体制
で、共通の問題を解決していく場が必要！
All rights reserved NTT Corporation ©, 200856

日本シーサート協議会■日本シーサート協議会が設立・始動（2007.4～）。
■初期メンバ： JPCERT/CC, IIJ-SECT, HIRT,SBB-SIRT, JSOC, NTT-CERT【主な活動】{インシデント情報、対応手法等の情報共有{国内のCSIRT構築等の支援{社会的かつ、CSIRT間に共通する課題解決に向けたワークグループ（WG）活動{様々な場の提供
z異なるCSIRT同士の交流の場
zCSIRTのあり方に関する議論の場
All rights reserved NTT Corporation ©, 200857

日本シーサート協議会のＷＧ活動＜組織内シーサート課題検討 WG＞
シーサート協議会のメンバー、及び組織内シーサートの構築や運用を考えている方々とのディスカッションを通じ、組織内シーサートの構築や運用に必要な課題を抽出する。その上で、それらの課題に対応した、各シーサートの活動の一助ともなる、シーサート構築及び運用に必要なマテリアル等の作成を目指す。
＜脅威情報共有 WG＞
緊密かつ信頼関係のあるシーサート間においてコンピュータセキュリティ
インシデントに関する脅威情報を共有する。
＜CSIRT FACT SHEET WG＞
日本国内の各シーサートの活動の背景情報(目的、組織内での位置、権限、人員、予算など)を整理して共有することで、既存のチームの改善や、新しいシーサート構築の支援に役立つ資料の作成を目指す。
All rights reserved NTT Corporation ©, 2008

出典： http://www.nca.gr.jp/activity/index.html

58

<Conclusions>●「システム・セキュア化」と「セキュリティ運用強化」の両輪で・・・
攻撃側の“プロ化”や分業化”に対し、防御側は技術（検知・分析・対策）の高度化、内外の組織連携を機軸とした継続的な対応で迎え撃つ！

●信頼の輪を通じて、「いち早く、適材適所かつ、セキュア」に・・・《組織の内》 セキュリティ関係者による連携プレイ、関連ノウハウの蓄積《組織の外》 世界中のセキュリティ専門家組織と協調して諸問題を解決●「人は石垣、人は城！」All rights reserved NTT Corporation ©, 200859【連絡先】
cert@ntt-cert.org
0422-59-7800
https://www.ntt-cert.org/
All rights reserved NTT Corporation ©, 200860