IBM Security Systems

止まらない！ウェブ改ざんの実態と対策

Tokyo SOCから見たウェブ改ざんの実態
日本アイ・ビー・エム株式会社
Tokyo Security Operation Center窪田 豪史
2013/8/22
1© 2012 IBM Corporation

止まらない！ウェブ改ざんの実態と対策－ Tokyo SOCから見たウェブ改ざんの実態

自己紹介
 企業・組織のネットワークにセキュリティー機器を配置、発生するアラートをSOCへ集約 アラートをSOCが分析し、必要に応じてお客様へご連絡、対応を助言
Security Operation Center (SOC)

お客様ネットワーク
ネットワーク上に設置した侵入防御システム（IPS）
検知イベント

イベントの解析
お客様ITインフラシステム2

止まらない！ウェブ改ざんの実態と対策－ Tokyo SOCから見たウェブ改ざんの実態

本日のご説明内容
クライアントPCに対する攻撃の実態
Webサイト改ざんの増加とクライアントPCに対する攻撃の関係
Webサイト改ざんの実態と事例のご紹介
対策の考え方改ざんが発生してしまった場合の対応

3

止まらない！ウェブ改ざんの実態と対策－ Tokyo SOCから見たウェブ改ざんの実態4

止まらない！ウェブ改ざんの実態と対策－ Tokyo SOCから見たウェブ改ざんの実態“見ただけウイルス感染”の流れ
1. 改ざんされたサイトにアクセス
2. 攻撃サーバーに接続させられ、クライアントPCにインストールされているソフトウェアやバージョンを調査
攻撃の流れ

無
脆弱性の有無攻撃終了（影響なし）

有
3. 脆弱性を悪用するコードを実行
4. 情報窃取系ウイルスがダウンロードされ、自動的に感染

アカウント情報などを窃取
5. ウイルスが偽セキュリティーソフトをダウンロードし自動的に感染
5

止まらない！ウェブ改ざんの実態と対策－ Tokyo SOCから見たウェブ改ざんの実態

クライアントPCに対する攻撃の検知数推移
 2013年1月以降、攻撃検知数が増加
 2013年上半期は、2012年下半期比 約 4.2 倍の攻撃を検知

約4.2倍

3,972 件

956 件

6

ドライブ・バイ・ダウンロード攻撃の月別検知数推移（Tokyo SOC調べ ： 2012年7月1日～2013年6月30日）

止まらない！ウェブ改ざんの実態と対策－ Tokyo SOCから見たウェブ改ざんの実態

攻撃の増加は日本のウェブサイト改ざんの増加が要因なのか？
ある組織における攻撃発生要因の調査 （2013年3月～6月）

105件 の攻撃サーバーへの接続を検知
攻撃の要因は、38 の改ざんされたWebサイトの閲覧と判明
このうち 37サイト が日本語のWebサイト改ざんのパターンから、全て2013年に改ざんされたサイトと判断

7 実際に、改ざんされた日本のWebサイトの閲覧が攻撃増加の要因となっている

止まらない！ウェブ改ざんの実態と対策－ Tokyo SOCから見たウェブ改ざんの実態

JPCERT/CC 様へ寄せられたウェブ改ざん報告件数との比較
ウェブサイト改ざん届け出数とクライアントPCへの攻撃数は概ね連動している8

止まらない！ウェブ改ざんの実態と対策－ Tokyo SOCから見たウェブ改ざんの実態

改ざんされているWebサイトの実態
改ざんはWebサイトのジャンルや規模によらず発生
クラウドサービスやレンタルサーバーで運用されているサイトの改ざん事例が多い
ジャンル
・ゴルフ
・美容・旅行・バーベキュー
・セミナー情報
・鉄道

運用インフラの形態
・ランニング・葬儀・運輸・自動車
・学校
・投資情報規模・個人サイト
・大手企業
・著名なE-Commerceサイト
9

その他
34%
クラウドサービス
レンタルサーバー66%

止まらない！ウェブ改ざんの実態と対策－ Tokyo SOCから見たウェブ改ざんの実態

Webサイト改ざん事例 – 被害の概要
概要

Webサイト内の特定のページに、不正なJavaScriptが挿入された
改ざん方法

１． CMS(Movable Type)の脆弱性を悪用され、データベースの認証情報が漏えい
２． 漏えいした認証情報を悪用して外部（海外）からFTPサーバーへログインされ、特定のディレクトリのコンテンツが置き換えられた
原因

・ 古いバージョンのCMSを継続して利用していた・ 任意の外部IPアドレスからのFTP接続が許可されていた－ FTPの接続元制限は実施していた－ しかし、利用しているレンタルサーバーの仕様により、特定のディレクトリのみ接続元制限の対象外となっていた
10

止まらない！ウェブ改ざんの実態と対策－ Tokyo SOCから見たウェブ改ざんの実態

Webサイト改ざん事例 – 具体的な改ざん内容
コンテンツファイル内に長大な JavaScript コードが挿入されていた <!--0c0896--> や <!--ded509--> のようなコメントが挿入される（カラーコード改ざん）

11

止まらない！ウェブ改ざんの実態と対策－ Tokyo SOCから見たウェブ改ざんの実態

最近のWebサイト改ざんのパターン – 1/2
counter.phpへ接続するiframeの挿入 コンテンツファイルの末尾へ不正な iframe を挿入

12

止まらない！ウェブ改ざんの実態と対策－ Tokyo SOCから見たウェブ改ざんの実態

最近のWebサイト改ざんのパターン – 2/2
悪意あるApacheモジュール「Darkleech」による改ざん
 Webサーバーに悪意あるモジュールが設置される
 クライアントPCへのコンテンツ提供時に、動的に不正な iframe を挿入• コンテンツ自体は改ざんされていない点に注意

13

止まらない！ウェブ改ざんの実態と対策－ Tokyo SOCから見たウェブ改ざんの実態

Webサイト改ざんパターン その他の特徴
Webサイト内のあらゆるファイルが改ざん対象になっている
コンテンツファイルの確認だけでは発見できない場合がある
改ざんされるファイル

14コンテンツファイルの書き換え
以外の改ざん・HTML ファイル・JavaScript (.js) ファイル・PHP（.php）ファイル
・CSS（.css）ファイルなど

Webサーバーの管理者権限を乗っ取られ、不正なWebサーバーのモジュールを設置されている場合がある

トップページや HTMLファイルだけでなく、あらゆるコンテンツファイルの確認が必要

コンテンツファイルだけでなく、不審なモジュールが存在していないかの確認が必要

止まらない！ウェブ改ざんの実態と対策－ Tokyo SOCから見たウェブ改ざんの実態

Webサイトの改ざんの方法
攻撃（侵入の試み）
各レイヤーで侵入を防止するアプローチ
が必要

侵入成功

情報の窃取・個人情報・クレジットカード情報
15

改ざん
・設定の書き換え・スクリプト埋め込み✔ 変更管理プロセスの運用✔ 監査ポリシーの策定- 改ざん検知ツール検討

止まらない！ウェブ改ざんの実態と対策－ Tokyo SOCから見たウェブ改ざんの実態

侵入防止のアプローチ
1
Webアプリケーションの脆弱性

1 ・脆弱性診断(インフラ & ウェブアプリ)-定期診断-新規および変更時診断
・セキュアプログラミング

2
2

CMSの脆弱性ミドルウェアの脆弱性

3・パッチの適用
・侵入防御システム(IPS)での防御

4

サーバーでの対策
・強固な認証方法の使用・管理アクセスの制限
・IPSやWAFによるブルートフォー
ス・アタック等のアカウント奪取の試みの防御

3

サーバーOSの脆弱性
4 管理アカウントの奪取

サーバーでの対策
管理用PCでの対策
16

・ウェブ・アプリケーションの改修
・ウェブ・アプリケーション・ファイアウォール (WAF)での防御管理用クライアントPCでの対策・パッチの適用・アンチウィルス
・PCの限定・固定

止まらない！ウェブ改ざんの実態と対策－ Tokyo SOCから見たウェブ改ざんの実態

管理アクセスの制限
SSHやFTPサーバーへの辞書/総当たり攻撃の送信元となっている日本のIPアドレスは全体の 0.34％
管理通信の送信元を日本に限定するだけで、攻撃の99.66%を遮断可能

17

SSHおよびFTPサービスに対する辞書/総当たり攻撃の送信元となった
IPアドレスの国別の検知割合 （Tokyo SOC調べ ： 2013年1月1日～2013年6月30日）

止まらない！ウェブ改ざんの実態と対策－ Tokyo SOCから見たウェブ改ざんの実態

管理用クライアントPCの保護
不正サーバーからの攻撃では、主に Oracle JRE、Adobe Reader の脆弱性が狙われる
 その他、Adobe Flash Player、Internet Explorer の脆弱性

パッチ適用を徹底することで、ウイルス感染を防止可能

18

ドライブ・バイ・ダウンロード攻撃で悪用されている脆弱性別の攻撃数割合（Tokyo SOC調べ ： 2013年1月1日～2013年6月30日）

止まらない！ウェブ改ざんの実態と対策－ Tokyo SOCから見たウェブ改ざんの実態

万が一改ざんされてしまった場合負の連鎖を断ち切るために….

可能な限り早く、広範囲に周知することをご検討ください
改ざん原因を調査し、正しい対策を実施してください19