日本セキュリティオペレーション事業者協議会

セキュリティオペレーションとインシデントレスポンスの蜜月
日本セキュリティオペレーション事業者協議会（ＩＳＯＧ−Ｊ）
セキュリティオペレーション認知向上・普及啓発WGリーダー
ＮＴＴセキュリティ・ジャパン株式会社
アナリストチームリーダー ／ セキュリティプリンシパル

阿部 慎司
1

© 2017 ISOG-J

日本セキュリティオペレーション事業者協議会• 阿部慎司‒ 日本セキュリティオペレーション事業者協議会（ISOG-J）
セキュリティオペレーション認知向上・普及啓発WG（WG4）リーダー‒ NTTセキュリティ・ジャパン SOCアナリストリーダー‒ NTTグループ セキュリティプリンシパル• 個人の活動‒

http://www.security-design.jp/‒ セキュリティアイコンをパブリックドメイン提供

2© 2017 ISOG-J日本セキュリティオペレーション事業者協議会

セキュリティ対応実行サイクル
長期サイクル実行

Activation
短期サイクル

導入

運用

Installation

対応

Operation

Response

見直し

Feedback
参照︓ISOG-J『セキュリティ対応組織（SOC/CSIRT）の教科書』P43© 2017 ISOG-J

日本セキュリティオペレーション事業者協議会

セキュリティオペレーションとインシデントレスポンス

CSIRT

SOC
ネットワーク

運用

Operation

ネットワーク中心のセキュリティ監視における課題
4

対応

エンドポイント

Response

エンドポイントのセキュリティ対応における課題© 2017 ISOG-J日本セキュリティオペレーション事業者協議会

運用Operation

1.

ネットワーク中心のセキュリティ監視における課題

見えない（通信の中身が）••2.

HTTPSの普及
マルウェア独自の暗号通信見てない（監視対象NW以外で接続）••

3.

リモートワーク
公衆Wi-Fi、テザリング

見ようがない（通信が出ない、正常通信と区別がつかない）
•
•

内部感染
正規Webサービスを活用した悪性通信

5© 2017 ISOG-J

日本セキュリティオペレーション事業者協議会

対応

Response1.

ない（そこにあるはずの被害端末が）
•
•

2.

DHCP
フリーアドレス

いない（判断、対処できる人が）
••

3.

夜間、休日
属人化

わからない（今起こっている正しい状況が）••6

エンドポイントのセキュリティ対応における課題

判断材料不足判断スキル不足© 2017 ISOG-J日本セキュリティオペレーション事業者協議会

エンドポイントレスポンス（ＥＤＲ）
有効活用のひとつの理想形
EDR概念図インターネット運用•Operation

SOC

見えない（通信の中身が）• エンドポイント側で検知•見てない（監視対象NW以外で接続）• 社外からでもEDRサーバにつながるように設定•

見ようがない（通信が出ない、正常通信と区別がつかない）• エンドポイント側で挙動を確認

EDR
管理サーバ

対応

Response• ない（そこにあるはずの被害端末が）• EDR管理サーバで一元的に管理• いない（判断、対処できる人が）• 24/365のSOCから一次対処

社内（論理隔離、プロセスキル等）• わからない（今起こっている正しい状況が）• NWとエンドポイント両方でデータ収集（現行MSS＋EDRというイメージ）

社外

現実にこのレベルまで昇華するには製品が成熟していない、SOCの実績が不足している、といった課題がある

7© 2017 ISOG-J

日本セキュリティオペレーション事業者協議会

そもそも自組織はどのくらいちゃんとやれているのだっけ…
セキュリティ対応組織
成熟度セルフチェックシート
http://isog-j.org/output/2017/Textbook_soc-csirt_v2.html

自組織の強み、弱みや将来に向けた改善点が可視化されます。
8© 2017 ISOG-J日本セキュリティオペレーション事業者協議会

SOC

CSIRT
運用

Operation

対応

Response

緊急対応サービス（フォレンジック等）

対応領域が重なり、より密接に関連。
情報連携が今まで以上に重要に。
9© 2017 ISOG-J

日本セキュリティオペレーション事業者協議会

情報共有を出発点としたセキュリティ対応
情報共有

対応不要

初動対応要否判断

検知および分析

検知なし

準備（予防）

事件後の対応対応が必要

検知あり
封じ込め/根絶/復旧

参照︓ISOG-J『サイバーセキュリティ情報共有の「5W1H」 』P4
10© 2017 ISOG-J日本セキュリティオペレーション事業者協議会

情報共有を出発点としたセキュリティ対応
発見する目線で欲しい情報の例• 攻撃の特徴• 攻撃に関する具体的なインジケーター

情報共有

対応不要

初動対応要否判断

検知および分析

検知なし

対処する目線でほしい情報の例• 攻撃を無効化する方法• 安全だと確認する方法

検知あり
封じ込め/根絶/復旧

事件後の対応対応が必要同じ事象への対応でも目的の違いにより、欲しい情報は異なる。
準備（予防）

11© 2017 ISOG-J

日本セキュリティオペレーション事業者協議会

情報の受け渡しにおいてお互いに明確にすべき点
サイバーセキュリティ情報共有における 5W1H
発信側

受信側

Why

何を目的に何を目的にWhen

どのようなタイミングでどのようなタイミングでWhat

何の情報を何の情報をWhere

どの情報共有の場においてどの情報共有の場から得てWho

誰が誰がHowどのように発信するのかどのように活用するのか

参照︓ISOG-J『サイバーセキュリティ情報共有の「5W1H」 』P2
12© 2017 ISOG-J日本セキュリティオペレーション事業者協議会

情報共有のトライアングル（ジレンマ）•

例 攻撃に関する情報として特定の IP アドレスが提示されたものの、他にも 関連していたIP アドレスが多数あったことがあとから判明する

早さ

正確性

早くて正確なものは網羅性に問題が出る

網羅性

早さ、正確性、網羅性はいずれか 2 つしか満たせない•

早くて網羅的なものは正確性に問題が出る
例 攻撃に関連する情報として多数のドメインが提示されていたものの、無害 なドメインも含まれてしまっている•

正確で網羅的なものは早さに問題が出る
例 攻撃に関連する情報として、IP アドレスもドメインも抜け漏れなく、正確 に整理されたものが提示されるのは、しばらく時間がたってからである

お互いによく理解して、建設的なフィードバックをする関係を構築していきましょう

参照︓
・27th Annual FIRST Conference (2015), Lightning Talk: "Four Easy Pieces", Tom Millar (US-CERT, NIST)
・ISOG-J『サイバーセキュリティ情報共有の「5W1H」 』P15

13

© 2017 ISOG-J

まとめ

日本セキュリティオペレーション事業者協議会
ネットワーク中心のセキュリティ監視における課題

エンドポイントのセキュリティ対応における課題

1. 見えない（通信の中身が）
2. 見てない（監視対象NW以外で接続）
3. 見ようがない（通信が出ない等）

SOC

1. ない（そこにあるはずの被害端末が）2. いない（判断、対処できる人が）3. わからない（今起こっている正しい状況が）ネットワークとエンドポイントの両方を監視

MSS+EDR

CSIRT

緊急対応サービス（フォレンジック等）

情報共有

初動対応要否判断

対応不要

検知あり
封じ込め/根絶/復旧

14

検知なし

準備（予防）

事件後の対応対応が必要
検知および分析

情報連携の際は、お互いに目的や求めている情報を明確に。

情報共有を出発点としたセキュリティ対応を意識。

発信側

受信側

Why

何を目的に何を目的に

When

どのようなタイミングでどのようなタイミングでWhat

何の情報を何の情報をWhere

どの情報共有の場においてどの情報共有の場から得てWho

誰が誰がHow

どのようにどのように発信するのか活用するのか© 2017 ISOG-J日本セキュリティオペレーション事業者協議会

ISOG-J成果物に対するフィードバックのお願い• ご意見ご要望お待ちしています︕• https://goo.gl/NK9A6L‒ 常時受け付けております‒ 匿名での投稿が可能です15© 2017 ISOG-J

日本セキュリティオペレーション事業者協議会(アイコン画像提供) http://www.security-design.jp/
・本資料の著作権は日本セキュリティオペレーション事業者協議会（以下、ISOG-J）に帰属します。
・引用については、著作権法で引用の目的上正当な範囲内で行われることを認めます。引用部分を明確にし、出典が明記されるなどです。
・なお、引用の範囲を超えると思われる場合もISOG-Jへご相談ください（info （at） isog-j.org まで）。
・本文書に登場する会社名、製品、サービス名は、一般に各社の登録商標または商標です。®やTM、©マークは明記しておりません。
・ISOG-Jならびに執筆関係者は、このガイド文書にいかなる責任を負うものではありません。全ては自己責任にてご活用ください。

16© 2017 ISOG-J