産業分野を含むサイバー攻撃対策実務、特にデジタル・フォレンジックの５Ｗ１Ｈとは2016年12月
株式会社サイバーディフェンス研究所 専務理事／上級分析官
デジタル・フォレンジック研究会 理事

名和 利男「情報通信システム」と「産業制御システム」における加速度的な変化認識すべき現場の実態

2

「一体型」から「分割型」へ

メインフレーム

PCサーバ
応用ソフトウェア

専用
ソフトウェア専用
ソフトウェア専用
ハードウェア

応用ソフトウェア

Windows系OS
Linux
FreeBSD

Windows系OS
Linux
FreeBSD

X86サーバIA‐64サーバ

応用ソフトウェア

専用
ソフトウェア専用
ハードウェアX86サーバIA‐64サーバ

専用
ハードウェア

Windows系OS
Linux
FreeBSD

X86サーバIA‐64サーバ3

Copyright © 2016 Cyber Defense Institute, Inc. All rights reserved.

「一体型」から「分割型」へ

メインフレーム

PCサーバ
応用ソフトウェア

専用
ソフトウェア専用
ソフトウェア専用
ハードウェア専用
ハードウェア専用
ソフトウェア専用
ハードウェア異なるプラットフォームで感染させにくい（費用対効果が低い）

Copyright © 2016 Cyber Defense Institute, Inc. All rights reserved.

応用ソフトウェア

Windows系OS
Linux
FreeBSD
X86サーバIA‐64サーバ

Windows系OS
Linux
FreeBSD

X86サーバIA‐64サーバ

Windows系OS
Linux
FreeBSD

X86サーバIA‐64サーバ

同じプラットフォームで感染拡大できる（費用対効果が高い）

4

P2P（利用者間通信）からM2M（マシン間通信）へ

P2P（Peer‐to‐Peer）

IoT（Internet of Things）

M2M（Machine‐to‐Machine）

5

Copyright © 2016 Cyber Defense Institute, Inc. All rights reserved.

P2P（利用者間通信）からM2M（マシン間通信）へ

P2P（Peer‐to‐Peer）「人間」を騙す（費用対効果が低い）
IoT（Internet of Things）

M2M（Machine‐to‐Machine）「マシン」のプログラムに侵害（費用対効果が高い）

Copyright © 2016 Cyber Defense Institute, Inc. All rights reserved.

6

「急増するデータ量」

7

Copyright © 2016 Cyber Defense Institute, Inc. All rights reserved.

「急増するデータ量」

独自のプラットフォームで感染させにくい（費用対効果が低い）

同じプラットフォームと興味を引くアプリで感染させやすい（費用対効果が高い）

Copyright © 2016 Cyber Defense Institute, Inc. All rights reserved.

8

「集中化するデータ」と「大規模なID管理」

ＩＤ管理

クラウドサービス

ビッグデータ9

Copyright © 2016 Cyber Defense Institute, Inc. All rights reserved.

「集中化するデータ」と「大規模なID管理」

ＩＤ管理

クラウドサービス

ビッグデータターゲットが「分散した異なる領域」（費用対効果が低い）

Copyright © 2016 Cyber Defense Institute, Inc. All rights reserved.

ターゲットが「データの集中化したシステム」のみ（費用対効果が高い）10

劇的に変化するサイバー攻撃対策

サイバー攻撃対策の実務について

11

サイバー攻撃対策の実務 - 全体
事前対応

事中対応

事後対応

サイバー脅威リサーチ

セキュリティイベント分析

コンピュータフォレンジック• 情報インフラのログ分析• 内部関係者による脅威の検知• ログの相関分析と特徴抽出• ネットワーク及びコンピュータのポリシー違反検知• ネットワークフォレンジックとプロト
コル分析

ペネトレーションテスト

インシデントハンドリング

他者とのコミュニケーション• ネットワークペネトレーションテスト
• ソーシャルエンジニアリングテスト• アプリケーションテスト

• インシデントハンドリングプロセス

脆弱性マネジメント

マルウェア解析• ゼロデイ攻撃リサーチ• サイバー攻撃（犯罪）プロファイリング
• 新たなる脅威のリサーチ• 脆弱性のスキャニング• 脆弱性の評価• 脆弱性の改善（検知 → トリアージ → 対処）• 専任チームによる運用• 事前訓練（模擬演習）• マルウェアの収集• マルウェアの解析（呼び出しAPI、レジストリ変更、プロセス等の調査等）• 特定マルウェア（Web感染型、ファイル感染型）の解析

Copyright © 2016 Cyber Defense Institute, Inc. All rights reserved.

• 上位レイアに対するレポート• 他領域の理解と連携• 国際連携（複数言語を使用）

ソリューションエンジニアリング• セキュアネットワークデザイン• 情報セキュリティコントロールデザイン• カスタムオートメーション開発
12

サイバー攻撃対策実務 - 事前対応•「サイバー脅威リサーチ」
–

WHAT
•

さまざまな情報（Open Source Information）の収集、整理統合、分析、評価とレポーティング。
主に、攻撃メカニズムの解明と影響度評価• 攻撃者コミュニティへの入り込み、その活動観察、動向評価及び報告• 人的ネットワークの徹底的な構築

–WHO•
•

•

「ペネトレーションテスト」
–WHAT
•
•
•

–

攻撃技術の深い理解と実施可能
システム及びネットワークの構築及び運用に関する経験と深い知識
人間行動に関する特性理解と客観的な観察

WHO
•
•

•

高い倫理観と強い目的意識 ⇐ 役職とプロジェクト責任の付与
多分野の文化、常識、価値観の理解 ⇐ 他分野コミュニティの参加や国際カンファレンスへの積極的な参加

攻撃技術の理解と実行可能 ⇐ 興味ある技術領域に関する作業割り当て 等
システム及びネットワークの構築及び運用に関する業務経験 ⇐ 出向、転職（中途採用）等「脆弱性マネジメント」
–

WHAT
•
•

–

ソフトウェアに関する構造の理解
ソフトウェアの運用特性の理解、及び業務（運用）への影響度評価

WHO•

ソフトウェア開発の業務経験 ⇐ 出向、転職（中途採用）等

Copyright © 2016 Cyber Defense Institute, Inc. All rights reserved.

13

サイバー攻撃対策実務 - 事中対応•

「セキュリティイベント分析」
–WHAT
•
•

–WHO••••

攻撃技術の理解と実行可能 ⇐ 興味ある技術領域に関する作業割り当て 等
ネットワーク及びシステムの監視の業務経験 ⇐ 出向、転職（中途採用）等
最低限必要なツールの自己開発 ⇐ プログラム開発の教育機会の提供「インシデントハンドリング」
–WHAT
•
•
•

–

インシデントハンドリングの基本的プロセスの理解
レスポンダーズマインド（Responder’s mind）の醸成
管轄領域の業務に関するプロセス及び環境の理解と一定レベルの影響力の保有

WHO•
•

•

ネットワーク及びシステムの監視業務の経験と深い知見・ノウハウ
監視装置等の出力データの収集、分析、評価及び報告

CSIRT と知見・ノウハウの習得 ⇐ CSIRT 構築 及び CSIRT コミュニティへの参加
インシデント対応の経験 ⇐ サイバー演習の実施或いは積極的な参加「マルウェア解析」
–WHAT
•
•
•

–

ハードウェア及び基本ソフトの徹底的な構造理解プログラム開発及びネットワーク構築に関する深い知見とノウハウ
解析技術及びツールの理解と活用

WHO••
•

プログラム開発及びネットワーク構築に関する経験 ⇐ 自前サーバの構築及び運用 等
解析作業に対する強い興味 ⇐ 興味を持つ作業の割り当て
最新技術と動向の情報収集 ⇐ 国際カンファレンスへの積極的な参加

Copyright © 2016 Cyber Defense Institute, Inc. All rights reserved.

14

サイバー攻撃対策実務 - 事後対応•

「コンピュータフォレンジック」
–WHAT
•
•

–

WHO
•
•
•

•

解析作業に対する強い興味 ⇐ 興味を持つ作業の割り当て
コンピュータフォレンジックの現場経験 ⇐ フォレンジック経験者の活動への同行と支援
最新技術と動向の習得 ⇐ 国際カンファレンスへの積極的な参加「他者とのコミュニケーション」
–WHAT
•
•
•

–

他のレイア層（マネジメント、他の事業分野、安全保障、政府関連 等）の内情理解
複数の言語能力（英語、中国語、ロシア語、スペイン語、韓国語 等）
他国のエキスパートとのコミュニケーション維持

WHO
•
•

•

ハードウェア及び基本ソフトの徹底的な構造理解
フォレンジック技術とツールの理解と活用

国際コミュニケーション能力向上 ⇐ 国際的なコミュニティ及びカンファレンスへの積極的な参加
言語能力教育 ⇐ 多国語スクールへの入学「ソリューションエンジニアリング」
–WHAT
•
•

–

最新のソリューションプロダクト及びサービスの深い知識と実装に関する知見
セキュリティを意識した開発手法の知見と実装経験

WHO••

製品及びサービスに関する知識習得 ⇐ さまざまなカンファレンスやセミナーへの積極的な参加
改善提案の立案と実施支援の経験 ⇐ ソリューションエンジニアリング経験者の活動への同行と支援

Copyright © 2016 Cyber Defense Institute, Inc. All rights reserved.

15

例：「サイバー攻撃リサーチ」の活動（例）•

恒常的なリサーチ業務
–––––

•

確認するサイバー脅威に関する記事： 200以上／1日
作成するサイバー脅威インテリジェンスレポート： 3つ以上／1ヶ月
国際的なエキスパートとやり取り： 4通以上／1日、5コール以上／1週間
国際的なコミュニティ活動時間： 5時間以上／1週間
国際カンファレンスへの参加回数： 4回以上／1年

最近のサイバー攻撃（米国：APT、日本：標的型攻撃）の挙動メカニズムに関するリサーチ（一般化したもの：一部）

Copyright © 2016 Cyber Defense Institute, Inc. All rights reserved.

16例：「（現場の）インシデントハンドリング」の活動•「インシデントの検知（Detect）」に関するプロセス設計

17

Copyright © 2016 Cyber Defense Institute, Inc. All rights reserved.

例:「（組織全体の）インシデントマネジメント」の活動
CSIRT体制に実務能力なし

端緒
情報1
端緒
情報2
端緒
情報3

推測1

調査1‐1
調査1‐2

推測2

調査2

推測3

ｲﾝｼﾃﾞﾝﾄ
調査3‐1
判断
調査3‐2
調査3‐3 手戻り

推測4

調査2‐1
調査2‐2

調査5‐1
推測5
調査5‐2
調査5‐3
調査5‐4
手戻り
推測6
調査6

影響1’
影響
1
影響2
影響
3

CSIRT体制に実務能力あり
推測1

調査1‐1
調査1‐2

推測2

調査2

端緒
情報2

推測3

端緒
情報3

調査3‐1
調査3‐2
調査3‐3

推測4

調査2‐1
調査2‐2

対処1

影響1’
影響
1

影響1’’
影響1’’’

対処2

影響2’
対処3
影響3’
影響3’’
手戻り

対処4
対処5

端緒情報1

推測5

調査5‐1
調査5‐2
調査5‐3
調査5‐4

ｲﾝｼﾃﾞﾝﾄ
判断

影響2

推進

影響
3

対処1

影響1’’
影響1’’’

対処2

影響2’
対処3
影響3’
影響3’’
推進

対処6

対処4
対処5
対処6

推測6

調査6
推進

*認識が可能な領域（太文字）が少なく、認識が不能／困難な領域が多い（薄文字） → 手戻りが多い*網羅性の高い認識が可能 → 手戻りが少ない 端緒情報、推測、調査、影響評価のすべてにおいて、発生可能性のあるサイバー攻撃に対する対処が限定的或いは的外れとなる。
 そのため、サイバー攻撃が発生した場合、潜在化及び残存する攻撃挙動への対応が事実上できないため、被害が甚大化する。

 端緒情報、推測、調査、影響評価の充足度が向上し、発生可能性のあるサイバー攻撃に対する対処の網羅性及び適切性が高まる。
 サイバー攻撃が発生した場合、潜在化及び残存する攻撃挙動が局限化でき、被害が限定的になる。

Copyright © 2016 Cyber Defense Institute, Inc. All rights reserved.

18例： 「他者とのやり取り」（民間ベースの国際的・国内連携）
IOCE

ITU

ICPO

FIRST

APWG

UN / IGF

National CSIRT

NATO

ISO

ICS‐CERT

TF‐CSIRT
US‐CERTTERENA

ISAC
IDF

NCA

JANOG

ISAC

OIC‐CERTNANOG

ASEAN CERTPACCERT

APRICOT

CLARA WG‐CSIRTAFNOG/AfriNIC
APCERT
Copyright © 2016 Cyber Defense Institute, Inc. All rights reserved.

19

研究会１の議論「産業分野を含むサイバー攻撃対策実務、特にデジタル・フォレンジックの５Ｗ１Ｈとは」20

産業分野を含むサイバー攻撃対策実務、特にデジタル・フォレンジックの５Ｗ１Ｈとは•いつ（When）•

どこで（Where）•だれが（Who）•

なにを（What）•

なぜ（Why）•

どのように（How）

Copyright © 2016 Cyber Defense Institute, Inc. All rights reserved.

21

本資料に関する連絡先

名和 利男（Toshio NAWA）
情報分析部 部長／上級分析官

サイバーディフェンス研究所
e. nawa@cyberdefense.jp
t. 03-3242-8700
w. www.cyberdefense.jp (office)www.cirt.jp (response team)

Copyright © 2016 Cyber Defense Institute, Inc. All rights reserved.

22