標的型攻撃に強いネットワークソリューション

葛生 晋一
公共システムズエンジニア
シスコシステムズ合同会社
2014年 8月20日

学術機関をターゲットとした攻撃の実態
GhostShellと名乗るグループにより国内の複数の有名大学がサイバー攻撃を受け数千件を超える個人情報漏洩が発覚••••

漏洩した情報は本当に個人情報だけなのか？
最先端の学術機関として研究論文等の情報漏洩の可能性は？
少子化に伴う競争の中で学校の評判を下げないか？
グローバル化を目指すに従い海外の学生や企業からみて評判を下げないか？

資産価値の高い情報資産© 2013-2014 Cisco and/or its affiliates. All rights reserved.

学術機関のブランド

グローバル化
Cisco Confidential2はじめにIPAの「標的型メール攻撃」対策に向けたシステム設計ガイドに加え必要と考える２つの追加対策についてご提案いたします

２つの追加対策

マルウェア感染に対する証跡機能「システム設定ガイド」で述べられている対策に加え今後必要性が増すであろう新しいセキュリティ対策についてご紹介いたします。

アプリケーションの認知とコントロール© 2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

3

システム設計ガイドに加え必要と考える追加対策
本日の実施テーマ概要

1

2

マルウェア感染に対する証跡機能

アプリケーションの認知とコントロール

 マルウェアの脅威を100％ 防ぐことができない現在、感染してしまうことを前提としてシステムのファイルI/Oに対する証跡機能が必要です。

 様々な脅威に対応するために、ネットワーク通信内容からアプリケーション、OSを判別することで、有効なセキュリティ対策を実装するための付加情報が必要です。

 また、証跡のみではなく、ユーザが既存知識で状況を把握できるための分かりやすい可視化のしくみを実装する必要があります。

© 2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

4

1.
マルウェア感染に対する証跡機能の必要性© 2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

5ある瞬間の対策だけでなく継続的な対策も必要
Point-in-time でのセキュリティ対策の限界
ネットワークレベルのセキュリティ対策

ファイアウォール

IPS

端末レベルのセキュリティ対策

Point-in-time

サンドボックスStop

防ぎきれない！

URLフィルタ アンチスパム

ネットワークの見える化と制御••••

スリープテクニック
サンドボックス回避
AV シグニチャの遅延
ゼロデイ

Stop

アンチウイルス
ソフト

レトロスペクティブ• クラウドリコール• トラジェクトリ

既存の Point-in-time 対策に加え、「レトロスペクティブ」なら過去に遡り、ある瞬間だけの対策との差分を埋めます© 2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

6マルウェアに感染した際の一般的な対応

発覚

調査

復旧

対策

通常、何らかの情報漏えいや不正通信の検知などで発覚

調査会社に依頼しても現状が把握できるのみ

調査会社に依頼
もしくは社内ITが担当

感染原因を元に対策を実施。
パッチ適用やバージョンアップ、不要なアプリケーションの削除など

感染
マルウェアは日々巧妙化

どの情報が漏えいしたか、いつ感染したか、感染原因は何か、などは不明
また、社内の他のパソコンへの拡散情報も調査が必要© 2013-2014 Cisco and/or its affiliates. All rights reserved.

1台10万円程度の復旧費用（良心的な会社であれば、調査費用に含まれるが、社内に1000台パソコンがある場合、すべてのパソコンの調査費用は単純計算で1億円）

Cisco Confidential

7マルウェアに感染した際の実情

感染

発覚

調査

復旧

対策

50％のマルウェアがすり抜けてしまう事をご存じですか

IPS 等を導入してトラフィックの検査を行っていなければ、発覚はどんどん遅くなります

調査費用は、経費としてあらかじめ計上されていますか

復旧費用が捻出できず、大事なファイルを消すことになっていません
かOS を入れ直すだけで、同じ脆弱性を突かれて、別なマルウェアに再感染していませんか

できるだけ早くパターンを提供するシステムが必要です© 2013-2014 Cisco and/or its affiliates. All rights reserved.

自己消滅及びログの改ざんを行うマルウェアがあることをご存じですかもしくは、危険を承知で元のファイルを検査もせずに使い続けていませんか

Cisco Confidential8

アンチウィルスだけではダメ？


アンチウィルスの得意な領域


検体とまったく同一でないウィルスでも検知できる可能性がある(パターンファイル)

アンチウィルスソフトはシグネイチャ(パターンファイル)モデルです。


シグネイチャが作られていない新規のMalwareに対する対応

所要時間例

1.

パターンファイルが生成

2.

組織内のシグネイチャ管理システムもしくは各PCがダウンロード

Hourly update3.

新しいシグネイチャが各PCに入った状態でのフルスキャン

Daily Full scan

リアルタイムスキャンは基本的に、新規に得たファイルなどに対応するため、潜伏期間を有するようなウィルスや、取得後にウィルスと判定されたマルウェアはフルスキャンが走るまではシグネイ
チャが存在するにもかかわらず検知できない可能性あり---------------------© 2013-2014 Cisco and/or its affiliates. All rights reserved.

対応したパターンファイルも入っているのに駆除できていない状態があり得る

Cisco Confidential9

アンチウィルスだけではダメ？
アンチウィルスでは脆弱性は修復できません

脆弱性を放置できるのはAVソフトがすべてのマルウェアを検知できる前提であれば可能です。しかし、全マルウェアを検知することは現実的には不可能です。

ウィルスそのものを止めることを目的としているため、既存の脆弱性(穴)は残ったままとなり、新規のウィルスの侵入を許してしまう可能性がある
脆弱性を埋めるためには別途脆弱性の元(Javaなど)がなんであるのかを特定する必要がある
ウィルスは毎回異なるものが侵入してくる可能性があり脆弱性のあるアプリ・
OSX

脆弱性の原因を突き止め、アプリやOS側を修復をしないと空いた穴から新たなマルウェアがずっと来る状態。
すべて個別にパターンファイルが必要※アプリ、OS側で直接の修復が難しい
場合はIPSでネットワーク側でBlock

脆弱性の残ったアプリやOSの入ったPC© 2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

10

調査、復旧、対策のために必要な証跡機能
フォレンジック• 専門性の高い技術• コンピュータセキュリティ侵害に対して証跡などから専門技術者が原因を特定する

証跡収集

熟練解析
者の技術

攻撃ポイントの補足、対応、対策

レトロスペクティブ セキュリティ• フォレンジックをより簡単に提供するシステム＋α セキュリティ侵害に対して、予め収集されたログを可視化し誰にでも分かりやすく、原因を特定する• 過去に遡って、マルウェアを発見する© 2013-2014 Cisco and/or its affiliates. All rights reserved.

トラジェクトリクラウド
リコール

Cisco Confidential

11マルウェア対策の今後
Point-in-Time のセキュリティ対策に加え、レトロスペクティブセキュリティを実現するAMP（Advanced Malware Protection)が必要になると考えます。
特に端末側には、挙動の可視化を実現するトラジェクトリ機能が必須です。

アンチウィルス

Point-in-Timeの対策

ふるまい検知サンドボックス端末
ネットワークトラジェク
トリレトロスペクティブ© 2013-2014 Cisco and/or its affiliates. All rights reserved.

端末AMP
AMP： Advanced Malware Protection

ネットワークCisco Confidential

12

前提 レトロスペクティブセキュリティの要、ハッシュ値とは


ハッシュ値とはあるデータ(ファイル)に対して、それを(電子的に)要約した値
 1bitでも異なる元データのファイルがあれば別のハッシュ値が得られる
 要約の手法によって、計算式が異なる。


主要な方式 MD5やSHAなど

例えばある250MBのファイルをMD5で処理すると要約した値として“BDFD5208312751B3C69B4660361A0654”が得られる。

ハッシュ値を使ってできることどのサイズのファイルであっても一意に特定するIDとして使える あるファイルがマルウェアのファイルと同一であるかを確認するにはハッシュ値を比較することで可能※例 OSのダウンロードサイトにハッシュ値が記載してあり、ちゃんとダウンロードできたか確認できます© 2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

13

レトロスペクティブ セキュリティとは？
AMP（Advanced Malware Protection）は、すり抜けてしまうマルウェアを時間を遡って検出し、感染原因を特定します。以下の２つの仕組みにより、マルウェアを隔離、可視化します。

クラウドリコール
一度調査したファイルを覚えておき、合致するマルウェアが見つかった場合に瞬時にそのファイルを隔離する仕組み© 2013-2014 Cisco and/or its affiliates. All rights reserved.

トラジェクトリすべてのファイルの挙動をあらかじめ記録しておき、マルウェア感染時もしくは、過去に通過してしまったマルウェアが見つかった場合に、どの脆弱性を元に感染したのか、どのようなルートで感染したのかを可視化する仕組み
Cisco Confidential

14

レトロスペクティブ：クラウドリコールとは？


クラウド内で管理されている情報に対してステータス変化があった場合に通知する機能です

シスコの場合、リコール対象の判別はハッシュ値（SHA-256）
を使用します

どのサイズのファイルにおいても、一定長のハッシュ値に置き換えることで世界中に存在するすべてのファイルを一意に特定します

このハッシュ値をクラウド上に記録することで、保存したタイミング（初めて調査したタイミング）ではマルウェアとして判定されなくても、後からマルウェアと判定されれば、リコールを行い隔離します

クラウド
リコール

© 2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

15

ファイルのハッシュ値をクラウド上で記憶する
ハッシュ値
クラウド
リコール

1000111010011101 1100001110001110 1001 1101 1110011 0110011 101000 0110 000001110 1001 1101 1110011 0110011 101000 0110 00 0111000 111010011 101
1100001 110
クラウド------------------------------------- 0111010011101------------0100001100001
1100
1100001110001110
1001 1101 1110011 0110011 101000 0110 00-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

マルウェア→自動駆除
信頼できるベンダのファイル
現時点ではマルウェアでないファイル
このファイルが将来マルウェアと判定される可能性がある

ファイルそのものではなくハッシュ値をクラウドで記憶© 2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential16

ファイルを継続して調査する
20万件/日以上

ハッシュ値-------------- ---クラウドビッグデータ解析
1000111010011101 1100001110001110
1001 1101 1110011
0110011 101000 0110 00---- ---クラウド---- ---- ---- ---- ---------リコール（サンドボックス）
0001110 1001 1101 1110011 0110011 101000 ---0111000 111010011
101 1100001 110---- ----00-0110---- ------- ---- ------------------------------------0100001100001
1100
1100001110001110
1101 1110011 0110011 101000 0110 00------------- 0111010011101-------------------1001- ---- ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- ------- ---- ----------！新しく見つかったマルウェアは、XXというファイル名で、YYのディレクトリに保存されているから、駆除AVソフトと異なり、「マルウェアとメーカーにて判定された後のフルスキャン」を待たない積極的な駆除が可能！

継続的してデータを蓄積、調査し新たなマルウェアに対応© 2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

17継続調査の結果、マルウェアを検知
クラウドリコール10.0.0.1
10.1.0.1

この例では17時間ほど前に既存セキュリティを抜けてしまったマルウェアを検知できています

10.0.0.1
10.1.0.1

10.0.0.1© 2013-2014 Cisco and/or its affiliates. All rights reserved.

10.1.0.1

Cisco Confidential

18

レトロスペクティブ：トラジェクトリとは？


直訳すると「軌跡」



操作等で使われる用語で、銃犯罪時の弾道を解析する行為



シスコの場合、トラジェクトリの機能の要素となるデータとして、すべてのファイルの挙動を収集しています。


トラジェクトリ© 2013-2014 Cisco and/or its affiliates. All rights reserved.

ファイルごとに、一意に決まるハッシュ値
どのファイルによって生成されたのか
どのファイルによって実行されたのか
どこへ通信したのか
どのホストに拡散しているか

これらを可視化することで誰にでも分かりやすいレトロスペクティブ セキュリティを実現します。

Cisco Confidential

19

２つのトラジェクトリ
トラジェクトリのキーに何を使うかによって２つの方法がある

ファイルトラジェクトリ

１ファイル(ハッシュ)に着目し、ネットワーク上どのように分散しているかなどを追跡します

デバイストラジェクトリ


１デバイスに着目し、そのデバイス内でどのようなファイルがどのような振る舞いをしているかを追跡します© 2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

20マルウェア感染経路を可視化する：簡易画面

トラジェク
トリ

色：3種類
赤：マルウェア
緑：正規のベンダーのファイル
黒：現時点ではマルウェアとは判定されていないファイル
アイコン：3種類＋ ファイルが作られた〇〇 ファイルが実行された〇 ファイルが通信をした© 2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential21

1. マルウェア感染経路を可視化する：時間軸で分かる①
マルウェアが作られた
トラジェク
トリ

②③

⑤
④
①

マルウェアが何かファイルを作り出し実行した②③④

アクロバットリーダーが通信をした後マルウェアが作られ、さらにアクロバットリーダーがそのマルウェアを実行した⑤

IEでどこかに通信した後PDFをダウンロードしてきた© 2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential22

2. マルウェア感染原因を推理する

トラジェク
トリ

⑤
④①

© 2013-2014 Cisco and/or its affiliates. All rights reserved.

②•

ユーザは何かの方法で悪意のあるサイトへ誘導され、PDF をダウンロードさせられた。

•

このPDF にはアクロバットリーダーの脆弱性を突くコードが埋め込まれていたユーザは、そのPDF を開く
ことで、アクロバットリーダーの脆弱性を利用され、悪意のあるサイトに誘導され、マルウェアをダウンロードする。（感染）•

ダウンロードされたマルウェアもアクロバットリーダに実行され起動③

Cisco Confidential23

3. マルウェア感染への対策と駆除を実施する• ②や③で作成された実行ファイルを削除
トラジェク
トリ

⑤

④

• ⑤で作成されたPDF を削除②①③• 可能であればURL フィルタなどで④⑤でアクセスした悪意のあるサイトをフィルタする• アクロバットリーダーにパッチ適用（すぐに適用できない場合は、アクロバットリーダーを起動させない）

同じハッシュ値を持つファイルを保有しているホスト一覧© 2013-2014 Cisco and/or its affiliates. All rights reserved.

• マルウェアのハッシュ値から、内部の他のホストへの感染状況を把握し、同様の対応を行う
Cisco Confidential24© 2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

25

まとめ
 感染方法の特定

なぜ感染したかが分からなければ、同じ方法で感染する次のマルウェアを防げない

 拡散状況の可視化

そのマルウェアがどこまで広がっているのかが分からなければ、対策ができない

 瞬間ではなく継続した対応

今だけのセキュリティ対策では防ぐことはできない脅威が増えている© 2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

26Thank you.