事業活動報告2
平成28年度 大学情報セキュリティ研究講習会

開催報告
１．概要

して、防御意識に基づき行動ができるようにインシデント対応を想定した「総合演習」を設けて大サイバー攻撃は、非常に巧妙になっており、官公庁、企業、学校でも情報資産の窃取・漏洩など学現場において必要な対応全体の俯瞰およびそれぞれの参加者大学における課題を議論した。

が頻発化し、大きな社会問題となっている。とり２．全体会

わけ、学校現場では成績情報・個人情報がネットワーク経由で窃取されるなど情報セキュリティ管理の甘さが以前から種々指摘され、その対策につ（１）「サイバー攻撃の最新動向について」

いて学校としての対応が求められてきている。具

満永拓邦氏（東京大学情報学環特任准教授）

体的には、組織的にサイバー攻撃の脅威を周知し、最初に、満永氏は、サイバー攻撃の実行者を防御行動が展開されるよう構成員全員によるリス「愉快犯／ハクティビスト」、「金銭目的の攻撃者」、クマネジメント対策の強化が求められているとい「標的型攻撃の実行者」の３つのクラスに分類し、える。

それぞれ目的のみならず技術力にも差異があるこ

そこで、本協会では、サイバー攻撃に対する防とを説明された。それぞれのクラスの攻撃者が起御行動が組織的に展開されるよう理解の普及を徹こした事例も紹介したうえで、ここ数年は最も高底するため、情報セキュリティの対策をベンチマい技術力を有している標的型攻撃の実行者が起こークし、課題の洗い出しを行い、自己点検・評価すインシデントが増加していることに警告を鳴らを習慣化する中で構成員一人ひとりがサイバー攻していた。攻撃対象は、政府系組織、重要インフ撃の脅威を認識し、大学として段階的にセキュリラ事業者、研究機関、機密情報を保有する組織がティ対策や体制を整備できるように課題を共有す多く、米国のセキュリティ企業の試算では、これることを目的に、研究講習会を平成28年８月23まで数百テラバイトの情報が窃取されているとの日（火）〜８月24日（水）に学習院大学で開催ことである。実際のところ、侵入の発見は殆どがした。本協会の加盟・非加盟の大学・短期大学及外部からの通知であり、平均侵入期間が365日とび賛助会員から参加を募集し、75名（56大学、いう極めて防御が難しい状態であることが示され１短期大学、１賛助会員）の参加があった。

た。また、侵入による経済的被害も大きいこと、講習会の進め方としては、サイバー攻撃に対すつまり情報セキュリティ対策は経営問題の１つでる防御意識を徹底できるようにするため、情報セあることを主張された。満永氏は、これらの状況

キュリティに最小限必要な対策・対応をベンチマを踏まえ、被害が発生した場合に備えた事前準備ークにより振り返ることの重要性及び課題を共有が重要であると結論された。

する場として「全体会」を行った上で、インシデント対応に関する知識の習得及び実習を行う｢セキュリティインシデント分析コース｣と、セキュ（２）「経営執行部（役員）の情報セキュリティに対する取り組みについて」

リティ意識の醸成を学内に推進・普及していく方

宮川 裕之氏（青山学院大学情報メディアセンター所長）策を検討する｢セキュリティ政策・運営コース｣を

私情協情報セキュリティ対策問題研究小委員会設けた。その上で、２つのコースの受講者が協働で検討した標題の内容について宮川担当理事より34 JUCE Journal 2016年度 No. 3

事業活動報告説明した。

活かせるであろう。

大学の経営執行部が取り組むべき４つの柱として、サイバー攻撃による情報資産・金融資産の脅

３．セキュリティインシデント分析コース

威やインシデントに対する危機意識の共有、情報セキュリティに関する学内ルールの構築と周知徹本コースでは、「標的型サイバー攻撃の疑いが底、情報セキュリティ委員会や情報センター部門ある場合の調査と対処方法の習得」と「標的型サによる防御体制の構築と点検評価の徹底、教職員イバー攻撃を受けていることが明らかな場合の調に対する教育や模擬訓練の実施とその徹底をあげ査・対処方法の習得」を行い、それぞれのケースた。

においてシステム担当者として適切な行動がとれることを目標とした。
まず、「標的型サイバー攻撃の疑いがある場合の調査と対処方法」を習得するために、メールの信憑性を判断する手法並びに標的型サイバー攻撃の典型的な手法について講義と実習を行った。
次に、「標的型サイバー攻撃を受けた場合の対処方法」を習得するために、攻撃の痕跡調査と一時対応についてネットワークレベルでは何が行えるのか、そして、攻撃を受けたPCでは何が行えるのか、それぞれ講義と実習を行った。

（３）「大学情報セキュリティベンチマークリストの紹介と評価方法」

井端正臣氏（公益社団法人私立大学情報教育協会事務局長）（１）標的型サイバー攻撃の疑いがある場合の調査と対処方法の演習

標的型サイバー攻撃は、メールを利用して初期潜入を行うケースが多い。その一方で、自組織が昨年度公開した大学情報セキュリティベンチマ

標的型サイバー攻撃を受けている可能性を指摘すークリストを、より大学現場に必要な観点に絞りる外部からの通報もメールによる場合が多い。そ込み、重み付き評価が可能な配点を設定した。更

こで受信したメールの信憑性を確認するために、に、ベンチマーク評価結果に従って、どのような最低限どのような点に着目し判断をすればよいのセキュリティ対策を実施するかモデルを提示しかを、メールの本文やヘッダー情報、添付ファイた。このセッションでは、その概要について解説ル等から確認する方法を紹介した。
次にサイバー攻撃の有無を確認する際の前提知した。

識として、初期潜入に成功した攻撃者がどのよう（４）「ベンチマークリストの評価結果と改善に向けて取り組むべき対応」

満永なステップを経て内部侵入を進めていくのかを講習した。さらにインターネット等から切り離され拓邦氏（東京大学情報学環特任准教授）た閉鎖的なネットワーク環境において、PCが実本講習会に先立ち、加盟校に依頼したベンチマ際にマルウェアに感染する様子や、感染後にはリークリストの集計結果を用いて、満永氏が解説をモートコントロールや画面のモニタリング、ファ行った。各設問に対しは、改善に最低限必要な対イルの送受信が攻撃者から可能になることを実習応状況を提示した点が明確な指針を与えていた。

により体験した。そして攻撃者はどのような手法

また、具体例として、セキュリティ対策にかけるを用いて内部調査や侵入を進めていくのかを、コ予算の割合や対策費費用の項目なども目安を得る

マンドを実行しながら確認し、標的型サイバー攻ことが出来た点は、受講者にとって今後の実務に撃の一連の流れに対する理解を深めた。

JUCE Journal 2016年度 No. 3 35

事業活動報告（２）標的型サイバー攻撃の痕跡調査と一時対応の者は本コースで扱ったような初動対応に加え、再演習発防止策の検討も必要になる。再発防止のための標的型サイバー攻撃を検知することは一般的に技術的な改善案として、マルウェアにPCが感染非常に困難であるが、組織内にあるネットワークした後、攻撃者による内部侵入や調査を「防ぐ」

機器のログを丹念に調べることにより、攻撃の有あるいは「遅らせる」そして「すみやかに検知す無を確認できる可能性がある。ここではマルウェる」仕組みを導入することがあげられる。最後に

ア に 感 染 し た PCと 攻 撃 者 が 用 意 し た サ ー バ

これらを実現するための手法をいくつか紹介し、（C&Cサーバ）との間で行われる不審な通信の痕

本コースのまとめとした。

跡を、ファイアウォールや侵入検出装置（IDS）

４．セキュリティ政策・運営コース

あるいはProxyサーバのログ等から探し出す手法
について紹介し、PC上に構築した仮想ルータを用いて実習を行った。さらに感染側PCの痕跡調

サイバー攻撃の脅威に対し大学の役員・教職員査の手法として、イベントログや実行履歴、レジ一人ひとりがその被害を最小限に抑えるための対ストリエントリ等から、攻撃者が内部調査や感染策意識を持つとともに、大学執行部としての組織拡大の際によく用いるコマンドの実行痕跡を確認的な働きかけの工夫ができるよう講習プログラムする手法についても実習を行った。

を構成した。プログラムの流れとして、サイバー

なお、ファイアウォールにおける痕跡調査の結攻撃の脅威について、参加大学の状況を共有する

果、感染PCとC&Cサーバとの通信が現在も継続ことでその被害と対策の現状理解を深めた上で、している場合は、一時的な対応として、通信を強インシデント対応組織の必要性と整備課題を考察制的に遮断する措置が考えられる。遮断方法にはした。また、情報や情報セキュリティ関連法令の感染PC側で対応する方法と、ファイアウォール遵守のための施策について、講演と質疑応答を行で行う方法があるが、今回はファイアウォールをった。

用いて通信の遮断をする実習を行った。
ネットワークレベルでの痕跡調査は有効な手法（１）各大学のセキュリティ状況の共有と課題化ではあるが、通信ログが大量に生成されてしまう「各大学のセキュリティ状況の共有と課題化」

ことや、攻撃者がC&Cサーバとの通信を暗号化をテーマとし、グループディスカッションを行っすることによってIDSによる検知が困難になる等た。ディスカッションのポイントは①自大学のセの問題がある。さらにファイアウォールでの通信キュリティ対策への現状②セキュリティ対策の進遮断は、具体的にどのコンピュータやサービスをむべき方向性と課題とし、全体会の講演内容、特対象とするのか、情報漏えいのリスクと事業継続に、「経営執行部の情報セキュリティに対する取の重要性とのバランスの面で、大学毎に事情が異り組について」、「ベンチマークテストの評価結果なる。このことについては平常時から方針を検討と改善に向けての取り組むべき対策・対応」を踏することにより、インシデント発生時の対応が迅まえて行った。議論の中、サイバー攻撃の脅威が速になることを指摘した。

各大学で認識される一方、そのための施策の具体感染PCの痕跡調査についても、外部に漏えい化が各大学とも困難である、等の意見が出されてしたファイルの特定など本格的な調査は、専門機いた。また、私情協が進めているベンチマークテ関によるフォレンジックが必要になってくる。そストは、今後各大学で進める情報セキュリティ対

こでこのことを見据えた調査、例えばPCの電源策の指標となり得るとの認識を持つことができは切らずにLANケーブルのみを抜線するなど、後た。のフォレンジック作業への影響が少ない対応が必要であることを指摘した。
実際にインシデントが発生した場合、技術担当

36 JUCE Journal 2016年度 No. 3

事業活動報告（２）情報や情報セキュリティ関連法令の遵守のたェーズを検知、調査および対応、回復・復旧、事めの施策を考察

後対応の４つのフェーズに分け、各対応フェーズ

知っておきたい情報漏えい関連の法律と、最近ごとに時間配分し演習を進めた。の個人情報保護法と不正アクセス禁止法の改正状

各対応フェーズにおいては、各コースでの習得

況について、当講習会委員であり江戸川大学名誉事項を踏まえた質問に対し、誰が穴埋め回答する教授市川昌氏より講演し、次のセッションであるかの役割分担を明示し、以後どのように協議する「情報セキュリティ対策のための組織的施策」にかの方向を示すものとした。穴埋め回答例は、フ繋げた。

ェーズ毎に示した。一連のインシデント対応に必要と思われる各種資料（「インシデント対応の机（３）情報セキュリティ対策のための組織的施策はじめに、サイバー攻撃の脅威に対応するため、上模擬演習ワークシート」を含む12種）を準備した。

経営執行部、システム部門、利用部門の役割とイ

これまでの演習では、一連のインシデント対応

ンシデント発生に対する「予防」、「対処」、「報告、手順の終結に至ることができなかったが、今回は公 表 」 を 行 う た め の 組 織 と し て の CSIRT

内容の優劣は別として目標到達が時間内に完遂で（Computer Security Incident Response Team、シき、総合演習の一つの成果と言えよう。最後にそーサート）について説明を行った。その上で、グの結果を３つのグループに発表いただき、総括のループディスカッションを行い、その中で①サイまとめを行い終了した。

バー攻撃の脅威に対する組織体制はどのようなもインシデント対応（総合演習）の体制は、SOCのか、②組織整備ための課題は何か、についてこ（Security Operation Center）、CSIRT（Computer

れまでの講演内容、各大学の状況を踏まえた議論

Security Incident Response Team）の２つの役割を行うことができた。最後に、各グループより考が必要とされる。情報処理部門はSOCを主業務と察内容の発表を行いまとめとした。

し 、 CSIRTの 調 整 役 が 行 う の が 現 状 で あ る 。

本コース全体を通じて情報セキュリティ対策のCSIRTの組織体制は重要なものであるが、情報イ認識を深めること、組織的施策としての体制整備

ンシデントの教育・啓蒙活動により小さなインシのあり方について考察することができた。次年度

デントの初期情報の収集（問い合わせ、相談）窓

向けては、経営執行部での取り組むべき課題とそ口の設置、運用などの小さな活動からのCSIRT導の方策、CSIRTなどの組織体制整備での課題と解入も一策である。

決策の考察ができるよう更なる内容の充実を図る必要がある。

５．総合演習総合演習の形態は、「セキュリティインシデント分析コース」と「セキュリティ政策・運営コース」の受講者が協働し、インシデント対応を模擬する机上演習とし、３年目となった。
これまでの演習形態の反省を生かし、各コース１名ずつの２名を１組として前半のインシデント対応演習を行い、後半では、３組を１班としたグループ討議も行うものとした。

文責：情報セキュリティ研究講習会運営委員会

また、「情報セキュリティ事故最終報告書」（サンプル）の記載を目標とし、インシデント対応フ

JUCE Journal 2016年度 No. 3 37