ICT-ISAC情報共有基盤の活動紹介～脆弱性情報の取り扱いについて～

2022年7月22日
寺田真敏(ICT-ISAC情報共有WG主査)

Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

ICT-ISAC情報共有基盤の活動紹介
目次⚫

背景：情報共有と機械可読化の潮流⚫ 米国での取り組み⚫ サプライチェーン／ソフトウェアサプライチェーン⚫ ソフトウェアサプライチェーンへのサイバー攻撃⚫

脅威/脆弱性情報と資産情報との連携⚫ ICT-ISAC Japan での取組み⚫ 脅威情報：バンキングマルウェア情報⚫ 脅威情報：ブロックリスト⚫ 脆弱性情報：脆弱性深刻度評価システム(Vuldate)

26
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

背景：情報共有と機械可読化の潮流
米国での取り組み⚫

ルーチンワーク化(コンピュータ処理)による対処「ルーチンワーク化」の部分は、一般的にMachine Readableと言われている。
直訳すると機械可読であるが、手順化してコンピュータ処理することを意味する。
分野：特定人間系の情報網

手動

脅威情報
IPA J-CSIP
NPA サイバーインテリジェンス
情報共有ネットワーク
US-CERT Alerts

DHS Daily Open Source
Infrastructure Report

STIX(脅威情報構造化記述形式)
Structured Threat Information eXpression
TAXII(検知指標情報自動交換手順)
Trusted Automated eXchange of Indicator Information

機械処理系を加味した情報網

AIS [2016年～](自動インディケーター共有)
NIST CM(継続的なシステム監視)

自動(ルーチンワーク化)

NIST SCAP [2006年～](セキュリティ設定共通化手順)

脆弱性対策情報分野：一般

27
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

背景：情報共有と機械可読化の潮流
サプライチェーン
⚫
⚫

ITにおけるシステム開発やサービス提供/利用に関する連鎖
ビジネスパートナーや委託先企業も含めたサプライチェーン全体でのセキュリティ対策の必要性の高まり⚫ サイバーセキュリティ経営ガイドラインv2.0 [2017年]⚫ 米国立標準技術研究所(NIST) サイバーセキュリティフレームワークv1.1[2018年]
委託元
情報システム構築事業者
部品
サプライヤ

製品
サプライヤ

ソフトウェア
サプライヤ
再委託事業者

運用保守委託事業者

廃棄委託事業者

28

Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

背景：情報共有と機械可読化の潮流
ソフトウェアサプライチェーン
ソフトウェアの開発から、それがエンドユーザに使用されるまでの流通、その後の運用・保守、およびユーザが組合せて利用するまでの、それに関与する組織の活動、役割、情報、資源等を指すもの⚫

ユーザの組み合わせ
運用・保守
ベーシックなサプライチェーン

ベーシックなサプライチェーン
個々の企業の役割分担にかかわらず、ソフトウェアの企画の段階からソフトウェア製品やサービスがエンドユーザの手に届くまでの全プロセスの繋がり

使用
企画

設計

検証

部品

事業者
[出典]

ソフトウェアサプライチェーンにおける変化と課題 [2014年]
https://www.ipa.go.jp/files/000040879.pdf

半製品

組立て物流

運用

ユーザ
組合せ

保守

廃棄顧客29Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

背景：情報共有と機械可読化の潮流
ソフトウェアサプライチェーンへのサイバー攻撃
攻撃活動の分析⚫

6 ソフトウェア開発

アカウント
乗っ取り
オープンソース
リポジトリ

環境(SDK)

24
18

開発依存

マルウェア混入実装

タイポ
スクワッティング
(URL打ち間違え)

テスト

配備

23
32 サプライチェーン ⚫に起因する
脆弱性

[出典]

⚫
⚫
⚫
⚫
⚫

9

マルウェア混入

開発プロセス設計

ソフトウェア侵害
攻撃経路
マルウェア

10

証明書の盗難クレデンシャルの盗難
脆弱な暗号
デフォルトハードコードされたパスワード
ファームウェア改変
コードインジェクション

攻撃者が開発したソフトウェア

Broken Trust: Lessons from Sunburst
https://www.atlanticcouncil.org/wp-content/uploads/2021/03/BROKEN-TRUST.pdf

ユーザダウンロード

アプリケーションストア

マルウェア混入

アップデートならびに保守31

改変された更新ソフトウェア

⚫
⚫
⚫
⚫
⚫

1

署名前への挿入
証明書の盗難アカウント乗っ取り
脆弱な暗号
自己署名あるいは署名なし

13923 30

Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

背景：情報共有と機械可読化の潮流
ソフトウェアサプライチェーンへのサイバー攻撃⚫

SaaSに係るITサプライチェーン上のリスク所在(調査範囲を対象)
ネットワーク事業者
委託元(利用者)⚫ 利用者の設定ミスによる情報漏えい⚫ 表計算シートの公開範囲設定ミスによる情報漏えい利用委託先(SaaS事業者)⚫ 開発時の設計ミスにより他ユーザの情報を閲覧できる状態が発生

CDN⚫ キャッシュコンテンツを悪意に取得させる攻撃の可能性
ネットワーク監視⚫ ネットワーク監視製品の汚染されたアップデー
トが配布された利用組織で情報漏えい

クラウドサービス事業者
コード管理⚫ テストカバレッジツールへのコード汚染によりサプライチェーン上で情報漏えい
データベース管理⚫ SQL DBサービスで認証情報を不正に取得される可能性
コンテナ管理⚫ コンテナ管理サービスで他ユーザのコンテナ上で悪意あるコード実行の可能性

利用

OSSコミュニティ
コード管理⚫ Gitで悪意あるコード実行の可能性
コンテナ管理⚫ Kubernetesに通信傍受の可能性
パッケージ管理⚫ Homebewで悪意あるコード実行の可能性

利用

業務委託

オンプレミス製品事業者
再委託先⚫ システム運用委託先社員が顧客情報を不正に利用⚫ 委託先でのクラウドストレージ設定ミスによる情報漏えい[出典]

IT資産管理⚫ 資産管理・監視ツールへの攻撃によりサプライチェーン上で情報漏えい
ハード保守⚫ メモリオーバーでデータベース更新停止
しサービス停止

クラウドサービスのサプライチェーンリスクマネジメント調査 [2022年]
https://www.ipa.go.jp/security/fy2021/reports/scrm/index-cloud.html

利用

利用

31
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

背景：情報共有と機械可読化の潮流
脅威情報と脆弱性情報の連携⚫
⚫

多層防御としての(情報活用＋対策)①脅威などの攻撃元情報だけではなく、脆弱性などの攻撃先情報を活用すると共に、②これら情報を資産やソフトウェア部品表(SBOM:Software Bill ofMaterials)と紐付けて活用する。
攻撃者

攻撃元情報
攻撃先情報
検知

脆弱性情報

脅威情報

脅威情報(攻撃元情報)
脆弱性情報(攻撃先情報)

脆弱性情報

脅威情報

32
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

脅威/脆弱性情報と資産情報との連携
ICT-ISAC Japan での取組み⚫

⚫

1st step [2016年～2018年] 多層防御としての情報活用⚫ 脅威情報⚫ 脅威情報(IPアドレス、ドメイン、URL、ハッシュ値)を交換するための場として、
STIX v1/TAXII v1環境であるtaxii.ict-isac.jpをSoltraを使用して構築し、試行運用した。
⚫ 総務省「サイバー攻撃への集団防御に向けた情報共有基盤に関する実証事業」との連携
2nd step [2019年～] 多層防御としての情報活用⚫ (脅威情報＋脆弱性情報)*資産管理連携⚫ 脅威情報(IPアドレス、ドメイン、URL、ハッシュ値)と脆弱性情報とを関連付け、資産管理と連携するための場として、STIX v1+v2/TAXII v1環境であるtaxii.ict-isac.jpをOpenTAXIIを使用して構築し、試行運用中⚫ 総務省「ソフトウェア脆弱性を狙ったサイバー攻撃の防御に向けた情報共有基盤に関する実証実験」との連携⚫ 総務省「脆弱性情報の高精度な深刻度・信頼度評価に関する実証実験」
において構築した脆弱性評価システムとの連携
33
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

脅威/脆弱性情報と資産情報との連携
ICT-ISAC Japan での取組み⚫
⚫

1st step [2016年～2018年]
2nd step [2019年～]

2nd step [2019年～](脅威情報＋脆弱性情報)×資産管理連携

1st step [2016年～2018年]
分野：特定 脅威情報
人間系の情報網

手動

機械処理系を加味した情報網

IPA J-CSIP
NPA サイバーインテリジェンス
情報共有ネットワーク
US-CERT Alerts

DHS Daily Open Source
Infrastructure Report

STIX(脅威情報構造化記述形式)Structured Threat Information eXpression
TAXII(検知指標情報自動交換手順)
Trusted Automated eXchange of Indicator Information

AIS [2016年～](自動インディケーター共有)
NIST CM(継続的なシステム監視)

自動(ルーチンワーク化)

NIST SCAP [2006年～](セキュリティ設定共通化手順)

分野：一般

34
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

脅威/脆弱性情報と資産情報との連携
ICT-ISAC Japan 情報共有基盤⚫
⚫

多層防御としての情報活用を実現するために、STIXという形式で書かれた脅威
情報をTAXIIという手順を使って交換
脆弱性情報を運搬するためにSTIXの形式を拡張
TAXIIという手順に沿って梱包された封書

taxii
クライアント

脅威情報

STIXという形式で書かれた脅威情報
STIX拡張形式で書かれた脆弱性情報

ICT-ISAC
情報共有基盤

脆弱性管理
MyJVN

脆弱性情報
脆弱性情報

taxii
サーバ

STIX(脅威情報構造化記述形式)
Structured Threat Information eXpression
TAXII(検知指標情報自動交換手順)
Trusted Automated eXchange of Indicator Information

脅威情報taxii
クライアント

脅威状況把握TAXIIという手順に沿った封書の送付と受領

35

Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

脅威/脆弱性情報と資産情報との連携
ICT-ISAC Japan 情報共有基盤
多層防御としての情報活用を実現するために、利用目的に合わせてグループ化

⚫
区分

名称

用途

脅威AIS

米国政府が運用するAIS(Automated Indicator Sharing)から提供されている情報の一部

C2

動的解析装置が検知した不正接続先(IPアドレス、ドメイン、URL)で、ダウンローダサイトを含む広義のC２情報

BKMW_CONF

バンキングマルウェア情報(マルウェアの設定ファイル配布サイト)

BKMW_ATTK

バンキングマルウェア情報(攻撃対象となる金融機関サイト)

BKMW_MANU

バンキングマルウェア情報(攻撃操作サイト)

BLOCKLIST組織で適用している不正接続先遮断リスト交換

VULS2

脆弱性情報
(総務省「ソフトウェア脆弱性を狙ったサイバー攻撃の防御に向けた情報共有基盤に関する実証実験」、「脆弱性情報の高精度な深刻度・信頼度評価に関する実証実験」)

脆弱性

36

Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

脅威情報
バンキングマルウェア情報⚫ 分野間連携への可能性⚫ 攻撃先情報の記述表現の強化

37
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

攻撃先情報：バンキングマルウェア
バンキングマルウェアによるサイバー攻撃活動⚫

複数サイトが連携してサイバー攻撃を仕掛けている。
BKMW_CONF

BKMW_MANU

設定ファイル
配布サイト(1)標的の指定などのコマンド(6)不正なツールダウンロードを誘導するJavaScript

BKMW_ATTK

攻撃操作サイト

攻撃対象サイト(5)<script>により“mal site url”に誘導
アクセス(2)金融機関
サイトへのアクセス(3)ページダウンロード

感染PC

インジェクションマルウェア(4)ダウンロードページが攻撃対象の場合<script>を挿入<html><head><script src="mal site url"><title>...
38
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

攻撃先情報：バンキングマルウェア
バンキングマルウェアによるサイバー攻撃活動への対処可能性⚫

情報共有基盤として、接続ブロックや注意喚起などの対策につなげる。
⚫ マルウェアの設定ファイル配布サイト、攻撃操作サイトなど、不正接続先であるサーバのドメイン、IPアドレスを通知し、接続ブロックなどの対策へ⚫ 攻撃対象となる金融機関サイトを通知し、注意喚起などの対策へ
BKMW_CONF
設定ファイル配布サイト

BKMW_MANUBKMW_ATTK

攻撃操作サイト

攻撃対象サイト

注意喚起
金融機関
感染PC
マルウェア

技術的には実現可能ではあるが、運用を含めると課題も多い。

39

Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

攻撃先情報：バンキングマルウェア
バンキングマルウェアによるサイバー攻撃活動への対処⚫

STIXで脅威情報を記載する際、攻撃先に関する記述表現仕様が不十分➢ 攻撃先情報を運搬するためにSTIXの形式を拡張➢ 今後、URL、ドメイン、IPアドレスによる記述表現仕様も必要
攻撃先情報用拡張⚫ 該当分野⚫ 該当組織Observables

STIXの記述表現仕様の概要
RelatedIndicators

Campaigns
サイバー攻撃活動の意図

RelatedTTP
TypicalAssociatedTTP

TTPs
サイバー攻撃者の行動や手口

Attribution

ObservedTTP

Threat Actors
サイバー攻撃に関与している人／組織

Indicators
攻撃を特徴付ける事象

Observables
攻撃によって観測された事象

LeveragedTTP

ExploitTarget

記述表現は限定的
COARequested

Exploit Targets
狙っているソフトウェア、システムや設定の弱点

Incidents
インシデント
COATaken

SuggestedCOA

Courses Of Action
脅威に対処するために取るべき措置

40
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

脅威情報ブロックリスト⚫ 評価済情報の活用

41
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

攻撃元情報：ブロックリスト
1st step [2016年～2018年]で学んだこと⚫ 情報共有が普及しない原因の一つは、分析と配信機能との不明瞭な役割分担⚫ 情報共有基盤の主機能は、配信機能とし、分析機能は外付けとすべき受信者は、自分に必要となる情報が付いていないと欲しいとは思わない。
区分
分析機能

配信機能

概念図

事例
分析共有基盤ICOAST(インテリジェンスコミュニ
ティの分析・シグネチャ情報共有ツール)

情報共有基盤

AIS(自動インディケーター共有)
STIX/TAXII環境

42
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

攻撃元情報：ブロックリスト
1st step [2016年～2018年]で学んだこと⚫ 情報共有基盤の普及には、まずは配信型への適用⚫ 次に、相互利用型&&分析/フィルタ済に相当する情報流通の可能性へ
分類

配信型
情報は一旦分析機関に集められ、分析機関での分
析/フィルタ適用されたものが情報利用者に展開される。

相互利用型
情報は利用者同士が交換する。利用者同士で共通の分析機能を利用した場合、配信型に近い運用形態となる。

分析/フィルタ未済

分析/フィルタ済

分析/フィルタ未済

分析/フィルタ済例AIS
セキュリティベンダの脅威
情報

JPCERT/CCからの脅
威情報(CISTA)IPAからの脅威情報(JCSIP)

金融ISACが運用する
SIGNAL
ICT-ISACが運用するtaxii.ict-isac.jp

左記のシステムにおいてISACが分析機能を持った場合

展開性
分析機能

低(分析処理が必要)

高(そのまま適用できる)

低(分析処理が必要)

高(そのまま適用できる)

即時性
配信機能

高(形式変換が不要)
Machine-Readable

低(形式変換が必要)
Human-Readable

中(形式変換が要/不要が混在)
Machine/Human-Readable

高(自分たちに関連したものである)

高(自分たちが検知したものである)

関係性

43
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

攻撃元情報：ブロックリスト
ブロックリストの活用⚫

ブロックリスト＝不正接続先へのアクセスを阻止する一覧表 && 分析/フィルタ済⚫ ブロックリストの差分情報(追加/削除)を投稿⚫ いつ、何を追加(add)したか?
⚫ いつ、何を削除(del)したか?
分析/フィルタ済
ブロックリストICT-ISAC
情報共有基盤⚫ 取得したブロックリストの中に適用していない項目がある場合→追加を検討する⚫ 過去に取り込んだ項目がブロックリストから削除されていた場合→削除を検討する

分析/フィルタ済
ブロックリスト

ブロックリスト保守

技術的には実現可能ではあるが、運用を含めると課題も多い。

44

Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

脆弱性情報脆弱性深刻度評価システム(Vuldate)⚫ CVSS(共通脆弱性評価システム；CommonVulnerability Scoring System)との違いが分かりにく
いので、個人的には、CVSS現状評価支援システムと呼びたい

45
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

脆弱性情報：Vuldate
CVSS(共通脆弱性評価システム)⚫

脆弱性の技術的な特性、攻撃活動の状況やシステムの重要度を加味して、脆弱性の深刻度を0.0～10.0のスコアで評価する。
JVN、製品・セキュリ
ティベンダが提供継続して集めるのは意外と難しい= 基本評価基準 × 現状評価基準 ×
脆弱性そのものの技術的な特性何が起きるのか?

時間と共に変化する攻撃活動の状況

既に攻撃は発生している?
対策は出ている?

利用者自身が集める情報

環境評価基準影響を受ける情報システムの状況システムの重要度は?
46
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

脆弱性情報：Vuldate
CVSS現状評価基準⚫

ある時点における脆弱性を取り巻く状況を評価⚫ 攻撃可能性 (E: Exploitability)
攻撃手法が実際に利用可能であるか⚫ 利用可能な対策のレベル (RL: Remediation Level)
対策がどの程度利用可能であるか⚫ 脆弱性情報の信頼性 (RC: Report Confidence)
脆弱性情報の信頼性は攻撃コードが一般に公開されているの(攻撃の予兆)?
実際に攻撃が行われているの?

47
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

脆弱性情報：Vuldate
現状評価を支援するVuldate⚫

Vuldateの仕組み
過去の脆弱性情報

新たに報告された脆弱性情報⚫

情報解析エンジン(AI)

攻撃危険度評価
注意喚起予測Vuldateを使ってできること！
⚫ 攻撃危険度評価
攻撃コードが生成される危険性：High,Medium,Low
攻撃コードが生成されるとインシデント発生につながる可能性が高い⚫ 注意喚起予測
注意喚起に相当するような脆弱性かどうか：High,Medium,Low
注意喚起になるような脆弱性は深刻度が高い

48

Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

脆弱性情報：Vuldate
現状評価を支援するVuldate

49
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

情報共有基盤の実証
今後の活動
製品
辞書

JVN iPedia

脆弱性対策データベース

脅威情報(攻撃元情報)
脆弱性情報(攻撃先情報)

MyJVN
脆弱性

資産と紐付けられる
脅威情報/脆弱性情報の配信
資産管理ツール

脅威

脅威/脆弱性情報とソフトウェア資産情報との紐づけにより、影響のある脅威や脆弱性の早期判断を実現する情報共有基盤の実証実験で得られた成果を、MyJVN(脆弱性対策情報共有フ
taxii.ict-isac.jp
レームワーク)などに提案していく。
(STIX/TAXIIベース)
資産管理ツール

脆弱性

NISC、IPA、JPCERT/CC他ISACなど

ICT-ISAC
情報共有基盤

脅威情報/脆弱性情報の統合配信

ソフトウェア部品表と紐付けられる脅威情報/脆弱性情報の配信
資産管理ツール

ソフトウェア
部品表
辞書

自身で資産管理している組織
資産管理ソリューション提供サービス事業者

50

Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

脆弱性対策情報共有フレームワーク
MyJVN APIs!
⚫ 実証実験から得られた知見の展開

51
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

今後の活動⚫

実証実験から得られた知見の展開

52
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

Collaborate
togetherto make ourInternetsecure.
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.