転換期を迎えた情報セキュリティ対策～ システムとデータをいかに守るのか～

日本マイクロソフト株式会社
チーフセキュリティアドバイザー
高橋 正和

1

日本は安全なのか？
2008

2007

2009

ランク
20
18
16
14
12
10
8
6
4
2
0

レート
19

3.5

3.0

3

15

2.3

2.5
2

1.5

1.5

2H07

1H08

1.7

1.5
4
1

1

2H07

1H08

1
0.5

2H08

1H09

2H09

0
2H08

1H09

2H09

2

セキュリティにかかわる
歴史を振り返る3

30+ years of computing & insecurity
1
9
7
7

1
9
7
8

1
9
7
9

1
9
8
0

1
9
8
1

1
9
8
2

1
9
8
3

1
9
8
4

1
9
8
5

1
9
8
6

Standalone Systems – Disk/Diskette Sharing•有珠山噴火• ｽﾍﾟｰｽｼｬﾄﾙ• ｽﾘｰﾏｲﾙ島• Apple II• Commodore• Atari• TI-99• TRS-80•VAX-11/780•1BSD•ORACLE

1
9
8
7

1
9
8
8

1
9
8
9

1
9
9
0

1
9
9
1

1
9
9
3

1
9
9
4

•ドイツ統一• Lotus 123•Adobe• CISCO•Sun-1•Dell•Compaq•Symantec• IBM PS/2
•OS/2

• J3100

1
9
9
7

1
9
9
8

• Netscape•ISS• Dynabook• C++• Java• Little Black Book
•Xerox Palo Alto
“blob”• Elk Cloner• Ken Thompson• Fred Cohen’s
VAX Viruses• Virus Book

• Stealth virus•(Frodo/Whale)• ©Brain Virus’•Yale, Cascade,Jerusalem, Lehigh, etc.

• Concept• Virus Creation Laboratory•MTE• Michelangelo• Morris’ Worm
• Wonk Worm
• FBI arrest “414s” Hacker
Group

2
0
0
1

2
0
0
2

2
0
0
3

2
0
0
4

2
0
0
5

• Flash• Internet Explorer
•IE6
•IE5
• .NET•Windows 95• Windows 98•Win XP•XP SP2•NT3.1•Win 2000•WS 2003• NT 4.0• Ruby• PHP• Slammer• CodeRed• JavaScript• Blaster• Nimda• PDF• ARPA Net IP化• Perl

2
0
0
0

•IE7
•Vista• Melissa• Ping of Death• statd, named,popd• SPAM Mails• Spyware• Netcat• Kevin Mitnick• FISC• IBM spy case

• NTT民営化• テレホーダイ
•2G携帯

•PHS

• AT&T Janes• IIJ•ｱﾅﾛｸﾞ携帯電話

Worm in the wild
Virus via Media

Protocol Weaknesses/Remote Buffer overflow
Insecure Default/Weak Security Techniques/Feature Misuse/Social Engineering
Computer Crimes
Trusted Operating Systems (Orange Book)

Trusted Network (Red Book)

2
0
1
0

•Azure• MPACK• Zeus•Gumblar• Yahoo DDoS

• Smart Phone Trojan• SNS Malware• AutoRun•Conficker• Targeted
Attack• Phishingproliferated•DDoS tools• ADSL• 楽天• ｵﾝﾗｲﾝﾒﾃﾞｨｱ• 2ch • tama
• 新聞社のページ
Worm as a Research

2
0
0
9

•IE8
•Win 7•WS 2008• MyDoom• Sasser• I LOVE YOU• Solar Sunrise• “Cukoo’s Egg”

2
0
0
8

• Sobig• WiityWorm• Agobot• Back Orifice• Phishing (AOL)• Robert T Morris fined$10K, 3 years probation

2
0
0
7

• Brown orifice• INN/phf• First SPAM

2
0
0
6

Wire & Wires less
• 四川大地震• 不審船• 911• スマトラ沖地震•全国での豪雤•JCO臨界事故•省庁再編 •中越地震•リーマンショック•ﾄﾙｺ西部地震•BSE • SARS
•中国ソースコード• ｶﾄﾘｰﾅ•伊大停電 •福知山線•郵政民営化•三宅島噴火•米大停電•年金問題• salesforce•Amazon•Gmail•G-Apps•GAE• G-book
AWS•Web 2.0• G-Map/Street View
• Twitter• Google• Wikipedia• mySpace• FaceBook• Blog • Skype•Kindle•G－Chrome• YouTube•G-Android•Mac OS-X• iMac•iPad• iPod•iPhone•Netware• Real Player•Check Point• Windows 3.0

1
9
9
9

Broad band Network• Amazon.com• Net BSD
• Yahoo•Free BSD•eBay
• MOSAIC• Linux• Macintosh
•TRON

1
9
9
6

• LA地震• 世界貿易 • 神戸震災
ｾﾝﾀｰ
•地下鉄ｻﾘﾝ• 天安門事件• JR民営化• ﾁｪﾙﾉﾌﾞｲﾘ

1
9
9
5

Internet

Client-server/PC-LAN Networks• 御巣鷹山• IBM PC
•MS-DOS•DOMAIN•4.1BSD1
9
92• Auction Scam
• Estonia case

• Huge Data Leak

• US/Korea case
• Aurora• DDoS on DNS root
• Attack for JP Soft• mixi• ニコ動•3G携帯• GyaO• Winny• Winnyよる流出が頻発• NIRT• NISC
Botnet• JP gov HP

Worm communization
Passive Infection
Virus via E-Mail
Document / Local BO

Information Warfare
Cyber Crimes•SOX
UK Green Book to BS 7799 to ISO 17799
Common Criteria

Under Ground Business(RBN, Rock Phish..)Cyber Espionage• J-SOXPDCI DSS• 個人情報保護法430+ years of computing & insecurity
1
9
7
7

1
9
7
8

1
9
7
9

1
9
8
0

1
9
8
1

1
9
8
2

1
9
8
3

1
9
8
4

1
9
8
5

1
9
8
6

Standalone Systems – Disk/Diskette Sharing•有珠山噴火• ｽﾍﾟｰｽｼｬﾄﾙ• ｽﾘｰﾏｲﾙ島• Apple II• Commodore• Atari• TI-99• TRS-80•VAX-11/780•1BSD•ORACLE

1
9
8
7

1
9
8
8

1
9
8
9

1
9
9
0

1
9
9
1

1
9
9
3

1
9
9
4

•ドイツ統一• Lotus 123•Adobe• CISCO•Sun-1•Dell•Compaq•Symantec• IBM PS/2
•OS/2

• J3100

1
9
9
7

1
9
9
8

• Netscape
•ISS

70.0%

• C++

• Java• Little Black Book
•Xerox Palo Alto
“blob”• Elk Cloner• Ken Thompson• Fred Cohen’s
VAX Viruses• Virus Book

• Stealth virus•(Frodo/Whale)• ©Brain Virus’•Yale, Cascade,Jerusalem, Lehigh, etc.

• FBI arrest “414s” Hacker
Group

50.0%

• Concept• Virus Creation Laboratory•MTE• Michelangelo• First SPAM

• Robert T Morris fined$10K, 3 years probation

2
0
0
3

2
0
0
4

2
0
0
5

2
0
0
6

2
0
0
7

• Melissa• Ping of Death

30.0%• statd, named,popd• Kevin Mitnick• テレホーダイ
•2G携帯

•PHS

• AT&T Janes• IIJ•ｱﾅﾛｸﾞ携帯電話

10.0%

Worm as a Research• SPAM Mails• Spyware

0.0%

Protocol Weaknesses/Remote Buffer overflow
Insecure Default/Weak Security Techniques/Feature Misuse/Social Engineering
Computer Crimes
Trusted Operating Systems (Orange Book)

Trusted Network (Red Book)• MPACK• Zeus•Gumblar• Yahoo DDoS

• Smart Phone Trojan• SNS Malware• AutoRun•Conficker• Targeted
Attack• Phishingproliferated•DDoS tools• ADSL• 楽天• ｵﾝﾗｲﾝﾒﾃﾞｨｱ• 2ch • tama
• 新聞社のページ

Worm in the wild
Virus via Media•IE8•Win 7•WS 2008• MyDoom• Sasser• I LOVE YOU• Netcat

20.0%• NTT民営化

20
1
0•Azure• Auction Scam
• Estonia case

• Solar Sunrise• IBM spy case

2
0
0
9

•IE7
•Vista• Sobig• WiityWorm• Agobot• Back Orifice• Phishing (AOL)• “Cukoo’s Egg”
• FISC20
0
8• Brown orifice• INN/phf

40.0%• Morris’ Worm
• Wonk Worm

2
0
0
2

• Flash• Internet Explorer
•IE6
•IE5
• .NET•Windows 95• Windows 98•Win XP•XP SP2
60.0%•NT3.1•Win 2000•WS 2003• NT 4.0• Ruby• PHP• Slammer• CodeRed• JavaScript• Blaster• Nimda• PDF• ARPA Net IP化• Perl2001Wire & Wires less
• 四川大地震• 不審船• 911• スマトラ沖地震•全国での豪雤•JCO臨界事故•省庁再編 •中越地震•リーマンショック•ﾄﾙｺ西部地震•BSE • SARS
•中国ソースコード• ｶﾄﾘｰﾅ•伊大停電 •福知山線•郵政民営化•三宅島噴火•米大停電•年金問題• salesforce•Amazon•Gmail•G-Apps•GAE• G-book
AWS•Web 2.0• G-Map/Street View
• Twitter• Google• Wikipedia• mySpace• FaceBook• Blog • Skype•Kindle•G－Chrome• YouTube•G-Android•Mac OS-X• iMac•iPad• iPod•iPhone80.0%• Dynabook

2
0
0
0

Broad band Network•Netware• Real Player•Check Point• Windows 3.0

1
9
9
9

インターネットの人口普及率• Amazon.com• Net BSD
• Yahoo•Free BSD•eBay
• MOSAIC• Linux• Macintosh
•TRON

1
9
9
6

• LA地震• 世界貿易 • 神戸震災ｾﾝﾀｰ
90.0% •地下鉄ｻﾘﾝ• 天安門事件• JR民営化• ﾁｪﾙﾉﾌﾞｲﾘ

1
9
9
5

Internet

Client-server/PC-LAN Networks• 御巣鷹山• IBM PC
•MS-DOS•DOMAIN•4.1BSD1992• US/Korea case
• Aurora• Huge Data Leak

• DDoS on DNS root
• Attack for JP Soft• mixi• ニコ動•3G携帯• GyaO• Winny• Winnyよる流出が頻発• NIRT• NISC
Botnet• JP gov HP

Worm communization
Passive Infection
Virus via E-Mail
Document / Local BO

1997 1998 1999 2000 2001 2002 2003 2004 2005 2006
2007 2008 2009
Under Ground Business(RBN, Rock Phish..)Information Warfare
Cyber Crimes•SOX
UK Green Book to BS 7799 to ISO 17799
Common Criteria

Cyber Espionage• 個人情報保護法• J-SOXPDCI DSS

5

攻撃の傾向とインターネット経済
日本におけるインターネット普及率とYahoo/Amazon（米国）の売上の推移
90%

12

80%
人口普及率

10

Yahoo売上推移

70%

Amazon売上推移
60%

8

50%
6

Combined executable with C&C
40%

One Executable
30%

4
情報/工作
目的

20%

経済的目的
10%

2
ハクティ
ビズム

愉快犯

2013

2012

2011

2010

2009

2008

2007

2006

2005

2004

2003

2002

2001

2000

1999

1998

1997

1996

1995

1994

1993

1992

1991

1990

1989

1988

1987

1986

1985

1984

1983

1982

1981

1980

1979

0

1978

0%

6

脅威の類型
特に目的を持たない愉快犯
従来のウィルスやワームなど、単に感染を目的としたもの。現在も存在するため無視はできないが、主たる関心は下記の３つのカテゴリーに向けられている。

サイバークライム（犯罪）

経済的な利益を目的とした攻撃
これらの事件と比較して、あまり報道されていないが、マルウエア（ウィルス）を使って、銀行口座から現金を盗み出す事件が数多く発生している。Zeus(zbot), SpyEyeなどが代表的なもので、ラテンアメリカやヨーロッパを中心に数百億円の被害が発生していると考えられている。
また、企業のWEBサイトにマルウエアを侵入させるGumblerなども、経済的な利益を目的とした攻撃の一環として実施されている。

サイバーテロ自らの考えや主義を主張するための攻撃（Hacktivisim: ハクティビズム）Anonymousと名乗るグループによるSONYグループへの攻撃、海外では、チェニジア政府やエジプト政府へのDDoS（サービス不能攻撃）、著名なセキュリティ企業への攻撃、LulzSecと名乗るAnonymousに関連するグループによるTV番組への侵入、英国のATM情報の公表など多数。

サイバーエスピオナージ（諜報活動）
企業や政府機関の情報を盗み出すことを目的とした攻撃（APT: Advanced Persistence Thread:高度で執拗な攻撃,またはCyber Espionage: 電子的な諜報活動）
防衛産業、政府機関などの事例。海外では、2010年のフリーメールに対する攻撃、セキュリティ企業へ侵入し2要素認証にかかわる情報を取得後に行われた、軍事産業への攻撃など
サイバーウォーフェア（戦争）兵器としてサイバー攻撃（APT: Advanced Persistence Thread）
国家間の戦争行為としてのサイバー兵器。Stuxnetによるイラン原子力発電所の遠心分離器への攻撃、中東での空爆が行われた際のレーダー網への関与などが疑われている

自爆型
サイトやプログラムの設計上の問題から、正常な範囲のアクセスで、サイトが停止してしまう例

7

2011年の事件を振り返る

8

2011年に国内で発生した事件
2011/01/06
2011/01/07
2011/01/14
2011/01/18
2011/01/19
2011/01/21
2011/01/24
2011/01/25
2011/02/10
2011/02/10
2011/02/17
2011/02/18
2011/02/18
2011/02/18
2011/02/21
2011/02/21
2011/02/22
2011/02/23
2011/03/02
2011/03/04
2011/03/08
2011/03/09
2011/03/11
2011/03/24
2011/03/25
2011/03/28
2011/03/29
2011/03/31
2011/03/31
2011/04/04
2011/04/05
2011/04/07
2011/04/12
2011/04/13
2011/04/14
2011/04/18
2011/04/18
2011/04/19
2011/04/20

茅ヶ崎市で発生した児童の個人情報放置、年末に再び相次ぐ
個人情報含む人権相談票が所在不明 - 新潟地方法務局
全校生徒の成績情報含むUSBメモリを紛失 - 横浜市の中学校
トークライブ参加学生のメールアドレスが流出 - 静岡市
個人情報含む設計図をサイトに誤掲載 - 大阪市水道局
生徒の個人情報や写真データ含むUSBメモリを紛失 - 福岡市の特別支援学校
顧客情報含む書類が配送中に紛失 - パナソニック関連会社
中学校教諭がひったくり被害、USBメモリなど盗難 - 北九州市
滞納者情報など匿名化せずに誤って公開 - さいたま市
顧客情報含む帳票を一時紛失、掲示板に貼られ判明 - 大阪市水道局
児童の個人情報含む記録簿など無断で持ち出し紛失 - 大阪市の小学校
石巻市で選挙人名簿が警察押収物として見つかる - 流出経路は不明
メール誤送信で協議会外部委員のアドレスを流出 - 鳥取県教育委
米出荷者の個人情報含むPCが事務所から盗難 - JA三重四日市
車上荒らしで個人情報盗まれた臨時教員を処分 - 愛知県
都営バス営業所で顧客情報含む書類を紛失 - 都交通局
市政モニターのメールアドレスを誤って送信 - 鎌倉市
誤送信で市掲示板登録者のメールアドレスが流出 - 東大阪市
水道料金滞納者の個人情報含む書類を一時紛失 - 静岡市
求職者の個人情報含むUSBメモリを紛失 - 愛知県のハローワーク
アンケート依頼メールの誤送信でメールアドレスが流出 - 長野県
生徒の個人情報含むUSBメモリを紛失 - 兵庫の中学校
中学で生徒の試験結果などを保存したUSBメモリを紛失 - 浦安市
公文書の紛失や誤送付など51件、監査で判明 - 広島県
児童名簿を自転車の前かごに放置し紛失 - 平塚市の小学校
県立武道館のメルマガ誤送信で氏名とアドレスが流出 - 神奈川
小学校で児童や教職員の個人情報含むUSBメモリを紛失 - 大阪市
保育所児童の個人情報含む書類が車上荒らし被害 - 野田市
府営住宅入居者の個人情報含む書類が盗難 - 大阪府
小学校児童の個人情報含むUSBメモリを学外で紛失 - 板橋区
廃棄業者の収集車から個人情報含む書類が散乱 - 横浜市
県立高校で生徒指導要録が紛失 - 静岡県
振込依頼書の誤印字で聴講生の個人情報が流出 - 大阪市の高校事業者情報含む帳票を非常勤職員が紛失 - 大阪府
誤送信でボランティア情報希望者のメールアドレスが流出 - 神奈川県
児童の個人情報含むPCを駅ホームに置き忘れ紛失 - 目黒区
住民の個人情報含む水道管の布設図面を紛失 - 川崎市
求職者の個人情報含むファイルを誤送信 - 京都の就職サポートセンター
県立高校生徒の個人情報を運搬中に紛失、一部未回収 - 群馬

2011/04/21
2011/04/22
2011/04/22
2011/04/28
2011/04/28
2011/05/12
2011/05/12
2011/05/18
2011/05/19
2011/05/23
2011/05/26
2011/05/31
2011/06/01
2011/06/03
2011/06/14
2011/06/17
2011/06/20
2011/07/01
2011/07/05
2011/07/05
2011/07/05
2011/07/12
2011/07/15
2011/07/21
2011/07/22
2011/07/25
2011/07/27
2011/07/28
2011/07/28
2011/07/29
2011/07/29
2011/08/01
2011/08/05
2011/08/08
2011/08/08
2011/08/08
2011/08/09
2011/08/10
2011/08/11

利用者の個人情報が車上荒らしで盗難 - 愛知の介護保険センター
県立高校で中学校から送られた新入生の個人情報を紛失 - 静岡
個人情報含むUSBメモリを紛失した教師に懲戒処分 - 千葉県
水道局でシステム設定ミス、個人情報が一時閲覧可能に - 新潟市
メール誤送信でキャッチコピー応募者のアドレス流出 - 岩手県
個人情報記載のノートを路上に落として紛失 - 足立区
生活保護受給者名簿を一時紛失、同日中に回収 - 大阪市
利用者の個人情報を車両の屋根に置いたまま走行 - 沖縄の介護施設
土地権利者の個人情報を職員が紛失 - 東京都水道局の委託検針員が個人情報を一時紛失 - 静岡市
委託先がメール誤送信、アドレス484件を流出 - 福岡県
労働力調査の「調査世帯一覧表」を紛失 - 長野県
メール誤送信で関係企業担当者のアドレス流出 - にいがた産業創造機構
私立高校の就学支援金通知を誤送付 - 長野県
委託業者が市乗合タクシー利用者情報を紛失 - 相模原市
消防が火災現場へ向かう途中に個人情報を紛失、同日中に回収 - 大阪市
生徒の個人情報含む私物USBメモリを紛失 - 横浜市の中学校
営業先担当者の電話番号など含む業務用携帯電話を紛失 - 名古屋市交通局
小学校で児童の個人情報を2年半前に紛失、匿名の投書で発覚 - 横浜市
高齢者の個人情報含む生活実態調査リストを紛失 - さいたま市
区報配送先情報含むFDを委託業者が紛失 - 目黒区
印鑑登録申請書など保存期限内の文書など約9000件誤廃棄 - 港区
福岡市早良区のPRサイトが一時改ざん - 閲覧でウイルス感染のおそれチャリティーバザー協力者の個人情報を紛失 - 杉並区社会福祉協議会
メルマガ誤送信で読者のアドレス流出 - 千葉市
小学校教諭の自家用車が車上荒らし、個人情報盗難 - 横浜市
小学校教諭2人がパチンコ中に出席簿盗まれる - 堺市
取手市のウェブサイトが不正アクセスで改ざん - ウイルス混入は確認されず
PCがウイルス感染、アカウント情報や個人情報が流出の可能性 - 国交省
個人情報流出で停止した「行政情報検索システム」を再開 - さいたま市
再交付申請書のファックスを誤送信 - 全国健保協会
横須賀市、委託先のメール転送ミスを公表
委託先が公共施設に接続できるPC盗まれる - 千葉市
学生の個人情報含む書類を紛失 - 岐阜大
かんぽ生保の顧客情報を紛失 - 広島県の郵便局
千葉市委託先のPC盗難、別の駅トイレから回収 - PCの使用形跡なし
水泳教室の講師と受講者の名簿を紛失 - 岸和田市
メール誤送信で地元就活学生のアドレスが流出 - 中津川市
中学校で個人情報含むUSBメモリを保管忘れ紛失 - 大阪市

情報ソース：Security NEXT:個人情報漏洩事件・事故一覧
http://www.security-next.com/category/cat191/cat25 9

2011年に国内発生した事件の傾向漏洩した媒体
携帯
3%

データ
2%

漏洩した原因目的外利用
1%
不正アクセス
7%
ウィルス
3%

0%

意図的な犯行
3%

メール
16%
紙などの媒体
40%
サーバー
14%

設定ミス
7%
紛失
48%
誤配信・誤廃棄19%PC
9%USB等のメディ
ア
16%

盗難
12%

情報ソース：Security NEXT:個人情報漏洩事件・事故一覧
http://www.security-next.com/category/cat191/cat2510

2011年に発生した事件の傾向
セグメントごとの漏洩元（割合） 2011/1/1-2011/8/16

17%

12%

8%
70%
60%

25%

80%
12%

6%
15%

90%

18%
26%

データ

9%

携帯

50%

メール

40%

73%
53%

18%

10%
0%
7%
3%

3%
1%
0%

17%

3%
6%
0%
3%
0%

0%

9%

33%

5%

11%

9%

意図的な犯行

18%

目的外利用

18%

13%

21%

50%

削除漏れ

12%

不正アクセス

44%
40%

80%

ウィルス
9%
67%

30%

53%

53%
20%

48%

誤配信・誤廃棄

盗難

34%

11%

設定ミス

紛失

10%
11%

8%

6%

0%

医療機関

中央官庁

自治体

0%

27%

団体

11%
0%
11%

10%

USB等のメディア

55%

紙などの媒体

民間企業

20%

サーバー

0%
6%
0%
6%

PC
6%

11%

銀行

51%

教育機関

30%

67%

13%

60%

11%
0%
11%

23%

70%

6%

56%

0%
1%
0%
3%
1%
6%

医療機関

80%

20%

100%

0%

団体

12%

0%
6%

民間企業

12%

3%
4%

銀行

11%
0%

7%
3%
0%

教育機関

19%

0%

中央官庁

90%

0%
1%

自治体

100%

セグメントごとの漏洩原因（割合） 2011/1/1-2011/8/1

情報ソース：Security NEXT:個人情報漏洩事件・事故一覧
http://www.security-next.com/category/cat191/cat2511

世界的な傾向をみる
1/4
1/10

Anonymousがチュニジア政府のWebサイトをDDoSでダウンさせる
Aonymousがアイルランドの中道右派 Fine GaelのWebサイトに侵入し、検閲を非難した。2000人以上の党員のア
カウントが侵害された
グリーファーグループGoatse Securityのメンバーは、iPadユーザ情報を公開したことに関して、連邦捜査局によって
起訴された

1/18
1/28

1/28
2/3
2/5

2/10
2/10
2/17
2/24
2/27

3/1
3/7
3/14
3/18
4/2
4/4

4/17

4/19
4/26
5/2
5/7
5/7
5/10
5/15
5/17
5/20
5/21
5/21
5/21
5/22
5/23
5/24
5/25
5/27

CNETが、Goast Securityのホームページが、脱会したメンバーによって侵入されたと報じた。我々はこれは、宣伝活動であると考える。グループのスポークスマンがこれを否定していることを記録する(グリーファー◆オンラインゲームなどで、ゲームの欠陥を利用して対戦相手に嫌がらせをする人。)
英国警察は、5人のAnonymousの嫌疑のかかっているメンバーを逮捕します。
Anonymousメンバーが、ムバラク大統領に対する革命の間、エジプト政府のwebsiteをDDoSでダウンさせた。
2/6
HBGaryのセキュリティコントラクターがAnonymousによって、SQL Injection、ソーシャルエンジニアリング等を使ってハックされた。68000のE-Mailが詐取され、そのうちのひとつは、Bank of AmericaがHBGaryをWililieaksへの攻撃を行うために雇ったメールも含まれていた中国のハッカーが、”Night Dragon"の一環として、複数の石油会社から情報を盗み出した
iPhoneのJale Breaを使った攻撃により、パスワードが詐取できるとホワイトペーパーが記載
カナダ政府への"前例のない攻撃"に中国が関与兵士出身のハクティビスト「Jester」（th3j35t3r）は、ウェストバラ・バプティスト過激派キリスト教徒カルトのウェブサ
イトを停止させた
Anonymousは、Koch Industries, Inc.（組合に対してロビー活動をすることに数百万人を費やして、大規模なキャン
ペーンにWisconsinの「組合活動妨害屋」Scott Walker知事に対する貢献を支払ったアメリカの製造複合企業）への攻撃を開始した。
3/6 マルウエアが、260,000台のAndroidフォンで構成するボットネットを構築。Google社（GOOG）は問題のあるルート
キットを取り除くためのツールを提供
何者かが、マイクロソフトのポイント詐欺により、$1.2Mを盗み出した
Anonymnousは、バンクオブアメリカが、差し押さえ詐欺を犯したことを示す文章を盗み出し、公開したセキュリティ企業RSAが、ハッキングにあったことを報告した
Anomymousは、ハッカー Geroge "GeogHot" Hotzへの起訴に抗議して、SONY CorpへのDDoS攻撃を行った
Epsilon Data Management LLC （ダイレクトメール、電子メールマーケットなどを行う企業）がハックされ、数百万ものユーザーのe-Mailとコンタクト情報が漏れた
4/19 PlayStation Networkはハックされ、7700万の記録が侵害。
Anonymousと結びつける向きもあるが、グループによる関与はないと思われる。
Sony Online Entertainmentも侵害され、2400万の記録が盗まれた。
ハッカーが米国の風力発電システムを侵害すると脅迫し、限定的なアクセス情報を公開。
SonyがPSNが侵害されたことをアナウンス
SOEが、顧客データベースが侵害を受けたことをアナウンス
Sony の懸賞サイトが単純なGoogle Searchを通じて侵害され、2500レコードが盗まれる
FOXのX-Factor TVショーの出場者データベースが、LulzSecによるSQL Injectionにより流出。
LulzSecは、FoxのWebサイトの管理者アカウント、従業員のパスワードセールスデータベースを公表
LulzSecは英国のATM情報のデータベース（所有者、配置場所等）を公表
Androidの認証トークンが安全ではないAPIにより侵害数名のAppleの従業員が、20台に1台のMACがMacDefender に感染していると報告。Appleはこの記事を無視している
Sonyは、所有するサーバーがフィッシングに使われている事を発見した
何者かが、Sony所有のインターネット・サービス・プロバイダー（ISP）の上で、128のアカウントから仮想通貨で1,220
ドルを詐取"k4L0ng666"ハッカーが、ソニーミュージックインドネシアのWebサイトをSQL Injectionで侵害した"b4d_vipera" ハッカーが、Sony BMGギリシャのWebをSQL Injectionで侵害し、8500レコードを詐取した
LulzSecは、Sonyの日本のWebサイトをSQL Injectionで侵害し、取得した情報を公開した（ユーザー情報は含まれない）
Sonyカナダは、レバノンのハッカーグループLdahcによるSQL Injection攻撃により、2000レコードを流出した。
Sonyは、影響を受けたカスタマーに無料の個人情報の盗難防護物の1年を約束した
カナダのホンダサイトに不正アクセス、最大28万件以上の顧客情報が流出（ホンダ）

5/29

PBSが、Wikileaksに対する報道の後LulzSecによってハックされる。ハッカーは偽の記事を送って、そのページの変
更した。

5/30
6/1
6/2

RSAから流出した情報を利用して、ロッキードマーチンのサーバーが、侵害された。中国関係が疑われている
インテリアショップサイトに不正アクセス、カード情報含む個人情報が漏えい（ミサワ）
LulzSecは、SQL Injectionを使ってSony Pictures懸賞ウェブサイトから100万件の情報を詐取。Sonyは、実際には
38,000アカウントと発表
何者かが、SQL Injectionを使って、Sony BMGオランダとベルギーから、100万件の情報を詐取。ユーザー名と、平文のパスワードを含む。
Gmailアカウントが侵害され、このアカウントが中国の反体制派グループのものであったことから、中国政府の関与が疑われる
6/3 特定のユーザーとの口論から、LulzSecは 大衆誌ハッカー誌2600のIRCサーバーとProxyサーバーにDDoS攻撃を行う。
メンバーと出版管理がチャット後、論争は結局解決された。
http://www.amazon.com/2600-Magazine-Hacker-Quarterly-Digital/dp/B004GB1WF6Sony EuropeデータベースへのSQL Injectionにより、120人の開発者の名前、写真と電子メール・アドレスが流出
LulzSecは、日本のゲーム・メーカーNintendo（TYO：7974）にそのオンライン・セキュリティのセキュリティ上の問題について警告。
FBIのInfragardがLulzSecにより侵害、emailなどがリークされる

6/2

6/2
6/2

6/3
6/3
6/3
6/5

6/5
6/6
6/8
6/8
6/9
6/9
6/10
6/10
6/11
6/12

6/12
6/12

6/14
6/14
6/14

6/14

6/14

Sony Picturesロシアが、SQLインジェクションによって侵害。いくつかのデータベースから収集されたユーザーレコー
ドが、Pastebinに公開された。（pastbin.com)
Anonymousは、著名な中東の政治家数名の名前、パスワードと電子メール・アドレスを発表した。
Sony BMGが、LulzSecによって侵害され、内部のネットワーク情報と、SCE開発者のコードが盗まれた。
Sony Music ポルトガルは、SQL Injection攻撃により、更にデータが流出した。Ldahcが行ったと視聴している
LulzSecは、セキュリティ企業Black & Berg Cybersecurity Consultingが運営する、”侵入不可能”なWebサイトに侵入。
侵入に成功した場合に支払われる賞金を辞退した。
閉鎖したサービスのサーバに不正アクセス、撤去時に発覚 - ゲオ
Anonymousは、検閲に抗議するため、Low Orbit Ion Cannon (LOIC) DDoS攻撃を使って、トルコに攻撃を行った。
LulzSecは、ポルノサイトから盗み出された、公務員の管理情報とアカウントをポスト
Anonymousインドと名乗るグループが、インド軍のWebサイトにDDOS攻撃を行った
IMFにサイバー攻撃 FBIが捜査へ
LulzSecは、ネットワーク侵入によるベセズダSoftworksとZeniMax Mediaのソースコード、ネットワーク・マッピング等を公開。しかし、ユーザー情報は公開しなかった。「我々は、この企業がすきだから」
米上院の、侵入されないとされるサーバーにも関わらず、LulzSecにより侵害を受けた（Webサーバーの情報を公開）
スペインの警察が、Anonymousの3人の嫌疑のかかっているメンバーを逮捕。Anonymousは、スペインの警察ウェ
ブサイトのDDoSテークダウンで対抗。
Pastebinへの投稿によると、Anonymousは、インド政府への攻撃を非難した、彼らは詐欺師により騙された
Citiグループのカードへの侵害は、当初公開されたものよりも大きかった"Titanic Takeover Tuesday"がLulzSecによって実行される。グループは、ゲーム誌にEscapist、EVE Onlineのサーバ、政府と契約を持つソフトウェア会社Finfisherのサイト、MinecraftのためのサーバとLegends（MMORPG）のLeagueのためのサーバに攻撃
Anonymousは彼らのサイトへのポストを通して、米国連邦準備制度理事会会長Ben Bernankeを標的とした。攻撃が実現したかどうかは不明。
トルコは、Anonymousの32人の嫌疑のかかっているメンバーを逮捕。グループは復讐を宣言

主な出典：Welcome to 2011, Year of the Hacker, Jason Mick (Blog) - June 14, 2011 9:40 PM
http://www.dailytech.com/Welcome+to+2011+Year+of+the+Hacker/article21896.htm

12

公開セグメントと内部セグメント
DMZ

顧客情報等
大量のデータ流出

SQL インジェクション

ハッキング
Intranet
設定ミス

APT

社内の
機密情報
RSA,
Night Dragon,
FBI, IMF

13

事例が示唆する必要な対策（侵害対象への着目）•

侵害の対象は、WEBとデータベース
が約70%を占めている。

侵害対象の分類
PointScam4%– 古典的な公開サーバーに対するセキュ
リティの対策

•重要な情報が侵害されているという点で、APT（新しいタイプの攻撃）の対策も進める必要がある。
– APTとはなにか、何が危険なのか？

•

アジテーションとして、特定の企業グループへの攻撃

DDoS
15%

miss その他
2% 0%

Webのみ
19%

APT
13%

DBのみ
4%

Web+DB43%– 経営上のガバナンスと、ブランディング
の不一致

14

犯罪の基盤としてのボットネット

15

アンダーグラウンドポータルとボットネット
アンダーグラウンド
ポータル

アンダーグラウンドビジネス基盤
としてのボットネット

メニュー例・アカウント系のデータ
口座、クレジットカード、
オンラインアカウント
サーバーアカウント
・技術情報・製品
マルウエア、攻撃コード、
脆弱性
フィッシングキット
・物販・その他情報
ブランクカード、エンボス
機密・非機密情報
海賊版(Wares)

・サービス提供
メール配信（スパム）
DDoS攻撃暗号解読サービス
BBS
ホスティング
ロンダリング（MULE）
アフェリエート

C&C

ボットネットの利用
・ボットからのデータ収集
ターゲットの情報サーバーなどの情報
・DDoS攻撃・スパムメールの送信
・新たなボットを作る基盤（感染）・広告・アフェリエート詐欺

16ボットネットの世界的な展開

17

世界的な金銭の流れ

10000

10000

18

銀行口座を盗み出す
PCから口座情報を詐取

二要素認証を使うオンラインバンクからの金銭を詐取
Man in the
Browser
Attack・ファイル等からの詐取・Key loggerによる詐取

二要素認証によるログイン

認証
ログイン
Top Page

口座Aに100万円を送金

銀行などのID盗難の対策

・二要素認証乱数表
ワンタイムパスワード

口座Aに
送金終了

AをＢに書換え

BをAに書換え

口座Bに100万円を送金口座Bに送金終了

認証の確立したセッションを利用して、トランザクションを改ざんすするため、二要素認証でも攻撃を防ぐことができない。また、銀行から表示されるデータも改ざんされているため、この行為に気づくことは困難。
一般に、送金先は、Money Muleと呼ばれる運び屋の口座が利用される。
Zeus/Zbot, URLZone/Bebloh 等

19

システムとデータをいかに守るのか対策の方向性20

公開セグメント・社内セグメント事案の多くは、公開セグメントに対する攻撃。
まずは、このセグメントを確実に防御する必要がある公開セグメント①公開サーバーへの攻撃

APTに限らず、メール、Web、USB等を経由した攻撃は、境界領域の内側（社内セグメント）に侵入する。
これ等の脅威に対応するためには、社
内セグメント内の対策が必須
USB 128M

Internet
社内セグメント③感染したPCから他のPCへの攻撃

サーバーセグメント②PCへの攻撃USB 128M⑤感染したPCから
サーバーセグメントへの攻撃

USB 128M④感染したPCからセグメント内のサーバーへの攻撃
21

APT: Advanced Persistence Threat
APT攻撃は、イントラネットに感染後、以下の行動をとる。
・外部との通信（命令、情報の送信）・感染したPCからの情報の詐取・他のPCやサーバーへの侵入

公開セグメント①公開サーバーへの攻撃対処するために必要な方策
・セグメント間の通信のコントロール
・Outbound通信のコントロール
・PC、サーバーレベルのセキュリティ対策
USB 128M

Internet
社内セグメント③感染したPCから他のPCへの攻撃

サーバーセグメント②PCへの攻撃USB 128M⑤感染したPCから
サーバーセグメントへの攻撃

USB 128M④感染したPCからセグメント内のサーバーへの攻撃
22

セグメント間の通信と脅威・対策
公開セグメント

I

S

サーバーセグメント

ソース
O インターネット
M USBメモリ等
U 持ち込みPC等
P 公開セグメント
I 社内セグメント②PCへの攻撃S サーバーセグメントP

社内セグメントInternet

U

公開セグメント

USB 128M

M

USBメモリ等

ターゲット

インターネットO

持ち込みPC等①公開サーバーへの攻撃

O-P
O-I
社内セグメント
M-P M-I
P-O
I-O
S-O

USB 128M

P-M
I-M
S-M

P-U
I-U
S-U

U-P
P-P
I-P
S-P

U-I
P-I
I-I
S-I

O-S
③感染したPCから
M-S
他のPCへの攻撃
U-S
P-S
I-S
S-S

従来からの想定されている脅威
メールウイルス対策
標的型攻撃
受動的攻撃

Conficker
サーバーセグメント
Auto runなど

検疫LAN等

イントラネット内部
あまり脅威は想定されていない⑤感染したPCから
USB 128M
サーバーセグメントへの攻撃
情報の外部への持出C&Cなどとの通信・司令④感染したPCからあまり脅威は想定されてセグメント内のサーバーへ
いない
の攻撃

23

対策の方向性• 通達から制御へ• 管理者権限からユーザー権限へ• ブラックリストからホワイトリストへ• インタビューから計測へ• より安全性の高いシステムへ• セグメンテーションを再考する

24

セグメンテーションを再考する

25

公開セグメント•

物理的な対応––•FWによるアクセスコントロール
IPS/WAF等による攻撃の検知・防御

サーバーレベルの対処––

脆弱性対策、安全性の高い設定

アプリケーション•

脆弱性対策、安全性の高い設定•

子会社・関連会社を含めたガバナンス–

オペレーションとマネージメント
–
–
–

•

脆弱性パッチ、安全性の高い設定（要塞化）ミドルウェア等•–

USB 128M

ＯＳ・システム••

公開セグメント

境界領域の対応––•

入退出制限・管理
非正規デバイスの持ち込み・接続の対処

パッチの配信と安定した運用の両立
安全性の高い設定の統制
ログや攻撃に関する情報のモニター対策と対策レベルの確認––

セキュリティ診断・インベントリ
コンテンツの確認––

経営の独立性から、ITガバナンスを、子会社・関連会社ごとに独立している事が多い。
しかし、経営上のガバナンスの範囲と、世間（社会）がイメージするブランドの範囲は異なる事が多い。
これまで、各社ごとのガバナンスに重点が置かれてきたが、今後は、グループ会社やブランドと言ったより大きな単位で、ガバナンスを考えていく必要が出てきている。

26

内部セグメント•

物理的な対応––•FWによるアクセスコントロール
IPS等による攻撃の検知・防御
メールサーバー等によるウィルス対策
PROXY等を使ったアクセス制御

PC・サーバーレベルの対処––•

脆弱性パッチ、安全性の高い設定（要塞化）ディスクボリュームレベルの暗号化
USBメモリなどの暗号の強制パッチの配信と安定した運用の両立
安全性の高い設定の統制
ログや攻撃に関する情報のモニター対策と対策レベルの確認
セキュリティ診断・インベントリ
コンテンツの確認

境界領域防御の限界––

脆弱性対策、安全性の高い設定

オペレーションとマネージメント––•

アプリケーション•–––

USB 128M

ＯＳ・システム••••社内セグメント

境界領域の対応––––•

入退出制限・管理
非正規デバイスの持ち込み・接続の対処•

2000年ごろから常識化している境界領域防御では、対策の難しい攻撃が増えている。
メール、Web閲覧、USBメモリの持ち込み等を使った攻撃は、境界領域を超えて、直接社内セグメン
トに侵入する。

ゼロデー攻撃–––高度な攻撃においては、ゼロデー攻撃が利用される。
これ等の攻撃は適切なパッチマネージメントを行っていても防ぐことができない。
対処するためには、システムレベル、セグメントレ
ベルでの要塞化、そしてモニタリングが必要となる。
27

APTに対する考察
システムレベル・セグメントレベルの要塞化•

物理的な対応–•N/A

境界領域の対応–•

公開セグメント

マルウエアの通信に対する対策• セグメント間のアクセスコントロール• Outbound通信のコントロール

USB 128M

社内セグメント

PC・サーバーレベルの対処–

ＯＳ・システム••

脆弱性パッチ、安全性の高い設定（要塞化）
侵入を前提とした対処

USB 128M

USB 128M–

アプリケーション•••

脆弱性対策、安全性の高い設定

オペレーションとマネージメント
–
–
–

•

セキュリティ診断・インベントリ

セグメント間の通信のコントロール––

パッチの配信と安定した運用の両立
安全性の高い設定の統制
ログや攻撃に関する情報のモニター対策と対策レベルの確認–

サーバーセグメント

セグメント間の通信をDefault Denyとする。
セグメント内の通信をDefault Denyとする。
•–•

PC間での通信の必要性を再考する

管理用セグメントの分離。

Outbound通信の制限
外部への情報の詐取と、通信、司令、新しいマルウエ
アのダウンロードを防ぐ– 外部との通信を許可するプロトコルを限定する。
– Webアクセスは、Proxyを経由を義務付ける

28

マイクロソフトのアプローチ

29

統制すべき具体的な問題
脆弱性の対応の必要性

脆弱な設定を回避する

未知(Zero-day)

パッチ提供から1ヶ月以内
パッチ提供から2ヶ月以内

LM 認証
未知の攻撃の占める割合(2011年上半期）

システムに対して安全な設定を行う（最低限の設定例）
項目
パスワードの有効期間
パスワードの変更禁止期間
最小パスワード

更新プログラムあり
99.88%

1日
12文字以上パスワードは複雑さを満たす必要がある

有効

暗号化を元に戻せる状態でパスワードを保存する

無効

ロックアウト期間
アカウントのロックアウトのしきい値

更新プログラムな
し（未知）
0.12%

値
42日間

ロックアウトカウンタのリセット
ネットワーク セキュリティ : 次のパスワードの変更で LAN ManagerのHashの値を保存しない

ネットワーク セキュリティ : LAN Manager 認証レベル

1分
10回ログオンに失敗
15分
有効
NTLMv2 応答のみ送信する。
LM と NTLM を拒否する

30

安全な設定と環境を強制する

適切なグループポリシーの適用
SCM (Security Compliance Manager)•••

標準化されたグループポリシー
現在のグループポリシーとの比較作成したグループポリシーの適用

31ユーザ権限の管理と多層防御
マルウエアの動作とプロセス権限
Windows XPまでの
実質的な標準動作モデル

管理者権限
プロセス

Windows XP
ダウンロード操作

ユーザー権限
プロセス

起動

プロセス

データ

1. 脆弱性を使ってShell Codeを動作させる
2. 任意のエリアへ、2段目のマルウ
エアをダウンロード
3. システムの情報を操作し、起動時の登録、ドライバーの登録
4. その他

Windows 7のAppLockerによるプログラムの起動制限モデル

テンポラリ

プログラム

1. ダウンロードした2段目のマルウエア（本体）を起動
2. システム領域を含む全てのリソースへの書き込み権限を有するため、ドライバーとしての動作、システム
起動時のマルウエアの起動等を任意に行うことができる。
3. これを起点に任意の動作を行う

システム

Windows 7
ダウンロード操作+整合性レベル+AppLocker
1. 限定されたエリアへ、2段目のマルウエア
をダウンロードする
システムエリア、プログラムエリアへはダウンロードできない
2. システム情報の操作ができない。

起動

AppLockeによるブロック

テンポラリ
データ
プログラム
システム

プロセス
1. AppLockerにより、テンポラリ、データエリアからのプログラムの起動を禁止することで、ダウンロードした2段目のマルウエア（本体）の起動を止めることができる。
2. マルウエア本体が起動されないため、これ以降の動きができない。

32

入り口の対策：Office 2010の多層防御
ドキュメント単体

ドキュメント＋Active
Contents

SDLによる脆弱性/アタックサーフェスの削減

ActiveContents

定期更新による脆弱性の対応はOffice 2003と共通
XML化はOffice 2007と共通
上記以外はOffice 2010からXML化による攻撃コードを挿入する余地の減尐
ファイル検証機能により疑わしいファイルをブロック

ファイル制限機能によるファイルのブロック

ドキュメントを開く

Active Contentsの無効化

危険なActive Xの無効化

脆弱性への攻撃

定期更新による脆弱性の対応
Buffer Overflow攻撃の対策

ALRも利用保護されたビュー（サンドボックス）での実行

Office 2010では、ユーザーが、これらの対策を意識しな
くて済むように、インタフェー
スの工夫がされている。

Shell Codeの実行保護されたビュー + restricted token（Write権限の削除等）

Office 2010 のセキュリティの概要: http://technet.microsoft.com/ja-jp/library/cc179050.aspx
Protected View in Office 2010: http://blogs.technet.com/b/office2010/archive/2009/08/13/protected-view-in-office-2010.aspx

33

入り口の対策
Office ファイル内のアクティブコンテンツ無効化

メール添付やインターネットからダウンロードされたドキュメントは、
アクティブ コンテンツ（画像、Active X）が無効化されて表示される

34

Enhanced Mitigation
Experience Toolkit
EMET =
脆弱性緩和技術導入ツール••

6 つのセキュリティ緩和技術
あらゆるアプリケーションに対応
–
–
–
–

•
•

基幹業務アプリケーション
他社アプリケーション
古いアプリケーション
ソース コードが利用不可のアプリケーション

プロセス単位で設定
更新プログラム インストール前の緩和策

35

AppLocker：ホワイトリスト化• 指定した特定のプログラムの実行を許可・拒否する• プログラム（マルウェア）の実行・感染防止、ゼロデイ対策に
も役立つ

36

リモート接続環境を整える:DirectAccess• USB で情報を持ち出さなくて良いようリモート接続環境を整える• 社外のPCを、社内と同様にドメイン管理– グループポリシーの適用、バージョンアップの実施など– ノート PC持ち運ぶPCの管理も容易に
VPNとDirectAccessの比較•接続できるまで数分を要する•接続が切れると、再接続が必要•環境によって利用できない

イントラネット

VPN
DirectAccess•コンピューターとユーザーを認証•シームレスな接続•ログオン前にリモート管理が可能•多くの環境で利用可能•IPsecはEnd-to-End/End-to-Edgeを選択可
能37

サイバー犯罪の収益バランスを変える38

ボットネットのテイクダウン事例
日時

ボット名

推定台数

概要

2010/2/22

Waledac

数十万台

Operation b49
1日当たり15億通以上のスパム・メール送信に悪用

2010/10/25

Bredolab

3千万台

オランダ当局ハイテク犯罪チーム主導。ボット
ネットの停止の他、追加コマンドを送信し、コンピュータが感染していることを表示するプログ
ラムをダウンロードさせてユーザーに通知

2011/4/11

Coreflood

2百万台

FBI 主導。感染したPCに対してマルウェアの停止コマンドを送信

2011/3/17

Rustock

2百万台

Operation b107
1日当たり300億通以上のスパム・メール送信に悪用。全スパム流通量の47.5％はRustock経由で送信

2011/9/27

Kelihos

4万台

Operation b79
スパムの大量送信、個人情報の窃盗、DDoS攻撃など。Waledac との類似性から Waledac
2.0 とも呼ばれている。

39

Waledac: Operation b49
WALEDACボットネット「遮断」アプローチ
短期的 – 先例を作る
Hotmailは18日間でWaledac感染コンピュー
タからの接続6億5,100万件を遮断
39カ国における
ボットネット
上位10位

DNSの対策：ホスト名の削除
ICANNの紛争解決方針

犯人逮捕

ハーダーに動きを知られ、対応の時間を与える

犯人不明のため、法的対策が取れない

連邦裁判所

Flux

一方的な仮処分(ex parte TRO)

停止依頼
（非公式なレター）

DNS サーバーのTake Down

48時間以内のドメイン名の停止を、当事者に知らせることなく強制できる

強制力がないため、必ずしも実施されない

DNSサーバーは、ハーダーのものではない

41

DNSの対策：ホスト名の削除
連邦裁判所に対する一方的なTRO発行の必要性の訴求
連邦裁判所は、通知を行った場合、訴訟を避け、不法行為を続ける機会があると判断し、“一方的なTRO”を発行した。
（30年以上前に偽ブランド品に対して実施）

ドメインが乗っ取られているケースの対処
ドメイン登録者を被告とせず、27のドメイン登録者に対して被告人不詳として訴訟（John Does訴訟）。
中国のレジストラを通じて登録されたドメインの対処

連邦裁判所
一方的な仮処分(ex parte TRO)
紛争相手への事前通史なしに、一時的（14-28日間）な対処を行
うための特別な救済策、証拠隠滅や回避策の実施を阻止するために適用される。
一般に”一方的なTRO“の発行は困難で、連邦原則ルール 65に基づき、「これを行わない場合に即座に解決できない危害が継続すること」、「相手方への通知を行い、それができない場合にはその理由を明確にすること」を求めている。

起訴手続きの連邦原則、米国憲法、中国の法律を満たすことを確認し、ハーグ条約に基づいて、中国法務省に依頼
ドメイン登録者に通知
適法手続権利の維持を保証するため、ドメイン登録者に、訴状を送ると共に、電子メール、FAX、書簡による通知を行い、加えて、サイトを作成し、訴訟に関する書面をすべて掲載の上、これをメディアなどを通じて周知
www.noticeofpleadings.com
停止命令が実施されない場合の対処
停止命令が実行され倍場合に、ドメインの所有権がマイクロソフトに移行するように申請し、認められる。
42

Operation b107:Rustock 解析結果•

ハードディスク20台の解析結果–

スパムを送信するためのソフトウェアとデータ
•
•
•

–

–

ロシアのIPアドレスに対するサイバー攻撃に利用されていたことを示すデータ
匿名インターネットアクセスを提供するノードとして
使用
•

•
•
•

2011年3月16日、米国の7都市に拠点を置くホス
ティングプロバイダー5社からサーバーを押収
プロバイダーの支援を受け、ボットネットを制御しているIPアドレスを分断

数千個の、メールアドレス、ID/パスワードの組み合わせを含んだテキストファイル
42万個以上の電子メールアドレス
マイクロソフトや製薬会社の商標を不正に利用したテンプ
レート

電子メールテンプレート、商標、電子メールアドレスなどを保存する Rustockシステムへの匿名アクセスを提供するために使用したとみられるサーバーのホスティング契約を調査
–
–
–
–
–

オンライン決済サービスを利用アカウントはモスクワ付近の住所が登録
C&Cサーバの多くは“Cosma2k”という個人によって設定
このニックネームは多数の異なる名前と関連
法的な措置を取るために、これらの名前、電子メー
ルアドレス、その他の証拠に対する調査を継続している

43

オペレーションの結果•

Rustockが利用するフェールオーバー用ド
メイン名を使った観測––•
シンクホールに接続した IP アドレス数の推移 (1 週間ごと)

アルゴリズムを解析し、該当するドメイン名をマイクロソフトが取得
このドメインへの通信は、シンクホールへ向けられる

地理的な分析

第1週（トラフィックの多い国）第1週（トラフィックの尐ない国）

米国

5,580万

中国

42万

フランス

1,370万

チリ

50万

トルコ

1,340万

デンマーク

53万

カナダ

1,140万

ノルウエー

58万

インド

730万

ブラジル

710万

44

その他のアプローチ• MAPP: Microsoft Active Protection Program– セキュリティ更新プログラム公開前に、詳細な脆弱性情報を、セキュリ
ティベンダーに提供– セキュリティ更新プログラム公開直後の集中的なアタックの対策– Zero-Day攻撃が発生した際にもユーザーを守る• MSRT: Malicious Software Removable Tool
– 月例の更新の際に、影響の大きなマルウエアを削除する• SDL: Security Development Lifecycle– 安全なシステムを開発・構築するための規範• MSRA: Microsoft Security Response Alliance– GAIAIS, SCP, SAFI

45

むすび

46

Malware Infection Rate in Japan
2008

2007

2009

ランク
20
18
16
14
12
10
8
6
4
2
0

レート
19

3.5

3.0

3

15

2.3

2.5
2

1.5

1.5

2H07

1H08

1.7

1.5
4
1

1

2H07

1H08

1
0.5

2H08

1H09

2H09

0
2H08

1H09

2H09

47

USB 経由で感染するマルウェアの減尐
XP/Vista 自動実行機能（Autorun）無効化の効果

200,000
180,000

160,000

2011年2月
Windows Update で自動実行機能の無効化の更新プログラムを配信

140,000
120,000
100,000
80,000

XP+VistaWin7

60,00040,00020,0000

図5. 悪意のあるソフトウエア削除ツールで削除された Conficker の数 (2010/12-2011/12)

 Windows XP, Windows Vista に自動実行機能（Autorun）を無効化する更新プログラムを配信することで、約 9か月間で Conficker を半分以下に削減
48

結び• 昨日とは違う今日– インターネットの発展・変化に伴って、攻撃の目的と方法が変わっている– 境界領域防御だけでは守れなくなってきている• 対策の方向性– 通達から制御へ– 管理者権限からユーザー権限へ– ブラックリストからホワイトリストへ– インタビューから計測へ– より安全性の高いシステムへ– セグメンテーションを再考する• 現実的に対策を進める– すべてを一度に対応できるのがベスト– しかし、何もしないのはワースト4950