製品分野別セキュリティガイドライン
金融端末（ATM）編
セキュリティ対策検討実践ガイド－犯罪事例の分析と対策立案－
Ver. 2.0
平成30年3月31日
CCDS セキュリティガイドラインWG
ATM SWG
Copyright 2017 Connected Consumer Device Security Council Proprietary1１．実践ガイドの位置づけと特長(1)セキュリティ対策検討実践ガイドの位置づけ
 2016年6月に公開された「製品分野別セキュリティガイドライン金融端末（ATM）
編」に従い、具体的なセキュリティ対策を検討するために、本ガイドは提供されている。
 セキュリティ対策を検討するに当たり、一般論で分析して得られた脅威より、過去に実際に起こった犯罪手口の方がリスクが高いと考え、本ガイドはそれらに対するセキュリティ対策を優先的に検討するためのものである。
(2)実践ガイドに沿った対策立案の特長
 セキュリティ対策を検討するに当たり、本実践ガイドでは多層防御を考慮するだけに留まらず、新たなセキュリティ対策が、既存業務への影響度合いも鑑みて、対策の実効的な有効性を見積もる方法を提供している。
 既存業務への影響度合いは、セキュリティ対策導入に伴う新たな管理工数によって見積もられる。
 この方法により、既存業務との親和性を考慮して、真に有効なセキュリティ対策立案のための分析や検討が可能になることを期待している。

Copyright 2017 Connected Consumer Device Security Council Proprietary2２．セキュリティ対策立案手順
節

分 類

項番

セキュリティ対策立案手順（１） 守るべき保護対象のリストアップ
犯罪事例分析と2.1.1 対策案リスト
アップ

2.2.2

対策の業務への
影響分析

2.3

対策案の
比較評価

2.4

未出現犯罪に対する適用拡張（２） 守るべき保護対象を狙う典型的な犯罪事例の収集（３） 犯罪事例の攻撃ステップへの分解（４）

各攻撃ステップを防御するための対策のリストアップ（多層防御を考慮）（５）

リストアップした各対策が既存業務に与える影響 （運用中の管理工数の面から）の分析

既存業務への影響を考慮した各対策効果の実効性見積り（７） 実効的効果を考慮した対策比較と選択
（６）

（８）

未出現の犯罪に対しても、上記（１）～（７）の分析を通じて有効な対策を見積り、適用拡張

Copyright 2017 Connected Consumer Device Security Council Proprietary3３．（１）守るべき保護対象のリストアップ（２）守るべき保護対象を狙う典型的な犯罪事例の収集（１）守るべき保護対象のリストアップ例
重要度

既存規格※や枠組みでの保護対象

既存規格や枠組みで保護されない対象

・暗証番号
・磁気カードトラックデータ

・現金（紙幣、硬貨）
・出金コマンド・入出金口シャッタ開コマンド
・入金計数データ/入金（送金）先口座番号

中・カード番号（カード番号を含むログデータも対象）

・カードデータ（ATMアプリ内のメモリ上)
・カード媒体小-高

上記を含まないログデータ等（２）守るべき保護対象を狙う典型的な犯罪事例の収集例
重要度

分類

保護対象

犯罪事例

高

暗証番号

・暗証番号

暗号化されていない場合に、マルウェアなどによりデータを盗難される。

中

カードデータ・カードデータ（ATMアプリ内
メモリ)

マルウェアを用いたATM制御部RAM上のカード番号を盗難される。ネットワークから侵入する場合は、マルウェアが正規ソフトとしてソフト配布サーバから配信されるので、ホワイトリスト型ウィ
ルス対策が有効でない場合がある。

高

現金
（紙幣）

・出金コマンド

マルウェアを用いた不正出金が行われる。
（a) 媒体を用いた物理的侵入/b) ネットワークからの侵入）

Copyright 2017 Connected Consumer Device Security Council Proprietary4３．（３）犯罪事例の攻撃ステップへの分解（３）犯罪事例の攻撃ステップへの分解
例）マルウェアを用いた不正出金の構図（物理的侵入）の攻撃ステップ
保守用扉(1)ATM保守扉開錠

物理鍵

扉錠
ATM
USBポート電話機
USBメモリ

USBポート (2) マルウェア

HDD

インストールアプリケーション

マルウェア(4)出金操作 -その１（スクランブルコード送信）

リモート指示者（４）出金操作 -その２（承認コード受信）(5)紙幣回収

光学ドライブブートメディア

ディスプレイPIN PAD
現地実行者

マルウェア
(3)マルウェア
起動

ミドルウェアドライバ

OS(4)出金操作 -その３（承認コード入力）

金 庫

制御部

紙幣処理部

BIOS

(4)出金操作 -その４（出金コマンド送信）

現金
勘定系ホストコンピュータCopyright 2017 Connected Consumer Device Security Council Proprietary5３．（４）各攻撃ステップを防御するための対策のリスト
アップ（多層防御を考慮）（４）各攻撃ステップを防御するための対策リスト例（多層防御を考慮）
以下の表は、EUROPOL(欧州刑事警察機構)が発行した「ガイダンスと推奨事項」(*1)に記載されている対策
要件を、多層防御に当てはめた事例である。

マルウェアによる不正出金の各攻撃ステップを防御するための対策リスト①保守扉開錠
第１弾
物理的アクセス②マルウェア
インストール③マルウェア起動

④出金操作

①本人確認
②保守扉鍵管理③監視カメラ第２弾
オフライン防御①BIOS設定②ハードディスク暗号(*2)

第３弾
オンライン防御⑥OSハードニング⑦ホワイトリスト⑧USBデバイス防御⑥OSハードニング⑦ホワイトリスト

第４弾
追加対策⑪ソフトウェア挙動監視⑫ATM装置監視⑬職務の分割⑪ソフトウェア挙動監視⑫ATM装置監視⑭現金補充額/周期の最適化※ 赤色で下線が引かれた太文字は、対策実行に当たり管理工数が多いと思われる要件を示す。
*1 European law enforcement agency, "Guidance and recommendations regarding logical attacks on ATMs", 11th June 2015,
https://www.ncr.com/sites/default/files/brochures/EuroPol_Guidance-Recommendations-ATM-logical-attacks.pdf*2 理暗号鍵管理のためにパスワードが使われる場合は、管理工数が大きい対策に分類される。

Copyright 2017 Connected Consumer Device Security Council Proprietary6３．（５）各対策が既存の業務に与える影響を管理工数の面から分析 -その１（５）各対策が既存の業務に与える影響を管理工数の面から分析（手順） -その１（分析ステップⅠ） リストアップした各対策の影響分析
Ⅰ-① リストアップした各対策が影響を与えるATM運用に関する「作業項目」を洗い出し、「作業頻度」（年間当り）を想定する。
Ⅰ-② 洗い出した「作業項目」を一連の「作業ステップ」に分解する。
Ⅰ-③ ATM運用に関する「管理領域」を定義し、各「作業ステップ」を当てはめる。「管理領域」とは、管理工数を見積もりやすくするために本書で定義する概念で、例えば、保守扉内作業、金庫扉内作業、営業店内作業のように物理境界ごとに定義してもよい。
影響を受ける
ATM運用作業
作業項目１
リストアップした各対策

作業頻度も
見積もる
作業項目２

作業ステップ１

管理領域Ｂ

作業ステップ２

管理領域Ｃ

作業ステップ３

管理領域Ｂ

作業ステップ１

管理領域Ａ

作業ステップ２

管理領域Ｂ

Ⅰ-④ 「管理領域」ごとに、各対策から導かれる管理の「あるべき姿」を想定する。
Ⅰ-⑤ 「あるべき姿」を実現するために、新たに必要となる管理作業内容を洗い出す。
Ⅰ-⑥ 上記Ⅰ-⑤に加えて、「作業項目」発生に依らず、各要件を満たすために、定常的に発生する管理作
業内容も合わせて洗い出す。
Copyright 2017 Connected Consumer Device Security Council Proprietary7３．（５）各対策が既存の業務に与える影響を管理工数の面から分析 -その２（５）各対策が既存の業務に与える影響を管理工数の面から分析（手順） -その２（分析ステップⅡ） リストアップした各対策の管理工数分析
Ⅱ-① 各「作業ステップ」において、それぞれの管理作業内容の工数を見積り、「作業項目」単位で累積する。
加えて、定常的に発生する管理作業内容の工数も見積もる。
Ⅱ-② 「作業項目」単位で累積された管理作業内容の工数と、I-①の「作業項目」毎の頻度の積を計算する。
それに定常的に発生する管理作業内容の工数を加える。それを全「作業項目」に渡って累積する。
Ⅱ-③ 上記Ⅱ-①、Ⅱ-②の作業を、リストアップした対策毎に行う。リストアップした対策が全く新規の「作業項目」を生じる場合も分析ステップⅠ、Ⅱを行う。

Copyright 2017 Connected Consumer Device Security Council Proprietary8３．（５）各対策が既存の業務に与える影響を管理工数の面から分析 -その３■（分析ステップ I） リストアップした各対策の影響分析
Ⅰ-① リストアップした各対策が影響を与えるATM運用に関する「作業項目」を洗い出し、「作業頻度」（年間当り）を想定する。

運用に必要な作業項目と作業内容例
作業項目

作業内容

a) 警送作業

警送会社の警送員、あるいは銀行の係員が、ATMから余分な現金を回収したり、不足現金を補充したりする作業である。通常一人で現金にアクセスすることはセキュリティ
上禁止されており、二人以上の作業員が一緒に作業を行う。ATM内部へのアクセスを伴う作業としては、警送作業が最も多い。

b) 定期清掃作業

ATM内では紙幣搬送に伴い紙粉が内部に蓄積して、紙幣ジャム等の障害につながる可能性があるので、定期的に清掃作業が行われている。清掃は現金処理部に対しても行われるので、警送作業と同様にATM保守扉を開錠することに加えて、金庫扉等の物理的保護手段を開錠する作業が発生する。

c) ソフト更新作業

ATMでは、サービス変更等に伴い、アプリケーションなどのソフトウェアや設定変更、
および、ATMでの広告コンテンツの入れ替え等のために、ソフトウェアの更新作業が発生する。作業の発生頻度については、金融機関毎に異なる。

d) 障害復旧作業

ATMサービスにおいて、紙幣の搬送中にジャムが発生するなどの障害が起こった場合に復旧作業が必要になる。現金処理部での障害復旧は、警送作業と同様にATM保守
扉を開錠することに加えて、金庫扉等の物理的保護手段を開錠する作業が発生する。
一般に障害復旧による内部へのアクセス頻度は最も少ない。

e) 消耗品補充・部品交換作業

取引明細書の印字用紙や通帳プリンタのインクといった消耗品の補充、ならびに、
ハードディスクドライブや、紙幣搬送に必要なゴムローラーやベルトなどの寿命がある
部品の交換に伴い、ATM内部へのアクセスを伴う作業が発生する。
Copyright 2017 Connected Consumer Device Security Council Proprietary9３．（５）各対策が既存の業務に与える影響を管理工数の面から分析 -その４■（分析ステップ I） リストアップした各対策の影響分析
Ⅰ-② 洗い出した「作業項目」を一連の「作業ステップ」に分解した上で、Ⅰ-③ ATM運用に関する「管理領域」を定義し、各「作業ステップ」を当てはめる。

ＡＴＭ運用に伴う管理領域の分類例(m1) 他拠点での管理(m2) 営業店外輸送中管理(m3) 営業店内管理・警送作業
・定期清掃作業・障害復旧作業（紙幣ジャム）(m4) ATM保守扉内管理

作業中の
管理の流れ

(m5) 金庫扉内管理・保守作業（金庫外）
・ソフト更新作業（媒体利用）
・消耗品補充・部品交換作業（金庫外）

監視(m6) 監視センタ内管理

警送作業の作業ステップへの分解と管理領域の分類例
作業ステップ

作業ステップ毎の管理作業

作業員本人確認

作業員身分証明書確認/作業スケジュール照合

ATM保守扉物理鍵手渡し

保守扉物理鍵持出管理

侵入警報装置解除

侵入警報装置解除キー持出管理

金庫扉開錠

二人一組の金庫扉物理鍵管理

現金カセット交換作業

作業記録と妥当性検証

金庫扉閉錠と侵入警報装置起動

金庫扉物理鍵施錠管理

ATM保守扉物理鍵返却

保守扉物理鍵返却管理

作業記録

管理領域
(m3) 営業店内管理(m4) ATM保守扉内管理(m5) 金庫扉内管理(m4) ATM保守扉内管理(m3) 営業店内管理

作業記録管理Copyright 2017 Connected Consumer Device Security Council Proprietary10３．（５）各対策が既存の業務に与える影響を管理工数の面から分析 -その５■（分析ステップ I） リストアップした各対策の影響分析 –その２Ⅰ-④ 「管理領域」ごとに各対策から導かれる管理の「あるべき姿」を想定し、Ⅰ-⑤ 「あるべき姿」を実現するために、必要となる管理作業内容を洗い出すと共に、Ⅰ-⑥ 定常的に発生する管理作業内容も合わせて洗い出す。
ATM運用に伴い、作業発生時のセキュリティ維持に必要な「あるべき管理の姿」に必要な管理作業内容例
#

管理領域

1

想定場面

「あるべき管理の姿」に必要な管理作業内容

リリース時

・媒体運搬中の管理 （二人一組による管理等）

出動時

・媒体・パスワード運搬中の管理 （二人一組による管理等）(m2) 営業店外輸送中管理
23(m3) 営業店内管理

出動時

・鍵貸出・返却管理、適切使用管理
・出張所の場合輸送中の管理 （二人一組による管理等）

4(m4) ATM保守扉内管理

出動時

・作業中の不正監視 （二人一組による管理等）

5(m6) 監視センタ内管理

定期確認・ブース監視カメラ画像を異常がないか、定期的な目視確認

ATM運用に伴い、定常的に発生する管理作業の「あるべき管理の姿」に必要な作業内容例
#
1

管理領域
(m3) 営業店内管理

2(m1) 他拠点での管理
34(m6) 監視センタ内管理

想定場面「あるべき管理の姿」に必要な管理作業内容

常時(24h×365日)

・物理鍵保管場所でのアクセス管理（生体認証等）

開発中常時(24h×365日)

・開発環境や評価環境のアクセス管理や維持管理

常時(24h×365日)

・媒体パスワードのアクセス管理（生体認証等）
・リモート配信の場合はサーバやネットワークのセキュリティ管理（入退管理の生体認証等）

常時(24h×365日)

・ATMからの異常動作や想定外のシャットダウンを常にチェック・ブース監視カメラ画像を異常がないか定期的な目視確認

Copyright 2017 Connected Consumer Device Security Council Proprietary11３．（５）各対策が既存の業務に与える影響を管理工数の面から分析 -その６■(分析ステップⅡ) リストアップした各対策の管理工数分析
Ⅱ-① 各「作業ステップ」において、それぞれの管理作業内容の工数を見積り、「作業項目」単位で累積する。
加えて、定常的に発生する管理作業内容の工数も見積もる。

管理領域毎の想定管理作業工数見積り例
#

管理領域

想定場面

「あるべき管理の姿」に必要な管理作業内容1(m2) 営業店外輸送中管理

出動時

・媒体・パスワード運搬中の管理（二人一組による管理等）

人件費単価×2人分×移動時間/回/営業店

・鍵貸出・返却管理、適切使用管理

鍵貸出返却手続き時間/回/営業店

・出張所の場合輸送中の管理（二人一組による管理等）

人件費単価×2人分×移動時間/回/営業店

2(m3) 営業店内管理

出動時

3

想定管理工数4(m4) ATM保守扉内管理

出動時

・作業中の不正監視（二人一組による管理等）

人件費単価×2人分×作業時間/回/台

5(m6) 監視センタ内管理

定期
確認時

・ブース監視カメラ画像を異常がないか定期的な目視確認。

映像検証作業時間/回/週/店舗

Copyright 2017 Connected Consumer Device Security Council Proprietary12３．（５）各対策が既存の業務に与える影響を管理工数の面から分析 -その７■(分析ステップⅡ) リストアップした各対策の管理工数分析
Ⅱ-② 「作業項目」単位で累積された管理作業内容の工数と、Ⅰ-①の「作業項目」毎の頻度の積を計算する。
それに定常的に発生する管理作業内容の工数を加える。それを全「作業項目」に渡って累積する。
Ⅱ-③ 上記Ⅱ-①、Ⅱ-②を、リストアップした対策毎に行う。リストアップした対策が全く新規の「作業項目」を生じる場合も分析ステップⅠ、Ⅱを行う。
マルウェア不正出金対策(EUROPOL要件)と関わる管理領域の例#

攻撃ステップ

対策（EUROPOL要件）管理領域

管理領域

①本人確認
②保守扉鍵管理③監視カメラ(m3) 営業店内管理④BIOSパスワード保護⑤ハードディスク暗号化(ﾊﾟｽﾜｰﾄﾞ,暗号鍵管理含む)(m1) 他拠点での管理(m2) 営業店外輸送中管理(m3) 営業店内管理(m4) ATM保守扉内管理⑥OSハードニング⑦ホワイトリスト⑧USBデバイス防御⑪ソフトウェア挙動監視(m4) ATM保守扉内管理

4⑫ATM装置監視(予期せぬﾘﾌﾞｰﾄ)(m6) 監視センタ内管理

5⑬職務の分割(m3) 営業店内管理

6⑥OSハードニング⑦ホワイトリスト⑪ソフトウェア挙動監視(m4) ATM保守扉内管理⑫ATM装置監視(m6) 監視センタ内管理⑭現金補充額/周期の最適化(m5) 金庫扉内管理

1(1) 保守扉開錠

23(2) マルウェア
インストール(3) マルウェア 起動78(4) 出金操作

Copyright 2017 Connected Consumer Device Security Council Proprietary13３．（６）既存業務への影響を考慮した各対策効果の実効性見積り リストアップした対策の導入により、導入前後でセキュリティリスクがどう変化するかをリスク評価式により見積もる。
 リスク評価方式には複数の手法があり、以下にリスク評価方式の例を示す。
リスク評価方式例
評価手法

計算式

CVSS方式

基本値 ＝ RoundUp1(min [(影響度＋攻撃容易性), 10])
影響度 ＝ 1 - (1 – C)×(1 – I)×(1 - A), C:機密性への影響、I:完全性への影響、A:可用性への影響
攻撃容易性 ＝ 8.22×AV×AC×PR×UI, AV:攻撃区分、AC:攻撃条件の複雑さ、PR:必要な特権レベル、UIユーザ関与レベル

CCDS
改良方式

リスク値 ＝ (難易度＋影響度)×攻撃者のモチベーション
難易度 ＝ 4ランク(複数条件,単一条件,単一条件 or ローカル,条件なし)
影響度 ＝ 4ランク(軽微,中程度,重大,壊滅的)

EDC方式

EDC : Event tree and Defense tree combined method
合計リスク値＝ 時系列事象毎リスク値を加算
時系列事象毎リスク値 ＝ その時系列事象での攻撃失敗確率× その前の時系列事象までで受けた被害の影響度

ALE法

ALE : Annualized Loss Expectancy (年次損失予測)
年次損失予測(ALE) ＝ 単一損失予測(SLE)×年次発生頻度(ARO)＝ 資産価値(AV)×顕在化(EF)×年次発生頻度(ARO)
ただし、単一損失予測(SLE) ＝ 資産価値(AV)×顕在化(EF)SLE : Single Loss Expectancy, ARO : Annualized Rate of Occurrence

OWASP法Risk(リスク) ＝ Likelihood (発生可能性)×Impact (影響度)Likelihood (発生可能性) ＝ Thread Agent (脅威の度合い)＋Vulnerability (脆弱性の度合い)
Impact (影響度) ＝ Technical Impact (技術への影響度)＋Business Impact (ビジネスへの影響度)
Copyright 2017 Connected Consumer Device Security Council Proprietary14３. （７） 実効的効果を考慮した対策比較と選択■リストアップした各対策のリスク値または、管理作業工数の算出結果を比較して、どの攻撃ステップで重点的に対策すると効果的かを見積もる。
■管理作業工数とリスク値は一対一対応するので、以下の説明ではリスク値同士を比較する代わりに、管理
作業工数同士を比較する方法を使用する。
各管理領域に属する対策(EUROPOL要件)
攻撃ステップ(1) 保守扉開錠

管理領域(m3) 営業店内管理①本人確認②保守扉鍵管理③監視カメラ(m1) 他拠点での管理④BIOSパスワード保護⑤ハードディスク暗号化(パスワード,暗号鍵管理含む)(m2) 営業店外輸送中管理④BIOSパスワード保護⑤ハードディスク暗号化(パスワード,暗号鍵管理含む)(m3) 営業店内管理④BIOSパスワード保護⑤ハードディスク暗号化(パスワード,暗号鍵管理含む)⑬職務の分割(m4) ATM保守扉内管理④BIOSパスワード保護⑤ハードディスク暗号化(ﾊﾟｽﾜｰﾄﾞ,暗号鍵管理含む)⑥OSハードニング⑦ホワイトリスト⑧USBデバイス防御⑪ソフトウェア挙動監視(m6) 監視センタ内管理⑫ATM装置監視(予期せぬﾘﾌﾞｰﾄ)(m4) ATM保守扉内管理⑥OSハードニング⑦ホワイトリスト⑪ソフトウェア挙動監視(m6) 監視センタ内管理⑫ATM装置監視(m5) 金庫扉内管理⑭現金補充額/周期の最適化(2) マルウェア インストール(3) マルウェア 起動(4) 出金操作対策（EUROPOL要件）

Copyright 2017 Connected Consumer Device Security Council Proprietary15

３．（８）未出現の犯罪に対しても、上記（１）～（７）の分析を通じて有効な対策を見積り、適用拡張
 未出現の脅威に対して、（１）守るべき保護対象を想定した上で、（２）過去に似たよ
うな犯罪事例を参照し、（３）攻撃ステップを想定して分解する。
 （４）各攻撃ステップを防御するための対策を、多層防御を考慮しながらリストアップ
し、（５）各対策が既存業務に与える影響（運用中の管理工数）を分析する。
 （６）既存業務への影響を考慮した各対策効果の実効性を見積もり、（７）実効的効
果の観点から対策を比較して適切な対策を選択したり、最も効果的な防御が可能な攻撃ステップを選択する。

Copyright 2017 Connected Consumer Device Security Council Proprietary

16

付録6
ATM内部に対する物理的侵入を伴うマルウェア攻撃の流れとその対策に関する分析

Copyright 2017 Connected Consumer Device Security Council Proprietary17付録6-1.欧州刑事警察機構のATMへの論理攻撃に関する手口と推奨策に対する多層防御の流れと分析
攻撃の流れ(1) 保守扉開錠

突
破

メディア起
動禁止設
定
⑥OS
ハードニ
ング

いず れかが突破

保守扉開
錠作業妨
害
③
カメラ
監視

いず れかに移行

突破メディアブートでインストール

保守扉鍵
不正持出
防止
②
保守扉
鍵管理

いず れかに移行

なりすまし 突
作業員
破
侵入防御
①
作業員
本人確認

(2) マルウェアインストール

メディア起
動禁止設
定解除PW
を保護

不正USB
メモリから
のマル
ウェアイン
ストール防
御
⑤

※ 赤文字は管理の側面が強い要件（人のミスや見落としを誘発しやすい要件）PW : password

色分け分類

不正USBメ
モリ接続防
御設定PWを (b)
保護
④OS
PW保護

⑫
ATM装置
監視

⑦
ホワイトリ
スト

(b)
マルゥエア
起動防御
設定PW保
護
④OS
PW保護
⑬職務
分離

いず れかが突破

実質的セキュリティ
強度を決める対策

HDDへの
インストー
ル作業中
妨害

いず れかに移行

第4弾対策

(a)
いず れかが突破

第3弾対策

欧州刑事警察機構のガイドライン対策分類

いず れかに移行

第2弾対策

正常起動後にインストール
ATM

第1弾対策

不正USB
メモリ接続
防御設定
⑧USB
デバイ
ス防御

マルウェアがソフトウェア配信サーバから配信される場合はここからスタート

マルウェア
起動防御
いず れかが突破対策の目的(4) 出金操作

(a)

HDD暗
号

④BIOS
PW保護

凡例）

(3) マルウェア起動

突
破

侵入済み
マルウェア
検知

⑦
サンドボッ
クス

突
破

出金操作
作業妨害
⑫
ATM装置
監視

突
破

逃走妨害
？
⑭
現⾦補充
周期最適
化

突
破

不正
出金
＆
逃走
成功

※効果な
いマル
ウェア
もあり

⑬職務
分離

分類内容

緑色四角

各対策の目的を示す。

グレー四角「欧州刑事警察機構のATMへの論理攻撃に関する手口と推奨策」に記載されている対策項目である。対策項目は第1弾対策から第4弾対策まで複数の段階に分類されており、分類毎にグレーの色合いを変えている。後述の表 a6- 2に詳細内容が記載されている。

赤色太文字

管理の側面が強い対策項目（人のミスや見落としを誘発しやすい対策）。

水色丸四角

４つの攻撃ステップにおいて、その攻撃ステップに対する実質的な防御強度を左右する対策項目。

Copyright 2017 Connected Consumer Device Security Council Proprietary18付録6-2. ATM対策項目の詳細内容
#

対策項目

詳細内容

①

作業員本人確認

認証を受けたサービスプロバイダだけが身分証明書を運び、またＡＴＭサイトにおいては正規従業員がＡＴＭに関係する仕事を行う上での権限を証明する手順があることを確認する。

②

保守扉鍵管理通常、装置の上部筐体（ボックス）にはＡＴＭのＰＣ（制御部）が内蔵されている。この領域は侵入警報装置によって認証を受けずに開かれることを検知することで守られるか、もしくはボックスの鍵は製造者が用意したデフォルトのマ
スターキーの利用を避けるために交換されるべきである。

③

カメラ監視

監視モニタリングカメラを設置し、ＡＴＭ周辺における疑わしい行動を検知して記録できると好ましい。

④

BIOS設定/BIOS PW保護/
OS管理者PW
保護

１．破られにくいパスワード(PW)管理設定ポリシーを考慮すること。最良の事例ではＢＩＯＳがサポートしている可能な限りの複雑さを持つ。
２．ＢＩＯＳのブートデバイス設定はＡＴＭのハードドライブだけに設定すること。
３．可搬式媒体からのブートはデフォルトでは禁止設定にすること。
４．アドミニストレータ権限のパスワード(PW)には堅牢なものを使うこと。
５．AUTORUNが完全かつ効果的に禁止されていること。

⑤

HDD暗号

認証を経ないハードディスク(HDD)への内容変更を防止するためにハードディスク(HDD)の暗号化が行われている必
要がある。

⑥

OSハードニング

ＯＳのハーデニングを実施するか特権乱用を防止するためのパラメータ変更をすべきである。これによりデフォルト
アカウントの使用、悪意あるソフトウェアのインストール、ＵＳＢポート／ＣＤ媒体／ＤＶＤ媒体／ハードディスクへの不正アクセスを防止できる。

⑦

ホワイトリスト実行を許可するプログラムをホワイトリストに登録し、ホワイトリスト未記載プログラムの実行は認めない対策。

⑦

サンドボックス

起動プログラムを、例えばOS、ミドルウェア、アプリケーションに分類し、それぞれ振る舞いを制限することにより、リスクを軽減させる。

⑧

USBデバイス防御

未知のＵＳＢデバイスはブロックされること。

⑫

ATM装置監視

適切なＡＴＭ監視システムが配置され、中央から全てのＡＴＭの開局情況を認識できること。
セキュリティソリューションが生成する警報が監視され、動作可能であること。

⑬

職務分離

個々の従業員にＡＴＭへのフルアクセス権を与えないこと。

⑭

現金補充周期最適化

こまめにＡＴＭに適切な現金補充を行うこと。

Copyright 2017 Connected Consumer Device Security Council Proprietary19付録6-3.対策突破成功確率、対策突破失敗確率の集合の考え方
 対策突破成功確率が大きく異なる２つの攻撃の内、「いずれかが攻撃成功」する場合の対策突破成功確率の基本的な考え方
・仮に、対策として対策(A)と対策(B)が存在した場合に、どちらか一方を突破すれば次の攻撃ステップに行ける場合の突破成功確率は、対策(A)の突破成功確率[PA]と、対策(B)の突破成功確率[PB]の論理和となる。
下記の図に基づき式を展開すると、次式のようになる。

対策ステップ突破成功確率 ＝ [PA]＋[PB]-[PA]×[PB]
・対策(A)の突破成功確率[PA]が、対策(B)の突破成功確率[PB]に比べて圧倒的に小さい場合を考えると、対策ステップ突破成功確率は[PB]で代表されるようになる。

対策ステップ突破成功確率 ≒ [PB] ただし、[PA]＜＜[PB]
対策(a)も対策(b)も共に突破成功確率

対策突破成功確率、対策突破失敗確率の集合の考え方[Pa] × [Pb]対策(a)の突破成功確率対策(b)の突破成功確率[Pa][Pb]

対策(a)の突破失敗確率
1-[Pa][Pa]

対策(a)の突破
成功確率

対策の例）
対策(a)：ホワイトリスト（AES暗号相当の対策能力ありと想定）対策(b)：OS管理者パスワード保護（管理ミス・抜けが伴う人手による管理工数が発生すると想定）対策(b)の突破失敗確率
1-[Pb]
対策(b)の突破
成功確率[Pb]

対策(a)も対策(b)も共に突破失敗確率(1-[Pa]) × (1-[Pb])対策(a)か対策(b)のいずれかの突破成功確率

1- { (1-[Pa]) ×(1-[Pb]) }展開すると[Pa] ＋ [Pb] －[Pa] × [Pb]

≒ [Pb]
Copyright 2017 Connected Consumer Device Security Council Proprietary20付録6-4.多層防御における攻撃されやすい対策抽出分析（相対的に脆弱なパスワード管理による対策）
・BIOS設定変更やOS管理者ログインに必要なパスワードの管理は、ATM
保守扉内管理だけに留まらず、他拠点、営業店舗外輸送中、営業店内
含めて、あらゆる場面で管理し続ける必要がある。
・そのため、パスワードが漏えいするリスクが非常に高く、管理不備を突いた攻撃者によるパスワード奪取の成功確率が高い。
・仮に不正USBメモリ接続防御設定や、ホワイトリスト[対策(a)]を導入して
いても、それらの設定がBIOSパスワードやOS管理者パスワード[対策(b)]で変更可能であれば、攻撃者は対策(a)を突破するのではなく、 BIOSパ
スワードやOS管理者パスワードを奪取して、対策(a)を無効化することを選ぶ可能性が高い。
・この結果、対策強度が高いと思われていた対策(a)の対策強度は、 BIOS
パスワードやOS管理者パスワードの管理精度[対策(b)]まで、大きく毀損することになる。
・このように攻撃の流れを分析することにより、多層防御のどの対策が最も攻撃されやすくなるかが分かるようになる。
Copyright 2017 Connected Consumer Device Security Council Proprietary21