TABLEOFCONTE

NT

S

クリスティーナ・キューベッカ インタビュー… …………………………………………… 3
IT セキュリティの自動化を競う

DARPA サイバー・グランド・チャレンジ
決勝戦が 8 月に開催… ……… 7Threat Scope… ………………………………………………………………………………… 10●はじめに
本文書は、株式会社日立システムズ セキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield Security ResearchCenter) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. http://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただいたことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2016. All rights reserved.

2大規模なサイバー攻撃で壊滅状態となったＩＴシステムのセキュリティ体制をゼロから構築

Christina
Christina Kubecka
Kubecka

クリスティーナ・キューベッカ

インタビュー2012 年 8 月、サウジアラビアの国営石油会社が大規模なサイバー攻撃を受け、3 万 5000 台ものWindows マシンが起動不能に陥ったという。今回話を伺うクリスティーナ・キューベッカ氏は、事件後にサウジアラムコの関連企業で最前線に立ち、セキュリティ組織をゼロから作り上げた人物。人材の採用やトレーニング、さらには従業員のセキュリティ意識を高める方法などを紹介してもらった。
●インタビュー = 笠原利香（Rika Kasahara）●写真＋構成 = 斉藤健一（Ken-ichi Saito）

3

国営石油会社を襲った
大規模なサイバー攻撃
笠 原 利 香（ 以 下）： は じ め ま し て。 今 回 のBlackHat では「サイバー・メルトダウン後、どのように IT セキュリティを構築するか（How toImplement IT Security after a Cyber Meltdown）」というタイトルで講演されました※ 1 ※ 2。石油会社という重要インフラ企業が大規模なサイバー攻撃で甚大な被害を被ったと聞いています。その規模に驚いたのはもちろんですが、同時にどのように復旧されたのかについても興味を持ちました。
本日はこのあたりのお話を伺いたいと思います。
よろしくお願いします。
クリスティーナ・キューベッカ（以下）：こちらこそ。

●クリスティーナ・キューベッカ

早速ですが、攻撃の概要について順を追って伺Christina Kubecka

いたいと思います。まず、損害を被ったサウジア

20 年以上のキャリアがあるセキュリティ研究者。これまで軍事や政府機関などの分野で活躍してきた。サウジアラムコへのサイバー攻撃後、アラムコ・オーバーシーズ（AO）の SONC（セキュリティ＆ネットワーク・オペレーションセンター）のチームリーダーを務めた。

ラムコを簡単に紹介していただけますか。また、攻撃が発生したのはいつのことなのでしょうか。
サウジアラムコはサウジアラビア国営企業で、原油生産量や原油輸出量で世界最大を誇る石油会社です。そして、攻撃を受けたのは 2012 年 8 月

PC がマルウェアに感染。ネットワークを通じて

15 日のことです。ちょうど、イスラム教のラマダ感染が拡がりました。さらに、このマルウェアにン（断食月）と時期が重なっており、従業員と技は感染 PC の MBR を上書きするなどして起動不能

術者の約半数が休暇を取っている時期でした。

にする機能も組み込まれており、攻撃者は時限的原油の生産ラインが狙われたのでしょうか。

に発動するロジックボム（論理爆弾）を仕掛けた

いえ、標的は原油の生産ラインで使われる ICSのです。先ほどの 8 月 15 日というのは、このロジッ（Industrial Control Systems）ではなく、業務ネックボムが発動した日なのです。

ト ワ ー ク の PC で す。 サ ウ ジ ア ラ ム コ で は 支 社

どれくらいの Windows マシンが影響を受けたや関連企業を含めて世界各地に 60 を超える拠点のですか。

があるのですが、このネットワークに接続する組織内にある約半数の Windows マシンで、数Windows ワークステーションが狙われました。

でいえば 3 万 5000 台以上です。

攻撃はマルウェアによるものなのでしょうか。

膨大な数ですね。ビジネスにも多大な影響がそ の と お り で す。Windows を 標 的 と し たあったと思うのですが、この点はどうでしょう。

Shamoun/w32.Distrack と呼ばれるマルウェアでもちろんです。壊滅的な打撃を受けてインターす。時系列に沿って説明すると、時期は不明です

ネットへの接続も遮断され、完全に孤立してしまがスピアフィッシングメールによって組織内のいました。当然、原油の輸出もストップして、聞※ 1 講演スライド		

https://www.blackhat.com/docs/us-15/materials/us-15-Kubecka-How-To-Implement-IT-Security-After-A-Cyber-Meltdown.pdf※ 2 講演動画

https://www.youtube.com/watch?v=WyMobr_TDSI

4

籍されていたのですか。

くところによれば、サウジアラビアや周辺国では、事件発生からしばらくの間、ガソリンが不足する

その質問に対しては整理したい点がありまという事態になったそうです。事件発生後、サウす。私が在籍したのはサウジアラムコの海外業務

ジアラムコの CEO は「われわれが IT システムにを担当するアラムコ・オーバーシーズ（Aramco

どれだけ依存しているのかを過小評価してはならOverseas：以下 AO）という企業で、移籍したのない。その存在はもはや空気と同じである。IT がはサイバー攻撃発生後の 2013 年になります。AOなくても生きていけると思うかもしれないが、現は米国・カナダ・ヨーロッパ各国などに拠点を持っ実には生きられないのだ」とコメントしています。

ていますが、私はオランダ AO で、セキュリティ・1 つの企業で発生したインシデントが国内のイネットワーク・オペレーション・センター（SNOC）ンフラや国民の生活に影響を与える事態になるとの立ちあげから CSIRT の設立までを担当しました。

は本当に恐ろしいと思います。

それ以前はどんな職に就かれていたのですか。

実 は サ ウ ジ ア ラ ム コ 以 外 に も、 カ タ ー ル の移籍前はオランダにある金融機関の SNOC を統Ragas 社という石油会社がこの時期に同様の攻撃括していました。2013 年 1 月にサウジアラムコのを受けたそうです。

代理人から打診を受けたのですが、サウジアラムコの方がより規模が大きく、自身の挑戦にもつなそうなのですか。となると、攻撃者の正体が気がると考えて職を引き受けることにしました。

になります。犯人が経済的利益を狙ったグループなのか、国家の支援を受けたハッカーグループななるほど。

のかによって対策のレベルも異なると思うのですサウジアラムコではセキュリティ予算の多くをが、この点についてお話しいただくことは可能で原油生産ラインに投じており、業務ネットワークすか。

のセキュリティは十分とは言えませんでした。AOにいたっては私が赴任するまでセキュリティ専任

攻撃者についてはサウジアラビア政府が調査を者がいない状況だったのです。

行っています。また、私自身も守秘義務がありますから、残念ながら攻撃者についてお話しするこ

それは驚きです。

とはできません。ただ、サウジアラムコという企

ただ、前任者がいないということは、仕事を進業は、金銭・政治・宗教といった視点から、攻撃めるにあたって意見が衝突する人もいないという者には格好のターゲットだったことは間違いないことですから、この点に関してはストレスを感じと言えるでしょう。ずに済みました（笑）。

わかりました。では、攻撃による被害額についそのとおりですね。SNOC や CSIRT の設立ではてはいかがでしょうか。

どんなところに注力したのでしょうか。

あくまで個人的な推測ですが、被害による損失残念ながら、こちらについても守秘義務の関係から復旧に至るまで行程のすべてを含めて、おそで具体的なことはあまりお話しできません。講演

らく 50 億ドルほどの規模になるのではないかと

では主に、人材確保や社内教育などについて紹介思っています。これも聞いた話ですが、サウジアしました。

ラムコは復旧に際して、米国メーカーから直接 5わかりました。ではそれぞれの説明をお願いし万台の HDD を買い付け、チャーター機を何便もます。

手配して世界各地の支社や関連企業などに輸送し人材確保は、ヘッドハンティング企業にも依頼たそうです。

しましたが、主に自分の人脈を活用しました。セキュリティコミュニティのカンファレンスなどに被害額も気の遠くなる数字ですが、復旧作業のも足を運んでいます。その結果、11 名のスタッスケールも格段に大きいですね。

フを採用することとなったのですが、素晴らしい才能を持つ人の中には奇妙な（Weird）側面があ

文字どおりゼロからの組織作りることも多いのです。例えば、趣味がロックピッキングであったり、全身タトゥーやピアスだらけ

サイバー攻撃発生の時点でサウジアラムコに在5捉えられるように伝えてきました。

だったり。しかし、そういったことを気にしてはなりません。

確かにおっしゃるとおりです。セキュリティの奇妙な側面についてはよくわかります（笑）。

現場と経営層の間をつなぐことは非常に重要だと他にはスタッフのトレーニング費用を惜しまな思います。

いことです。サイバーセキュリティの世界は日々このような取り組みを日々積み重ね、SNOC や進化していますから、スタッフにも常に最新の情CSIRT を軌道に乗せるまでに 2 年間かかりました。

報をキャッチアップしてもらわなくてはなりませ

話は変わりますが日本は 2020 年の東京五輪をん。それと同時に SNOC では定期的にスタッフの控え、サイバーセキュリティに力を入れています。

スキルを測定するようにしていました。

重要インフラを守るという視点から何かアドバイスはありますか。

なるほど。他には AO 一般社員への働きかけも挙げられまご存じのとおり、情報セキュリティとは、情報す。サイバー攻撃は彼らにとってよほどショックの「可用性」（Availability）、「完全性」（Integrity）、だったらしく、職場の雰囲気にも影響が出ていま

機 密 性（Confidentiality） を 維 持 す る こ と で す。

した。例えば、きちんと調べれば事実無根である

しかし、ICS の世界ではシステムを 20 年間使い続とわかるようなデマに対してもパニックになってけることも珍しいことではなく、例えば Windowsしまうといったものです。これは地道に対応するXP がベースになっているようなものがいまだにしかありません。そこで、業務ネットワークや職使われています。この状態では「リスク」の低減

場環境などについて、一般社員が指摘できる機会は困難だと言えます。サウジアラムコでは、ICSを設けたのです。内容は些細なものでも構わないベンダーに働きかけ、現在のシステムをベースにことにしました。

したものを作らせています。このやり方が日本でも通用するかどうかはわかりませんが、1 つの方日本企業が行っている「カイゼン」に近いもの法だと思います。

ですね。
また、経営層に対しては、セキュリティを技術わかりました。本日はありがとうございました。

の観点からではなく「経営リスク」の問題として

6

IT セキュリティの自動化を競う

DARPA サイバー・グランド・チャレンジ
決勝戦が 8 月に開催
文 = 西方望いう名称はその後、DARPA による「自動化」テーさまざまな技術開発やコンペティションをマのコンペティションの総称となっているようで、行う DARPA

自動運転車のグランド・チャレンジが発展したアー
バン・チャレンジや、人型ロボットのコンペティションであるロボティクス・チャレンジもグラン

アメリカ国防総省の機関である DARPA（Defenseド・チャレンジの一種と見なされている。

Advanced Research Projects Agency： 国 防 高 等
研究計画局）の名前を聞いたことがあるという人は多いだろう。特に、現在のインターネットの祖脆弱性の発見からパッチ作成・適用までの型である ARPANET の開発を主導したため、イン自動化を目指すターネットの歴史について語られるときには必ずDARPA（ARPANET の当時は ARPA）の名前が出てそしてまた現在、新たなグランド・チャレンジくる。また、GPS に先立つ位置情報システムであが行われている。その名も「DARPA サイバー・グ

る TRANSIT や、ネットでの匿名化を実現する TOR

ランド・チャレンジ（CGC） ※ 1」
。このチャレンの中核技術であるオニオン・ルーティングを海軍ジで自動化を目指すのは「セキュリティ」だ。現在、研究所から引き継いで研究するなど、私たちの現ソフトウェアの脆弱性は大きな脅威となっている。在の生活でも重要なさまざまな技術開発を行ってしかしその発見や修正は人力で行うしかない。たきた組織だ。アメリカ政府の機関である以上、当

またま誰かが脆弱性に気づきメーカーに報告、そ然 DARPA の活動の目的は第一にアメリカ国家のしてメーカーのリサーチャーがそれを調べて問題利益にあるが、インターネットを見てもわかるとを特定し、プログラマーがパッチを書き、それをおり、問題がないと考えれば世界への技術開放もリリースすると企業などのネットワーク管理者や惜しまない。こういった組織が潤沢な予算で活動個々人がそのパッチを適用する…

し続けていることは、アメリカの大きな強みと言シストはあっても、基本的にはほとんど人の手でえるだろう。

行われている。CGC はこのすべて、脆弱性の発見

また DARPA は単に大学などの研究機関と協力

多少の機械アからパッチの適用までを全く人の手を介さず行うして研究開発を行うだけでなく、広く一般からアシステムの能力を競うコンペティションだ。

イディアを募集したり、あるテーマに沿った技術現在のところ、未公開の脆弱性、いわゆるゼロ開発のコンペティションを開催したりしている。

デイには対抗するすべがない。発見した脆弱性をもちろん無償で協力しろというわけではなく、採メーカーに報告せず悪用すれば攻撃し放題だ。あ用されたアイディアやコンペティションの勝者・

るいはメーカーが脆弱性に気づいていても放置さ上位入賞者には賞金が出る。有名なのは、自動運れているかもしれない。パッチを作成するにして転車の競技会である DARPA グランド・チャレンも時間がかかるので、パッチができるまで情報がジだろう。自動運転車は近年になって話題になっ伏せられている場合はまだしも、脆弱性が公になっているが、グランド・チャレンジは 2004 年からてしまい緩和策もない場合は、ユーザーは脆弱な行われている。この「グランド・チャレンジ」と状態でそのソフトウェアの運用を続けるかパッチ※ 1 DARPA Cyber Grand Challenge

https://cgc.darpa.mil/

7が出るまで運用を停止するかの選択を迫られるこ与えられ、その多寡で勝敗を競う。こういったいとになる。

かにも「サイバーバトル」的なものに限らず、クイズ形式で行われるようなものも CTF と呼ばれる。

しかしこのプロセスが自動化できれば、ネットワークセキュリティにとっては大きな福音だ。放っ最も名高い CTF 競技は、毎年夏に開催される世ておいても脆弱性が見つかり、自動的に緩和ある

界最大のセキュリティイベント、DEFCON で行わ

いは修正されるのであれば、現在のセキュリティれる大会だ。この予選はクイズ形式で行われるが、上の問題はかなりの部分が解決してしまう。また、決勝戦はバトル形式となる。決勝は、予選を勝ちCGC ではそこまでは対象にしていないが、この技上がったチームの他、世界各地のいくつかの CTF術はマルウェアの発見にも応用ができるはずだ。

競技での勝者も出場権を得られ、世界最高レベル現在のパターンマッチやふるまい検知などよりはのハッカーたちが技を競う。
CGC では、バトル形式の CTF と同様に各チームるかに優れたマルウェア対策にもつながるだろう。

が競技専用ネットワーク（コンペティションフレー
キャプチャー・ザ・フラッグ形式でムワーク）に接続する。ただし、互いに攻撃する解析・パッチ作成を行うという要素はない。脆弱性があるかもしれない多数のプログラム（チャレンジバイナリ）が用意され、CGC の開催は 2013 年 10 月にアナウンスされた。

各チームのシステムはこれを解析し、パッチを作

優勝賞金は 200 万ドル。2 位は 100 万ドル、3 位成して運用しなければならない。このプロセスにでも 75 万ドルだ。エントリー資格は、アメリカにおいて人間が何らかの操作を行うことは許可され基盤を置く組織（US Entity）またはアメリカの個ず、すべて自動で行う必要がある。そして、発見人が代表するチームだが、一部特定国を除きチーした脆弱性やパッチの作成に要した時間、プログムメンバーの国籍は問わない。エントリーしたのラムの運用時間などによりポイントが付く。

は 104 チーム。そして 2 回の予備イベントで絞り込まれ、2015 年 6 月 3 日に 28 チームが参加してDEFCON 24 で開催される決勝に最終予選が行われた。

進んだのは 7 チーム

CGC の競技は「キャプチャー・ザ・フラッグ（CTF）」に似た形式で行われる。キャプチャー・ザ・

この結果 7 チームが勝ち残り、決勝へと進んだ。

フラッグの本来の意味は、言葉通り「旗の取り合い」

決勝戦は今年の 8 月 4 日、DEFCON 24（24 回目のだ。軍隊の演習やサバイバルゲーム、コンピューDEFCON）にて開催され、優勝チームには上述のター対戦ゲームなどのルールの一種で、チームに賞金の他、翌日から行われる DEFCON CTF 決勝戦

分かれてフィールド上に置かれた旗を奪い合う。への出場権も与えられる。CGC は攻撃を対象としそして旗が 1 つの場合は敵の攻撃を防いで自陣にていないので部分的ではあるものの、人間対機械持ち帰るとか一定時間保持する、旗が複数ならよのセキュリティ対決が見られるかもしれないのだ。

り多くの旗を確保する、といった条件を満たした最終予選には DARPA が支援している 7 チームチームの勝利となる。だがコンピューターセキュが参加していたが、そのうち以下の 3 チームが勝リティ、というよりハッカー文化においては、スち上がった（チーム紹介は DARPA の発表※ 2 に基キルを競い合う競技全般が広く CTF と呼ばれるこづく）。

とが多い。最もポピュラーなのは、それぞれのチームがサーバーを運営し、自チームのサーバーを守・TECHx（カリフォルニア州バークレー）：カリフォりながら他チームのサーバーをダウンさせるべくルニア大学バークレー校に所属するチーム攻撃するというものだ。サーバー（サービス）の・ForAllSecure（ペンシルベニア州ピッツバーグ）：

稼働時間や、攻撃の種類や手法などにポイントがカーネギーメロン大学出身のセキュリティ研究※ 2 Seven Teams Hack Their Way to the 2016 DARPA Cyber Grand Challenge Final Competition		

http://www.darpa.mil/news-events/2015-07-08

8

者が立ち上げたスタートアップ企業のチーム

・Shellphish（カリフォルニア州サンタバーバラ）：

・CodeJitsu（バージニア州シャーロッツビル）：ソ

カリフォルニア大学サンタバーバラ校のコン

フトウェア調査ツールとサイバーセキュリティ

ピューター科学の学位を持つ学生のグループソリューションを開発する企業 GrammaTech の・DeepRed（ バ ー ジ ニ ア 州 ア ー リ ン ト ン ）：Raytheon 社のエンジニアのチーム

ソフトウェア解析専門家と、バージニア大学のチーム

最終予選では、全チームを合わせれば主催者側
一般参加では以下の 4 チーム。彼らも最終予選が用意した（気づいていた）590 の脆弱性すべてを突破したことで決勝戦に向けて DARPA から資が修正されたという。これは素晴らしい成果だが、金提供を受けることとなった。

それでも現在の技術では完全にネットワークを防御するというところにはまだほど遠いだろう。し・disekt（ジョージア州アセンズ）：世界各地のかし、囲碁プログラムが人間を打ち負かしたようCTF 大会に参加している、テクノロジーインキュに、いずれは機械が人間よりはるかに効率的かつベーターの 4 人からなるチーム

迅速にサイバーセキュリティを実現する時代がやってくる。その未来を感じるという意味でも、・CSDS（アイダホ州モスコー）：アイダホ大学のCGC 決勝は要注目のイベントだ。

教授と博士号を持つ研究員のチーム9

ハッカーやセキュリティにまつわるニュースを独自の視点から捉える時事コラム

Threat Scope#20 組織のサイバーセキュリティに貢献する人事部門の役割とは ?
文 = エル・ケンタロウ
その結果、漏えい事件が起きた組織の従業員は情報漏えい事件の 6 割以上は「教育・トレーニング」「企業イメージ」「顧客への人的なミスによるもの配慮」という 3 つの分野において意識が低いということがわかった。

サイバーセキュリティを語るうえで、組織にお具体的には、情報漏えい事件を経験した組織でける脅威対策は情報システム部門の責務として捉は、従業員の多くが自分たちのスキルの向上や習えられることが多い。しかし、保険ブローカーで得を可能にする組織環境に対して不十分と不満をコンサルティングも行っているウィリス・タワー持っており、また同様に組織としての社会的責任

ズワトソン社は、人事部などの管理部門が脅威対や顧客への責任が組織の重大課題として認識され策においてどのように貢献できるか、という視点ていないなどが挙げられる。つまり、顧客およびで調査を行い、その結果を発表した。

顧客情報の取り扱いに配慮を欠くといった組織内の文化や風潮が結果的に情報漏えい事件を招く大同社が今回の調査を行った背景には、情報漏えきな要因となっているというのだ。いなどの事案に関して 6 割以上は直接的なハッキングの被害ではなく、ノート PC の紛失やソフト

また、同様に漏えい事件が発生した組織では、ウェアの設定ミスといった従業員の過失や、悪意従業員一人ひとりの能力に応じた給与体系になっを持った従業員による内部犯行によるものであり、ておらず、従業員それぞれの職務への向き合い方

残りの 4 割においても、ソーシャルエンジニアリにも問題が多いケースがあることがわかった。漏ングやネットワークセキュリティへの知識不足にえい事件が起きた組織では顧客中心の考え方がな起因しているという事情がある。

されておらず、結果的にビジネスが抱える潜在的なリスクを考慮しない組織文化が醸成されるとレ

これは、過去に多くの企業が行ったさまざまなポートでは指摘している。

調査の結果でも語られている問題だが、同社では組織において人の行動による潜在的なリスクに対する回避方法について調査したものはほとんどな

サイバーリスク管理におけるいと指摘している。

人事部門の役割
今回の調査に対してウィリス・タワーズワトソ

セキュリティはン社のパトリック・クレサ（Patrick Kulesa）氏は、企業文化と密接に関係する !?

「結果は想定内」としながらも「人事部門はさまざウィリス・タワーズワトソン社は、情報漏えいまなツールなどを使い、サイバーリスク管理に有事件が発生した組織の従業員に対して意識調査を効な企業文化の構築に貢献できる」と語っている。

行い、その結果を他の優良企業で行った調査結果

例えば、従業員のトレーニングの際に、顧客情報と照らし合わせることで問題点を浮き彫りにしよの重要性や顧客情報保護における従業員一人ひとうと試みた。母集団は 12 組織で、調査を行った従りの役割をしっかりと指導することが重要だと言業員数は 45 万人に上るという、この種の調査ではい、特に ICT 関連部署の新規採用者には必須であ類を見ない大規模なものとなっている。ると述べている。さらに、このようなトレーニン
10グを毎年行うことで常にスキルレベルを保つこと

業イメージや顧客サービスの向上にどれだけ尽力ができるとも述べている。してきたかで評価されるべきだ」とも語っている。

クレサ氏は人事部門に対して、ビジネスに影響を今回の調査から、人事部門はサイバーリスクの与える新たなテクノロジーの開発にあたっては、継軽減に関して重要な役割を持っており、事案が発続的な教育プログラムを提供するよう促している。

生した場合も、経営側と協力もしくは前線に立ち、また、顧客への配慮に関しては「自社のサービ組織内で明確なコミュニケーションを行うことで、スに対して従業員自身が改善点などを述べる機会事態の収拾に大きな役割を担う必要がある、とレを持つことが必要であり、経営者や管理部門は企ポートでは指摘している。

●参考 URLTHE CYBERSECURITY AND CULTURE CONNECTION
http://blog.hreonline.com/2016/06/01/the-cybersecurity-and-culture-connection/
The inside threat: Why employee behavior and opinions impact cyber risk
https://www.willistowerswatson.com/en/insights/2016/05/inside-threat-why-employee-behavior-and-opinions-impact-cyber-risk11