IPv6早わかりセミナー講演資料

サイバーセキュリティ最新動向～標的型攻撃等最新のセキュリティ動向とIPv6に係るセキュリティ課題～

情報通信政策研究本部

本日の講演内容

１．サイバー攻撃のトレンド紹介
最近のサイバー攻撃の傾向として、IPA10大脅威の紹介、標的型諜報攻撃の手口・対策等を紹介

２．IPv6 導入・利用に関するセキュリティリスクと対応
組織ネットワークをIPv6対応する前後に考慮すべきセキュリティリス
クと対応方策を紹介

Copyright (C) Mitsubishi Research Institute, Inc.

1

【サイバーセキュリティ最新動向】

１．サイバー攻撃のトレンド紹介

Copyright (C) Mitsubishi Research Institute, Inc.

2

1.1 2013年のサイバー攻撃の傾向
2013年版 10大脅威（独）情報処理推進機構
1.クライアントソフトの脆弱性を突いた
攻撃
パッチの適用6.予期せぬ業務停止

2.標的型諜報攻撃の脅威

7.ウェブサイトを狙った攻撃

IT-BCP

後程説明

パッチの適用

3.スマートデバイスを狙った悪意あるア
プリの横行
インストール制限

8.パスワード流出の脅威

4.ウイルスを使った遠隔操作

9.内部犯行

教育・アカウント管理

アカウント管理ウイルス対策
5.金銭窃取を目的としたウイルスの横行
ウイルス対策Copyright (C) Mitsubishi Research Institute, Inc.

10.フィッシング詐欺
教育・アカウント管理3

1.2 標的型攻撃とは
 特定の産業・業種、組織を標的として、特別に作りこんだマルウェアを用いて秘密情報を奪おうとする攻撃。
 継続して攻撃を続ける事例（APT攻撃：Advanced Persistent Threat）が報告されている。
 APT攻撃を繰り返し実行するAPTキャンペーンの事例もあり（キャンペーンとは軍事作戦）。

新聞

ウェブ
サイト

標的組織

（１）情報収集（６）継続的情報収集
（３）感染

（２）攻撃

職員
攻撃者
サーバ
（５）重要情報の漏えい
Copyright (C) Mitsubishi Research Institute, Inc.

（４）感染拡大4

1.2 標的型攻撃の手口・仕組み：水飲み場攻撃
攻撃者

標的とする組織、業界が良く閲覧するウェブサイト

(1)脆弱性を悪用してマルウェアダウンロー
ドスクリプトを埋め込む

標的(2)ウェブサイトを閲覧すること
で感染(3)裏口経由で遠隔操作可能になる2013年、ウェブサイト改ざん報告件数は過去最高の 6,000件超
Copyright (C) Mitsubishi Research Institute, Inc.

5

1.3 標的型攻撃の事例
2011年防衛産業に対する標的型攻撃
概要

取引先からの新年のあいさつを装ったメールが国内防衛産業各社に送信。添付された年賀状のPDFファイルを開くことで、PDFリーダの脆弱性を悪用して端末等に感染。対艦誘導弾性能データ、航空機開発資料、受注情報、社員の個人情報等が漏洩（保護すべき情報の流出は無かったとされる）

感染状況

11拠点、サーバ45台、端末38台

手口の特徴「ドライブダウンロード」 「pass the hash」

攻撃者特定できないまま2013年12月17日をもって時効

Copyright (C) Mitsubishi Research Institute, Inc.

6

1.4 標的型攻撃の対策
脆弱性対策の実施（パッチの適用）
管理者パスワードの個別設定
外部との不審な通信の監視
文書管理・アクセス権限管理の徹底
重要ファイルの暗号化
不審なメール、不審な添付ファイルを見定めるセキュリティ教育の実施Copyright (C) Mitsubishi Research Institute, Inc.

7

1.5 アカウントリスト攻撃の手口
SNS 等からアカウント名とパスワードがセットで漏洩アカウント・パスワードのリストを作成、他サービスに悪用
クラウドサービス、リモートアクセス等が危険にさらされる

情報漏洩リスト化・悪用

他サービス

社外サービス
パスワードを使いまわさない、十分複雑なパスワードを使用
Copyright (C) Mitsubishi Research Institute, Inc.

8

1.6 まとめ日本国内で観測された不正プログラムは1日あたり100万（＊１）
マルウェアの登録件数は一億件を突破、「亜種」の自動生成等凶悪化
高度なマルウェアは専門家が「製品」として製造
高度なマルウェア等、ソースコードが流出することで技術が一般化

マルウェアの感染・サイバー攻撃の被害を完全に防ぐことは困難
異常を迅速に検知すること、事前に想定し対応策を講じておくこと
サイバー攻撃のトレンドを把握、対応計画を策定、見直しを継続（＊１ 出典：トレンドマイクロ社 TrendLabs 2013年第3四半期セキュリティラウンドアップ）

Copyright (C) Mitsubishi Research Institute, Inc.

9

【サイバーセキュリティ最新動向】

2. IPV6 導入・利用に関するセキュリティリスクと対応
Copyright (C) Mitsubishi Research Institute, Inc.

10

2.1 IPv6 の基礎知識
IPv6
サービス

IPv6 では、ネットワークに接続するだけで通信可能となるよう、アドレスの自動設定機能が提供されている。

ゲートウェイが IPv6 通信に対応していない場合でもトンネルを用いることでインターネット上のIPv6サービスと通信可能

インターネットトンネル アドレスのホスト部はネットワークデバイスの固有情報からサーバ 自動生成されるトンネルを経由してIPv6インターネットと通信が可能

ゲートウェイ

IPv6

接続

LAN

IPv6 アドレス =RA により与えられるネットワークアドレス＋ネットデバイスから生成されるインタフェースアドレス（機器固有）

ゲートウェイの送出するRA（経路広告）を用いたアドレス自動設定

Copyright (C) Mitsubishi Research Institute, Inc.

多くのデバイスを手間なく接続できるための仕組み
便利だが？
11

2.2 IPv6導入前のセキュリティ対策（１）

対 通信機器およびサーバではIPv6を無効化する
策 ただしセキュリティ機器については有効化してIPv6を遮断
Windows 7, 8, Mac OS X, Linux では、IPv6はデフォルトで有効
アドレス自動設定によりリンク上のサーバ、端末と通信可能
IPv4で設定したアクセス制限を回避されるリスク

サーバ

IPv4

ファイアウォール
Copyright (C) Mitsubishi Research Institute, Inc.

IPv6
12

2.2 IPv6導入前のセキュリティ対策（２）対策 DNS検索でIPv6アドレスを扱わない
Hostname

RR

IP Addresswww.example.co.jp

AAAA
A

2001:DB8:0:8:800:200C:417A
10.8.16.32

IPv4上でIPv6アドレスの問い合わせを行うことが可能
IPv6が有効になっているとIPv6アドレスの検索を優先する
IPv6でのアクセスができなくてもIPv6上のアクセスを試みる
相手先、端末によって問題発生の状況が異なる難しい状況
Copyright (C) Mitsubishi Research Institute, Inc.

13

2.2 IPv6導入前のセキュリティ対策（３）対策 自動トンネルの検出と遮断
IPv4環境からIPv6通信を行うためのトンネル技術が存在Windows 環境では NAT 越えが可能な Teredo がインストールされているユーザも知らない間にIPv6インターネットと接続

トンネルサーバファイアウォールにて遮断

IPv4
Copyright (C) Mitsubishi Research Institute, Inc.

14

2.3 IPv6導入後のセキュリティ対策（１）対策 IPv4とIPv6のセキュリティ対策を同等以上にネットワークレベルのセキュリティ対策はIPv4を前提に実施
どちらについてもIPレベルでの対策を漏れなく実施する必要有
加えてIPv6特有の問題に対処すること
参考文献

発行元

IPv6セキュリティ 〜問題点と対策〜（社）日本ネットワークインフォメーションセンター

IPv6対応セキュリティガイドライン

IPｖ６普及・高度化推進協議会

Guidelines for the Secure Deployment of IPv6

米国立標準技術研究所（NIST)

Copyright (C) Mitsubishi Research Institute, Inc.

15

2.3 IPv6導入後のセキュリティ対策（２）対策 不正RA（Router Advertisement）対策
IPv6ではセグメントのデフォルトルータを自動設定可能
ルータ広告（RA）メッセージには認証機構がない不正なRAを送りつけることで、盗聴、障害が発生する

監視不正RA

盗聴
Copyright (C) Mitsubishi Research Institute, Inc.

16

2.3 IPv6導入後のセキュリティ対策（３）対策 IPv6アドレスプライバシー漏洩対策
IPv6では端末もグローバルアドレスでの通信を行う
NAT環境ではプロキシ等がアクセス元アドレスとなるサービスへのアクセスが個人単位で特定される恐れがある
端末のIPv6アドレスを定期的に変更する

IPv6
Copyright (C) Mitsubishi Research Institute, Inc.

17

2.4 IPv6導入時のセキュリティ対策

IPv6導入前
通信機器およびサーバではIPv6を無効化する
ただしセキュリティ機器については有効化してIPv6を遮断

DNS検索でIPv6アドレスを扱わない
ま IPv6導入後とIPv4とIPv6のセキュリティ対策を同等にめ
不正RA（Router Advertisement）対策
IPv6アドレスプライバシー漏洩対策
IPｖ4とIPv6を併存することでセキュリティリスクは増加
基本的対策をとることで増加リスクを最小限に留める
Copyright (C) Mitsubishi Research Institute, Inc.

18

【サイバーセキュリティ最新動向】（参考）■自治体クラウドの新たな展開■オープンデータの拓く新たな可能性
Copyright (C) Mitsubishi Research Institute, Inc.

19

自治体クラウドの新たな展開
１．自治体クラウドとは？
総務省やLASDECによる自治体クラウドの取り組みを示し、自治体クラウドの導入効果について解説している

２．番号制度と自治体クラウド
番号制度の概要、番号制度に必要な情報提供ネットワークシステムや中間サーバーを説明し、自治体クラウドの活用による中間サーバーの導入の有効性について解説している

３．クラウド導入のリスクと対策
自治体クラウド導入に伴うリスクを示し、主要なリスクに対する先進自治体における対策を解説している

４．自治体クラウドとIPv6
自治体クラウドがIPv6対応する必要性を示し、IPv6対応のポイントを解説している

Copyright (C) Mitsubishi Research Institute, Inc.

20

オープンデータの拓く新たな可能性
オープンデータを取り巻く動向
オープンデータは諸外国にならい、日本でもトレンドになってきている
現在は国が政策として取り組んでいるが、自治体の独自の取り組みもあり、さらには民間レベルの取り組みも期待される状況になっている

オープンデータの効果的な使い方
オープンデータの利用では、複数のデータをマッシュアップすることで新たな価値を生み出す可能性がある

IPv6の効果的な使い方
ネットワーク上に分散するデータの収集には、IPｖ6が向いているセンサーデータ（リアルタイムデータ）の収集などにもIPv6は効果的である

IPv6とオープンデータの組み合わせにより拓ける可能性
IPｖ6をベースとしてオープンデータ化を行うことで、様々なサービスが真に使いやすいものとして登場する可能性を持っている
Copyright (C) Mitsubishi Research Institute, Inc.

21

本件に関するお問合せ先
株式会社三菱総合研究所
情報通信政策研究本部
福島、津国、清水、澤部

EmailTel.
Fax.

v6_security@mri.co.jp
03-6705-6016
03-5157-2195〒100-8141
東京都千代田区永田町2-10-3

Copyright (C) Mitsubishi Research Institute, Inc.

22