違法・有害情報対策～フィッシング・マルウェアへの対応～

JPCERTコーディネーションセンター
早期警戒グループ
マネージャ
鎌田敬介
Keisuke KAMATA
2007/11/21@Internet Week 2007
Copyright© 2007 JPCERT/CC
All rights reserved.

本日のTOPIC JPCERT/CCの概要
 JPCERT/CCのインシデント対応
 フィッシングとマルウェア
 とそれらの対応状況/対応事例

 まとめ
Copyright© 2007 JPCERT/CC All rights reserved.

2

JPCERT/CCの概要
http://www.jpcert.or.jp/

 JPCERT/CC

 Japan Computer Emergency Response Team
Coordination Center ジェーピーサート・コーディネーションセンター

 コンピュータセキュリティインシデントに関する調整、連携などの活動をおこなっている
 インシデントや脆弱性に関する活動
 国内組織や海外組織との連携活動
 情報収集・分析・発信活動
 「コーディネーションセンター」としての役割
 米国のCERT/CCを起源とする組織
 世界各国のＣＳＩＲＴ組織との連携活動
Copyright© 2007 JPCERT/CC All rights reserved.

3インシデント報告の受付
 JPCERT/CCでは国内外からのインシデント報告を受け付けています インシデント報告の届出
http://www.jpcert.or.jp/form/ 報告の目的を記載
 インシデントの情報提供 質問（インシデント対応に関するもの）
 関係サイトへの連絡

 海外のCSIRTとの連携対応
Copyright© 2007 JPCERT/CC All rights reserved.

4インシデントハンドリングの国際連携
2．検知

6. 対応

1．不審なアクセス
インシデント発生サイト

アクセス元ホスト
5. 協力依頼

3．報告

国内ISPなど

CSIRT間ネットワーク
JPCERT/CC

日本

4. 連携

Copyright© 2007 JPCERT/CC All rights reserved.

海外CSIRT
CNCERT・KrCERTなど

A国

5インシデントハンドリングの国際連携
 国際連携によって越えられる壁 言語の違い
 文化の違い
 法律・制度の違い

 各国CSIRT間の連携・協調活動として最も進んでいる分野
Copyright© 2007 JPCERT/CC All rights reserved.

6フィッシングとマルウェアの現状
 フィッシング 海外金融機関やオークションサイトのフィッシングサイ
トが日本国内に設置されている
 日本の銀行のフィッシングサイトが海外に設置されている

 マルウェア
 ウェブサイトに設置されている実行形式のプログラム
が、実はマルウェア
 特定の組織を狙ったマルウェアがメールに添付されて送られてきている
Copyright© 2007 JPCERT/CC All rights reserved.

7

国内目線の動向
 国内金融機関のフィッシングサイトの増加
国内金融機関を装ったフィッシングサイトに関する注意喚起(2007-04-03)
http://www.jpcert.or.jp/at/2007/at070009.txt

 国内のサーバに侵入されフィッシングサイトにされたりマルウェアが置かれてしまう
 サーバ管理者への働きかけが必要
 ISPの皆様のご協力のおかげでサイトの閉鎖にこぎ着けている状況

Copyright© 2007 JPCERT/CC All rights reserved.

8フィッシングサイト閉鎖コーディネーション
日本

米国
②

国内組織

報告

直接停止依頼
①

③

ISP-A

停止
⑤

④
通知連絡

フィッシングサイト

某A社が直接連絡したが、フィッシングサイトが停止せず
9
Copyright© 2007 JPCERT/CC All rights reserved.
JPCERT/CCへ報告しコーディネーションした結果フィッシングサイトが停止した

フィッシングサイト報告件数（月別）Copyright© 2007 JPCERT/CC All rights reserved.

10フィッシング報告者（種別件数）
2007年度9月まで

2007年度は9月まで

Copyright© 2007 JPCERT/CC All rights reserved.

11フィッシング報告者（種別件数）
2004年度

2005年度

2006年度

2007年度（9月まで）

国外

国内

国外

国内

国外

国内

国外

国内

CSIRT

1103602101511

セキュリティサービス

200940396

1181

0

銀行、クレジット
カード会社

15081

637

973

2eコマース

23097

1161

11532

その他

2459102

12

17

報告者

Copyright© 2007 JPCERT/CC All rights reserved.

12フィッシングサイトIPアドレス管理者

2007年度は9月まで

Copyright© 2007 JPCERT/CC All rights reserved.

13フィッシングサイトIPアドレス管理者（種別件数）
被害サイト

2004年度

2005年度

2006年度

2007年度（4-9月まで）

国内ISP・xSP

40

110

362

215

国内企業

25

158

231

99

国内学校

222

17

7

海外組織

338

2338

その他

5111716

Copyright© 2007 JPCERT/CC All rights reserved.

14フィッシングサイト閉鎖対応状況
対応組織

返答

サイト閉鎖までの時間
平均時間

最短時間

最長時間

件数
（月平均）

閉鎖率

A

有

６時間

２０分３営業日

11100%

B

有

２営業日

１営業日

７営業日

4100%

C

たまに

３営業日

１営業日

20営業日

4100%

D

ほぼ無

３営業日

１営業日

14営業日

6100%

E

有２０分－－－100%F

無７時間－－－

100%

Copyright© 2007 JPCERT/CC All rights reserved.

15フィッシング対応事例１
一般的なパターン
X月15日

フィッシングサイトの報告が JPCERT/CC に届く

X月15日

IPアドレス管理者（ISP等）にJPCERT/CCから通知連絡を行う

X月15日

通知先管理者より、フィッシングサイト閉鎖の連絡

X月16日

当該URLがアクセス不可であることを確認

X月16日

報告者へサイト閉鎖の連絡

Copyright© 2007 JPCERT/CC All rights reserved.

16フィッシング対応事例２
サイト復活事例
X月15日

フィッシングサイトの報告が JPCERT/CC に届く

X月15日

IPアドレス管理者（ISP等）にJPCERT/CCから通知連絡を行う

X月16日

通知先管理者より、フィッシングサイト閉鎖の連絡

X月16日

当該URLが404 Not Foundとなることを確認

X月17日

当該URLが再び閲覧可能になっていることを確認

X月17日

JPCERT/CCから、管理者へ再び通知連絡を行う

X月17日

通知先管理者より、サイト閉鎖対応の連絡

X月17日

報告者へサイト閉鎖の連絡

Copyright© 2007 JPCERT/CC All rights reserved.

17フィッシング対応事例３
複数のサイトが設置されていた事例
X月15日

フィッシングサイトの報告が JPCERT/CC に届く

X月15日

IPアドレス管理者（ISP等）にJPCERT/CCから通知連絡を行う

X月16日

通知先管理者より、フィッシングサイト閉鎖の連絡

X月16日

当該URLが404 Not Foundとなることを確認

X月17日

報告者へサイト閉鎖の連絡

X月19日

別の報告者より、同じIPアドレスにて別のフィッシングサイトが立ち上げられている、という報告が届く

X月19日

IPアドレス管理者（ISP等）にJPCERT/CCから再度連絡を行う

X月20日

通知先管理者より、サイト閉鎖対応の連絡

X月20日

報告者へサイト閉鎖の連絡

Copyright© 2007 JPCERT/CC All rights reserved.

18

フィッシング対応事例4
再設置された事例
X月20日

フィッシングサイトの報告が JPCERT/CC に届く

X月20日

IPアドレス管理者（ISP等）にJPCERT/CCから通知連絡を行う

X月21日

通知先管理者より、フィッシングサイト閉鎖の連絡

X月21日

当該URLからサイトが消されていることを確認

X月21日

報告者へサイト閉鎖の連絡

X+2月23日

同一サーバに新たなフィッシングサイトが設置されているという報告が
JPCERT/CCに届く

X+2月23日

IPアドレス管理者（ISP等）にJPCERT/CCから通知連絡を行う

X+2月23日

通知先管理者より、サイト閉鎖対応の連絡

X+2月23日

報告者へサイト閉鎖の連絡

Copyright© 2007 JPCERT/CC All rights reserved.

19フィッシング対応事例5邦銀フィッシングサイト対応事例
X月12日

邦銀フィッシングサイト、計11サイトの報告が JPCERT/CC に→サイトの稼働状況を確認：稼働５、停止６

X月12日

IPアドレス管理者（ISP等）にJPCERT/CCから通知連絡を行う（A国1件、B国2件、C国1件、D国1件）

X月13日

追加情報として6件の報告を受理。計17サイト→サイトの稼働状況を確認：稼働3、停止14

X月13日

IPアドレス管理者（ISP等）にJPCERT/CCから通知連絡を行う（A国2件、E国1件）

X月17日

サイトの稼働状況を確認：稼働1、停止16

X月17日

IPアドレス管理者（ISP等）にJPCERT/CCから通知連絡を行う
（1件）

X月18日

サイト稼働状況を確認し、すべてのサイトが停止

X月19日

報告者へサイト閉鎖の連絡
Copyright© 2007 JPCERT/CC All rights reserved.

20マルウェア対応事例
X月2日

マルウェア設置サイトの報告が JPCERT/CC に届く

X月2日

IPアドレス管理者（ISP等）にJPCERT/CCから通知連絡を行う※この事例においては海外

X月3日

通知先管理者より、マルウェア削除の連絡

X月3日

マルウェアがサイトから削除されていることを確認

X月3日

報告者へサイト閉鎖の連絡

Copyright© 2007 JPCERT/CC All rights reserved.

21

まとめ オペレーションの限界
 JPCERT/CCは報告された情報以上はわからない
 １つのサーバにフィッシングサイトがいくつ設置されているか、なぜ侵入されたか、などは把握できない 個別のサイトの対応の手助けはできない

 サーバ管理者の皆様へのお願い 知らない間に侵入されてしまうケースが多いです 公開されている脆弱性への対策を
 テスト目的で設置したサーバは放置しないでCopyright© 2007 JPCERT/CC All rights reserved.

22

参考資料



JPCERT Coodrination Center : JPCERT/CC
http://www.jpcert.or.jp/
インシデント対応とは？
http://www.jpcert.or.jp/ir/
CSIRTマテリアル
http://www.jpcert.or.jp/csirt_material/コンピュータセキュリティインシデント対応チーム (CSIRT) のためのハンドブック
http://www.jpcert.or.jp/research/2007/CSIRT_Handbook.pdf
FIRST
http://www.first.org/
APCERT
http://www.apcert.org/
CERT/CC
http://www.cert.org/
CPNI
http://www.cpni.gov.uk/

Copyright© 2007 JPCERT/CC All rights reserved.

23

お問い合わせ先
 有限責任中間法人
JPCERTコーディネーションセンター
 Email：office@jpcert.or.jp
 Tel：03-3518-4600
 http://www.jpcert.or.jp

 インシデント報告の届出
 報告様式
http://www.jpcert.or.jp/form/ Email：info@jpcert.or.jp
PGP Fingerprint ：470F F413 3DCC 5D38 7CAC 3500 80C4 944B 298F 386F
Copyright© 2007 JPCERT/CC All rights reserved.

24