シ ス テ ム 技 術 分 科 会

選 出

システム技術分科会 2015 年度第 1 回会合 より

広島大学におけるパブリッククラウド活用事例〜クラウド化がもたらす本当の効果〜

相原 玲二(広島大学)

サイエンティフィック・システム研究会（2015 年 9 月 1 日）

広島大学におけるパブリッククラウド活用事例〜クラウド化がもたらす本当の効果〜
広島大学

相原玲二

広島大学では 2014 年以来，財務会計システム，人事給与システム，公式ウェブサイト，事務用メールシステム，全構成員用メールシステムなどの基幹情報システムを順次パブリッククラウドへ移行した．
さらに，2015 年 9 月より稼働する教育研究用電子計算機システムでもパブリッククラウドを積極的に利用している．
１．なぜ事務用システムから移行を開始したか
大学の情報技術を利用するシステムはその目的によりいくつかのカテゴリに分けることができる．中心的なものとしては事務基幹業務，教育支援，研究支援があり，その他に規模の大きなものとして学術情報（図書館関係），医療情報（大学病院関係）がある．
これらシステムのクラウド移行には，それぞれ微妙に質の異なる壁がある．本学では以前から事務基幹業務のためのシステム（事務用システム）は経費節減と効率的な運用を目指して，複数のアプリケーション（財務系，人事系など）を１つの部署（情報化推進グループ）が窓口となり導入していた．既に，多くのアプリケーションがオンプレミスの仮想サーバ上で稼働し，各アプリケーションの保守等は対応可能なベンダに対しそれぞれアウトソースしていた．すなわち，IaaS のパブリッククラウドを利用したとしても，契約形態にほとんど変化は無い．
本学では 2001 年より，通信事業者のデータセンターを借用し，認証システムなど一部の重要なシステムをキャンパス外に設置し運用してきた．そのため，本学の情報セキュリティポリシーには，システムの設置場所の地理的位置に関する制限は設定されてなかった．さらに，事務用システムのハードウェア仕様は導入担当部署を中心に決定していたため，クラウド移行に対する壁は低かったが，担当者は躊躇した。クラウドサービス利用ガイドラインは，担当者や責任者の決断の後押しをした．
２．なぜプライベートクラウドを採用しないか
本学は 2001 年よりデータセンターを借用し，主要キャンパスとの間に十分な芯数の光ファイバを設置し，一部のシステムをデータセンター内に設置し運用してきた．この運用経験を通してデータセンターハウジングのメリットとデメリットを理解することができた．一方，事務用システムなどはオンプレミスの仮想サーバを利用した運用も行ってきた．
これらの経験から，単にオンプレミスのシステムをデータセンターに移すだけではコスト高になること，大規模災害等を考慮して異なるデータセンター間でのバックアップを実施する場合さらなるコスト高を覚悟しなければならないことなどを実感していた．
プライベートクラウド構築により，クラウド技術の研究開発を行いその成果を社会へ還元することは意義深いが，我々にはその余裕が無かった．ただ，2015 年 9 月より稼働する教育研究用電子計算機シス
テムでは占有型パブリッククラウドによる提供を求めたため，本件の落札業者はクラウド構築・運用に関してスキルアップするものと期待する．
３．パブリッククラウド導入効果と課題システム全体の経費を考えると，パブリッククラウドを導入したからと言って大幅なコスト削減効果は期待できない．本学では，財務系システムや公式ウェブサイトは IaaS を直接契約し，人事系システムはアプリケーションベンダが IaaS を契約することにより本学は SaaS として契約している．また，事務用メールシステムと全構成員用メールシステムは SaaS を利用している．それぞれの利用形態ごとにクラウドによる経済効果が出てはいるが，必要に応じてインスタンスの最適化を図り，不要なものを停止するなど，大学側の管理者が構成や課金体系を理解した上で注意を払っておく必要がある．
管理の手間については，手元に置くハードウェアが減るため軽減される．ただし，経費を最適化する
ため IaaS を直接管理する場合は，インスタンスの最適化や必要に応じた構成変更などが必要となり，これまでとは質の異なる管理が必要となる．それらを大学の教員や技術職員が実施する場合，改めて人材育成が必要となるが，それほどハードルは高くない．どのようなクラウドベンダを選択するかにもよる
が，データセンターに設置されたシステムを利用していること，ハードウェア更新の心配が不要である
こと，基本的なバックアップ機能が備わっていることは，管理者の精神的負担を大幅に軽減する．
これまではシステム一式を 4〜5 年毎に更新するということが大学等においては常識だったが，パブリッククラウドの利用が進むと，大きく変わる可能性を持つ．4〜5 年に 1 度の更新は元々ハードウェアの寿命や技術進歩などが理由だと思われるが，パブリッククラウドであれば必要に応じて短期間での契約変更も行うことができる．むしろ，それをしないと無駄な投資となる．一方，アプリケーションソフト等のライフサイクルはハードウェアの寿命とは独立であり，個々のアプリケーションソフト毎に最適なライフサイクルで更新や機能追加を行う，という方向になる．また，同じクラウドベンダで動作しているのであれば，オンプレミスの時代とは異なり，他大学とのアプリケーション共同利用の可能性も各段に広がるだろう．クラウド化がもたらす本当の効果はここにある．

シ ス テ ム 技 術 分 科 会

選 出

システム技術分科会 2015 年度第 2 回会合 より

東工大 CERT の立ち上げと現在の取り組み

松浦 知史(東京工業大学)

2016年1月18日
サイエンティフィック・システム研究会
システム技術分科会

2015年度第2回会合

東工大CERTの立ち上げと現在の取り組み
東京工業大学

学術国際情報センター准教授
松浦知史

・要旨
組織内CSIRTの重要性が叫ばれている。攻撃手法は高度化/多様化し続けており、学内のサービス担当者が片手間でセキュリティ情報を収集し、適切な運用を行い、問題発生時には初動対応を行うといった事は到底望めない。情報セキュリティの専門チームと現場担当者が協力し安全な環境を構築して行く事が求められている一方で、実際の組織立ち上げには多くの課題が山積している。
実行力のある組織を構築するためには、適切な権限、人材、機材、予算またそれを支えるトップ層を含む学内の理解が必要である。しかし権限一つ取っても、権限を規定するための学内規則の変更、権限の必要性に関する全学への説明が必須であり、場合に寄っては権限を定める過程で抵抗や反発も発生しかねない。新規のセキュリティに関する施策や予算獲得を行う際にも安全性、必要性、効果とコストのバランスなど幅広い観点でトップ層から現場担当者まで様々な立場の方々に説明し、説得する必要がある。
本公演では東工大CERTの立ち上げ時期を中心に上記の様な課題に対して、どのように行動し、どのように説得してきたかを紹介する。また、インシデントレスポンスの事例や次世代型ファイヤフォールの導入など現在の活動内容も併せて紹介する。

http://cert.titech.ac.jp

東工大CERTの立ち上げと現在の取り組み
東京工業大学 学術国際情報センター
松浦知史 (MATSUURA Satoshi)
matsuura@gsic.titech.ac.jp
1
Tuesday, January 19, 16

SS研 システム技術分科会

2016-01-18

松浦 知史 (MATSUURA Satoshi)
東京工業大学 学術国際情報センター
東工大CERT 統括責任者 (准教授)■ 東工大CERT立ち上げ前の主な活動
・セキュリティ教育
IT-Keys / SecCap
・研究活動
geographical overlay network, large scale sensor networks,
distributed Pub/Sub, DTN
2
Tuesday, January 19, 16

本日の話題の設立過程、活動を例に
http://cert.titech.ac.jp

・なぜセキュリティ専門チームが求められているか
・どのようにしてセキュリティ専門チームを作っていったか
・どんな活動をしているか。今後の活動はどのようなものか3
Tuesday, January 19, 16最近のニュース

4
Tuesday, January 19, 16

* 標的型攻撃に変化、狙いは経営幹部から役員秘書に- <http://www.itmedia.co.jp/enterprise/articles/1404/17/news025.html>

5
Tuesday, January 19, 16

* 年金機構の125万件情報流出

職員、ウイルスメール開封- <http://www.nikkei.com/article/DGXLASDG01HCD_R00C15A6000000/?dg=1>

6
Tuesday, January 19, 16

* IEを最新版に切り替えて---IPAが移行を呼び掛け- <http://www.itmedia.co.jp/enterprise/articles/1512/15/news111.html>

7
Tuesday, January 19, 16

* 脆弱性攻撃サイトへの誘導元の8割以上が「汚染された正規サイト」- <http://www.trendmicro.co.jp/jp/about-us/press-releases/articles/20151117084548.html>

8
Tuesday, January 19, 16

* Joomlaに深刻な脆弱性、パッチ公開二日前から攻撃横行- <http://www.itmedia.co.jp/enterprise/articles/1512/15/news048.html>

9
Tuesday, January 19, 16

レコード件数別の損失推定額範囲

情報漏洩

1,000件 :810万円 (= $67,480 * 120円/$)

情報漏洩

10,000件 : 2148万円 (= $178,960 * 120円/$)

情報漏洩

100,000件 : 5695万円 (= $474,600 * 120円/$)

情報漏洩 1,000,000件 : 1.51億円 (= $1,258,670 * 120円/$)* Verizon 2015年度 データ漏洩/侵害調査報告書 (p.30 図23. レコード件数別の推定損失額範囲)- <https://www.verizonenterprise.com/jp/DBIR/2015/>

10
Tuesday, January 19, 16

世界文明センター@東工大に対する攻撃(2012.09.15)

改ざん

攻撃

WEBホスティング
世界文明センター

委託業者

・国外からの攻撃→WEBページの改ざん→1000件の個人情報流出の恐れ
11
Tuesday, January 19, 16

セキュリティを取り巻く複雑さ困難さ

12
Tuesday, January 19, 16

標的型攻撃ワーム、ボット感染

一般家庭

security企業

大学

標的型攻撃

工場

一般家庭

・広範囲に及ぶ攻撃→みんなが同じ攻撃を受ける→特定機関による攻撃の分析→全体での対処法の共有

大学

工場

・個別の機関を狙った攻撃→みんなが別の攻撃を受ける→自分自身で気付く→自分自身で対処する
13

Tuesday, January 19, 16

security企業

WEBセキュリティ
Browser

Chrome, Firefox, safari, IE ...

外部からのアクセス
Ruby on Rails, Apache Struts,
Django, mojolicious, Sinatra ...

WEB Framework

Python, PHP, Perl, JAVA ...
ActiveRecord, Doctrine, DBIx::Skinny,SQLAlchemy ...

内部からのアクセス

DB

MySQL, PostgreSQL, Oracle,
MongoDB, CouchDB, Redis ...

個別のケースを解決出来ても他に応用が利かない

・内部ｘ外部を繋ぐそもそもの困難さ
・多くのコンポーネントx非常に種類の多いツール群
14
Tuesday, January 19, 16

広範囲かつ複雑過ぎるセキュリティの現状
委託
運用/保守

コンピュータソフトウェアネットワークポリシー/規則

契約

モバイル
クラウド

プログラミング

セキュリティ専門チームの立ち上げ→ 事後対応から事前対策へ
15
Tuesday, January 19, 16

東工大CERT設立を概観

16
Tuesday, January 19, 16

東工大CERT設立までの流れ
１．NOCへの加入
２．各委員会への参加
３．CERT規則案の作成
４．CERT規則の成立

東工大CERTの位置づけ、権限が定まった
17
Tuesday, January 19, 16

東工大CERTの位置づけ
CIO/CISO (副学長・理事)
情報セキュリティ委員会 (部局長等)

http://cert.titech.ac.jp

情報セキュリティ監査・危機管理専門委員会

情報倫理委員会

情報セキュリティ規則 第16条第5項

最高情報セキュリティ責任者は（中略）CERTに対して、当該事案に関する初動体制としての緊急措置を講ずる全権を委任することができる。
・統括責任者2名、事務4名、技術職員2名 (内専任2名)
・緊急対応に関わる権限をCISOから事前に委譲される形式
・緊急時の初動対応 (被害の最小化を図る。最終判断は部局長等)
・セキュリティ情報の収集・分析・通知・学内の脆弱性調査
18
Tuesday, January 19, 16

CERT設立・活動における困難さ
・学内(ネットワーク)の状況把握・強力な権限の付与

・部局の独立性・

セキュリティに対する意識、興味・トップ層の理解

・

予算確保

19
Tuesday, January 19, 16

設立・活動を間接的に推し進めた事柄

・

束縛X 安全〇(方向性の提示)

・

NOCと密な関係を構築(重要な組織連携)

・

権限/予算無しに出せる成果(活動のアピール)

・

部局/担当者判断を尊重(文化を大事に)・

ニュース解説の配信(知識共有、興味喚起)

20
Tuesday, January 19, 16

東工大CERT設立前

21
Tuesday, January 19, 16

あらゆる機会で方向性を提示する・束縛X 安全〇22

Tuesday, January 19, 16（方向性の提示）ミーティングを通した連携体制の構築
情報セキュリティ

NOC / NAP
ネットワーク / 認証担当チーム

監査・危機管理専門委員会

現場との連携トップ層との連携

・CERT設立前からNOCミーティングに参加
・NOC/NAPメンバーの一部がCERTミーティングに参加
・NOC/NAPメンバーの一部を含むCERTのMLでオープンに議論・セキュリティの委員会における、トップ層との定期的な議論
・部局長等会議におけるセキュリティ関連の報告(不定期 7回/年)・ NOCと密な関係を構築 (重要な組織連携)
23
Tuesday, January 19, 16

Google / SHODAN検索を利用した脆弱性調査＜ SHODAN検索* 複合機（情報漏洩、DDoS等の危険性）* テレビ会議システム（情報漏洩、DDoS等の危険性）* ネットワーク機器（情報漏えい、不正なサイトへの誘導）＜ Google検索・＞＞* Movable Type

（WEBサイト改ざんの危険性等）* WordPress（改ざん、DDoS参加の危険性等）* CGIスクリプトの公開（不正アクセス等の危険性）* ブログ/WiKiの不正利用（悪意あるサイトへの誘導）* ファイル一覧表示（情報漏洩の危険性）* Apache1.3系（不正アクセス、情報漏洩等の危険性）

権限/予算無しに出せる成果 (活動のアピール)
24

Tuesday, January 19, 16

ニュース解説の配信
・CERTメンバーに向けてMLを通してニュース3行解説を送信
・WEB(http://cert.titech.ac.jp)を通して学内にも解説記事を配信
・各委員会の場でも毎回一つニュースを取り上げて、興味喚起を図る
・現場およびトップ層に現状を把握してもらう。色々な先生方の意識が少しずつ変わっていく。

ニュース解説の配信(知識共有、興味喚起)
25
Tuesday, January 19, 16

セキュリティ事案発生時の対応フロー
学内外からの通報

・CERTは緊急かどうかの判断を行う
重大/軽微の判断は部局長等が行う情報セキュリティ監査・機器管理専門委員会

当該情報資産管理担当者
協力

・被害の最小化を図るため、機器の停止/データ保全等を行う

緊急

連絡

協力

当該部局等の長・意思決定のフローが進むようにサポートする

連絡

軽微

重大

対応指示

部局/担当者判断を当該情報資産管理担当者
説明・謝罪

尊重 (文化を大事に)

通報組織

情報システム停止等の措置

報告

報告

連絡

情報基盤課

部局内情報倫理委員会

危機管理室

連絡

最高情報
セキュリティ責任者

報告

文科省

26
Tuesday, January 19, 16＊

対策本部の設置* 対策本部の設置後は全学的な対応フロー(軽微な場合の対応を包含する)が発生

半年以上の丁寧な議論を経て、東工大CERTの規則・権限、またDPIに関するルールが決定
情報セキュリティ

NOC / NAP
ネットワーク / 認証担当チーム

監査・危機管理専門委員会+ 顧問弁護士

部局長等会議役員会

27
Tuesday, January 19, 16

東工大CERT設立後

28
Tuesday, January 19, 16

NOCとのセキュリティ機器の共同検証
・FireEye (次世代型IDS)- 自前の仮想環境を構築し、ウイルス検体の挙動を検証- 学内環境に即した通知体制を構築* 危険度よりも同一ホストで発生した事象を時系列に追跡し判断* NOCで該当する対外IPを遮断* ゼロデイ攻撃に関しては検証環境やvirustotalで確認後に通知" 効果は高いが運用コストも高く、現状では厳しい状況にある* 特定の事象のみを検証してくれる外部サービスを調査済み

・ Paloalto (次世代型FW)- 各種脅威の推移、ボットネットの活動状況を起点とした危険性の把握- PaloaltoおよびVirusTotalのAPIを組み合わせた脅威レポートの自動生成" データ量および種類が多く、危険性の度合いを決定するのにコストがかかる
また、レスポンスやユーザ連絡時のデータ抽出等で改善が望まれる点もある* ノウハウの蓄積を行い、分析/警告の過程を自動化して対応するよう検討中

その他、Cisco SourceFire, Fortinet Fortigate, Checkpoint等を検証済み

・

予算無しに出せる成果 (活動のアピール)
29

Tuesday, January 19, 16

Paloaltoの運用システム例
ログの保管
他のアプリとの連携

ログの分析
ログの可視化
・可視化の例：ACC (threat prevention)のグラフ化

攻撃回数を1日ごとに積算したグラフ

・カウントの多い上位3つを除去したグラフ

予算無しに出せる成果 (活動のアピール)
30

Tuesday, January 19, 16

チラシの作成・配布

学内のデジタルサイネージにも同時に表示

・

少額予算で出せる成果 (活動のアピール)
31

Tuesday, January 19, 16

学内における通知、情報共有方法
緊急性の高い話題、インパクトの大きな話題などの共有手順
役員

部局長等会議経由

部局長等

教職員

どちらも全学に対するアナウンス経路

筆頭事務経由・同時に別経路からアナウンスする事で、話が通じやすく行き渡りやすい
・実務的なお知らせにある種のお墨付きが付くことで実行力が増す
・WEBやチラシ、学内講演なども併用

32
Tuesday, January 19, 16

インシデントレスポンスの例

33
Tuesday, January 19, 16

2015年03月に発生したWEB改ざん
事件発生から2時間半程度

01. 学内研究室のWEBページが改ざんされているとの報告がNOC、CERTに届く
02. 改ざんの事実を確認し、ネットワーク遮断を行った旨該当担当者に連絡
03. 現場に赴き、機器等の状況を担当者のヒアリングを通して把握
04. CIO/CISOおよび委員会に対して状況報告#

軽微な事案だと予想が付く

・権限の行使と報告
・NOCとの連携
34
Tuesday, January 19, 16

2015年03月に発生したWEB改ざん
事件発生から数時間〜1日程度
05. 担当者を通じて調査および担当部局への注意喚起を指示
06. NOCにより通信記録から攻撃を特定。また関連した別の攻撃等が無い事も確認#

概ね事態は収束

07. 折り返しCERTへ機器の調査依頼が来る
08. CERTで機器のログ調査を行い、改ざん以外の被害が無い事を確認

・NOCとの連携
・組織内でのログ等の調査/分析
35
Tuesday, January 19, 16

2015年03月に発生したWEB改ざん事件発生から数日〜1ヶ月程度
09. CERT/委員会のミーティングで報告
10. 部局長等会議への報告を通して全学に注意喚起#

部局担当者が何をしたら良いか把握し切れていない

11. 該当部局内の対応フローが進まない部分をフォロー
12. 次回からは対応フロー図を添えて、担当者と連絡を取ることを決定
13. 部局長等会議で対応フローの徹底を訴える

・全学へのフィードバック
・プロセスのチェックと改善
36
Tuesday, January 19, 16

設立前から構築していた組織連携が役に立った。
規則・権限がある事でスムーズに対応出来る。

37
Tuesday, January 19, 16

予算関連の話題とまとめ

38
Tuesday, January 19, 16

平成27年度の(予算が必要な)活動、人材、機材等- 東工大CERTの日常業務* 脆弱性調査用のソフトウェア* ラップトップ / デスクトップPC* インシデント対応時に必要な機材 (スイッチ、ケーブル等々)* チラシの作成 (デザイン、印刷)- 技術職員の追加 (1名)
- 次世代型FWの調達- 添付ファイルを抑制するファイル共有システム- 標的型メール訓練- CERT用仮想化基盤環境の構築

ほぼ予算０からのスタート
どう行動し、どう説得するか39
Tuesday, January 19, 16

現在/今後のCERT活動
・平成27年度の取り組み- 学内の脆弱性診断 (Nessus6, google, SHODAN等)- NOC管理機器(ネットワーク/セキュリティ)の共同利用"学内通知- 次世代型FWの調達- CERT用仮想化基盤環境の構築- セキュリティ秋学校 (XSSやエクスプロイトに関する演習中心の合宿)- 学内外での情報セキュリティセミナー等の講演- 学内インシデント対応および情報の蓄積と分析- 情報セキュリティに関する情報収集と分析- WEBサーバの立ち上げと運用 (最新情報の提供、学内通知、学内情報の整理)

・来年度以降の取り組み- 平成26年度の活動を継続及び拡大- 学内向け契約の指針 (契約テンプレートの作成)- 次世代型FWのNOCとの共同運用- セキュリティ/ネットワークログの収集および分析- 添付ファイルを抑制するファイル共有システムの開発/運用- 標的型メール訓練 (セキュリティ教育)
40
Tuesday, January 19, 16