Page 1<情報セキュリティインシデント事例から研修・啓発の仕組みを考える>

S-2.「標的型攻撃メール対策の訓練事例」

早稲⽥⼤学

⾼橋 智広

公益社団法⼈ 私⽴⼤学情報教育協会

Page 2

背景

教育機関は、個⼈情報を⼤量に所持する３⼤業種の１つと認識 ワースト１位を獲得し、⾊んな意味で厳しい⽬が向けられている


9 情報セキュリティインシデントの発⽣件数において、教育機関は３⼤発⽣源の⼀⾓になっている。
9 2016年度、教育機関は、⾦融業・保険業、公務に抜かれてワースト１位に！

（出典）JNSA 2016年情報セキュリティインシデントに関する調査報告書

公益社団法⼈ 私⽴⼤学情報教育協会

Page 3

背景

国内におけるサイバー攻撃は、増加傾向
 標的型攻撃の⼿⼝は、年々巧妙化

標的型メール攻撃の件数の推移（件）
7000

6027
6000
5000

3828

4000

4046

9 未知のウイルスにより、技術的対策が追いつかず組織内へのウイルスの侵⼊を防げないケースも考えられる。

3000

1723
2000
1000

9 従来のような不⾃然な機械翻訳による⽇本語ではなく、組織内関係者を装った流暢な⽇本語によるメールも多くなってきている。

4920201320142015

2016

2017

（出典）警察庁 「平成28年におけるサイバー空間をめぐる脅威の情勢について」 広報資料

公益社団法⼈ 私⽴⼤学情報教育協会

Page 4背景

標的型攻撃メールにおける典型的な攻撃⽅法は、マルウェアを仕込んだ添付ファイルやマルウェアを感染させるためのURL付のメールを送り付け、受信者が誤ってこれらにアクセスすることでマルウェアに感染させることから始まる
マルウェアの中には、ウイルスチェックソフトで検知されない、マルウェア感染してもPCの異常な動作といった症状が現れない場合もある
ため、メール受信者⾃⾝が感染⾃体に気付かないまま、不正侵⼊、感染拡⼤を許し、その結果、重要情報が盗み取られる事態へと繋がる危険性がある
標的型攻撃メールに対する技術的対策として、マルウェア感染やその後の不正侵⼊、情報流出を困難にする仕組みを複数講じることで、攻撃を⾮常に困難にすることは可能だが、完全に防御することはできないのが現状このような背景から、技術的対策のみならず、メール利⽤者が標的型攻撃メールの脅威を認識し、不審メールを開いてしまった時に適切な対応をとることが、有効な防御となる
公益社団法⼈ 私⽴⼤学情報教育協会

Page 5

早稲⽥⼤学での訓練の⽬的
訓練は、標的型攻撃メールの理解と疑似的な不審メールの取り扱いの実地訓練を通して、メール利⽤者の標的型攻撃メールへの耐性を⾼めることを⽬的として⾏う 訓練の継続的実施により、⽇常的にメール利⽤者の不審メールに対する警戒感等の意識づけ効果を期待する


教育的対策

技術的対策

公益社団法⼈ 私⽴⼤学情報教育協会

Page 6

訓練実施のきっかけ

2015年6⽉に発覚した本学業務⽤PCのマルウェア感染による情報流出インシデント
⼆次被害を防ぐため、業務で利⽤する特定の通信を除き、全ての業務⽤PCから外部への通信を遮断
訓練に⼀定の理解が得られ、2015年12⽉に⽐較的スムーズに実施

公益社団法⼈ 私⽴⼤学情報教育協会

Page 7

訓練の着眼点

巧妙化が進む標的型攻撃に対応した訓練メール
サイバー攻撃への耐性強化を⽬的に「感染予防対応」、「感染拡⼤防⽌対応」の視点で⽬標を設定
9 サイバー攻撃の脅威に対する「意識(気づき)」を持つこと
9 標的型攻撃メールの⾒分け⽅の「知識」定着を図ること
9 不審メール受信時に適切な⾏動をとること
9 不審メールのURLアクセスや添付ファイル開封時に適切な⾏動をとすること



訓練結果の受講者へのフィードバック
公益社団法⼈ 私⽴⼤学情報教育協会

Page 8訓練の流れ


業務⽤PCを利⽤する職員、派遣等を対象に実施(0) オンデマンド事前学習

9 原則、着任時に視聴を依頼(1) 訓練告知

9 訓練実施2週間前程度に告知
9 いずれは告知なしで実施予定(2) 訓練メール送信

9 複数の種類の訓練メールを⽤意し、種類別に時間間隔を開けて送信(3) アンケート

9 訓練メール受信後の⾏動調査
9 回答率は6割程度(4) フィードバック研修

9 実際の感染事例紹介
9 訓練結果の報告
公益社団法⼈ 私⽴⼤学情報教育協会

Page 9(0) オンデマンド事前学習


IPA 発⾏の以下を参考に教材を作成

9 標的型攻撃メール<危険回避>対策のしおり
9 テクニカルウォッチ 標的型攻撃メールの分析に関するレポート
9 テクニカルウォッチ 標的型攻撃メールの例と⾒分け⽅

 事前学習の柱
①
②③④⑤
⑥
⑦
⑧

ウイルスメールとは？
標的型攻撃の⼿⼝イメージ
標的型攻撃メールとは？
標的型攻撃メールの特徴「だましのテクニック」の着眼点「だましのテクニック」の事例特に注意すべきこと
⾝に付けておくべき基礎知識と予防対応
公益社団法⼈ 私⽴⼤学情報教育協会

Page 10(1)訓練告知

告知から訓練メール送信まで、⼀定期間開けることで記憶を薄れさせることを期待(2)訓練メール送信

複数の種類の訓練メールを⽤意(2017年度4種類）し、受信時に訓練メールであることを分かりづらくする
 ⼀⽅で、業務上の混乱を避けるために


99

誤ってURL等アクセスしてしまった場合、訓練メールであることがすぐに分かるようにする
当初は訓練メールの内容に関係する部署へ事前通知（2017年度は事前通知なし）



訓練メールの内容は後程、紹介(3)アンケート訓練メール受信後の⾏動を把握することが重要
公益社団法⼈ 私⽴⼤学情報教育協会

Page 11(4) フィードバック研修

フィードバック研修受講者は、各部署で選任されたセキ
ュリティ担当者
9 ⾃部署へ戻って、講師役としてメンバーへ説明することを依頼

フィードバック研修の柱

① 背景
② 事例
9本学へ送付された不審メール数と事例
9事務系PCでのマルウェア感染事例③ 標的型攻撃メール訓練
9⽬的、実施概要・結果、考察、今後について④ 不審メール受信時・開封時の適切な⾏動とは？
⑤ 不審メール等の各種セキュリティ情報

公益社団法⼈ 私⽴⼤学情報教育協会

Page 12（参考）アンケートから⾒る訓練受講者の反応


当初、訓練受講者の反応が懸念されたが、実施してみると想像以上に好評価
9999999

⼀般的な研修と⽐較して「意識が⾼まった」「再認識した」という肯定的な回答が多く得られたのが特徴
アンケート回答者の７割は、訓練の実施に肯定的
４⼈に１⼈は、定期的に訓練を実施を希望頻度を増やして実施した⽅がよいという要望は、約２％しかなかったことから、年に１回の訓練頻度が、適切「箇所内でも話題にすることで情報セキュリティへの意識が⾼まるのも実感ができた。」「⽇頃気を付けているものの、まだ⼗分ではないことが多いため、こうした研修でさらに意識を⾼めていきたい。」「学⽣スタッフも含め⽇ごろから情報セキュリティに対して意識を⾼めるよい機会となりました。」

公益社団法⼈ 私⽴⼤学情報教育協会

Page 13

グループワーク

公益社団法⼈ 私⽴⼤学情報教育協会

Page 14

早稲⽥⼤学での訓練の流れ

業務⽤PCを利⽤する職員、派遣等を対象に実施(0) オンデマンド事前学習

9 原則、着任時に視聴を依頼(1) 訓練告知

9 訓練実施2週間前程度に告知
9 いずれは告知なしで実施予定(2) 訓練メール送信

9 複数の種類の訓練メールを⽤意し、種類別に時間間隔を開けて送信(3) アンケート

9 訓練メール受信後の⾏動調査
9 回答率は6割程度(4) フィードバック研修

9 実際の感染事例紹介
9 訓練結果の報告
公益社団法⼈ 私⽴⼤学情報教育協会

Page 15

訓練の⽬標


巧妙化が進む標的型攻撃に対応した訓練メール
9新たな攻撃メールに対応したコンテンツの充実を図る。



サイバー攻撃への耐性強化を⽬的に「感染予防対応」、「感染拡⼤防⽌対応」の視点で2つの⽬標を設定① 訓練メールのURLアクセス・添付開封率の低減
9サイバー攻撃の脅威に対する「意識(気づき)」を持つこと
9標的型攻撃メールの⾒分け⽅の「知識」定着を図ること
9不審メール受信時の適切な⾏動をとること② 訓練メールのURLアクセス・添付開封者全てが適切な⾏動をとる
公益社団法⼈ 私⽴⼤学情報教育協会

Page 16

訓練の概要
 作成種類：４種類（４⽂×1タイプ（URL））
 件名：①メールが管理ポリシーに抵触している恐れがあります。
②【重要】ISO9001の改定に伴う影響について③【⾄急】職場環境調査の実施について④【重要】情報システム端末に関わる緊急調査の実施について

 差出⼈：①情報セキュリティ対策委員会 <secure.taisaku.waseda@gmail.com>②社会連携推進室 <syakai.renkei.waseda@gmail.com>③職場環境改善委員会 <syokuba.kaizen.waseda@gmail.com>④情報セキュリティ対策委員会 <secure.taisaku.waseda@gmail.com>

 内容

：

9 「だましのテクニック」の着眼点、そのほかの気づきのポイントを複数含んだ訓練メール
⽂を作成
9 それぞれメール⽂中のURLをクリックして確認するように促すタイプとして作成
9 差出⼈メールアドレスとしてフリーメールのアカウントを取得
9 本学ドメインを偽装したドメインを取得し、偽装URLを使⽤

公益社団法⼈ 私⽴⼤学情報教育協会

Page 17

訓練の⽂例

公益社団法⼈ 私⽴⼤学情報教育協会

Page 18

訓練の⽂例

公益社団法⼈ 私⽴⼤学情報教育協会

Page 19

不審メールを受信した場合の対応例

 不審メールを受信した場合、以下の対応を周知

A) 「だましのテクニック」の着眼点に複数合致している。
B) 業務上、添付ファイルを開封（本⽂中に記載のURLへアクセス）する必要がある。
9 A)、B)のいずれにも当てはまる不審メールを受信した場合•••添付ファイルを開封（URLアクセス）せずに、担当者を通じて以下へ連絡
⼝頭等により箇所内で情報共有
担当者が不在の場合は、本⼈より連絡9 B)の内容であるが、A)の判断に迷う不審メールを受信した場合•添付ファイルを開封（URLアクセス）せずに、情報部⾨へ連絡

9 A)のみに当てはまる不審メールを受信した場合•••

当該メールは原則として削除
⼝頭等により部署内で情報共有
情報部⾨への連絡は不要

公益社団法⼈ 私⽴⼤学情報教育協会

Page 20

不審メールの添付ファイル開封（URLアクセス）した場合の対応例


不審メールの添付ファイル開封（URLアクセス）をした場
合、以下の対応を周知
999



担当者を通じて情報部⾨へ連絡
⼝頭等により部署内で情報共有
担当者が不在の場合は、本⼈より連絡

情報部⾨が管理するセキュリティ機器でマルウェアを検知した場合、当該PCをネットワークから遮断
メール利⽤者の感染に⾄った状況や箇所内での対応状況を把握し、適切な対応および情報共有を⽬的として報告書を提出
公益社団法⼈ 私⽴⼤学情報教育協会

Page 21

本学の事例が皆様の参考になれば幸いです。
ご静聴ありがとうございました。

公益社団法⼈ 私⽴⼤学情報教育協会