• サイバー攻撃の遭遇率=19.3％※– うち標的型攻撃=30.4%– 2014年度は2013年度に対して5.2倍• ニュースな事例– 年金機構– 防衛系企業※IPA情報処理推進機構調査
調査対象：業種別・従業員数別に抽出した13,000企業
調査対象期間：2013年4月〜2014年3月
調査方法：郵送調査法
回収結果：1,913件（有効回収率14.7%）
主な調査項目：回答企業の概要、情報セキュリティ体制・対策の現状、コンピュータウイルス・サイバー攻撃による被害状況

15/11/05

• サイバー攻撃対策総合研究センター（CYREC：Cybersecurity Research Center）– 標的型攻撃等の新たなサイバー攻撃の抜本的な解決を目指し、NICTが主導的な役割を担って国内の英知を結集する体制を構築することで、当該サイバー攻撃の対策技術の研究開発及び開発された技術の速やかな社会展開を推進• サイバー防御戦術研究室– nicterで培った基盤技術群を活用し、APTによる攻撃等に対する能動的かつ根本的な防御技術を確立・実現• サイバー攻撃検証研究室– StarBEDとその基盤技術群を活用し、攻撃・防御の検証用模擬環境を用いたAPTによる攻撃等を実践的に検証– StarBED技術研究センター(テストベッド研究開発推進センター）と連携

15/11/05

標的型攻撃のイメージ

C&Cサーバ感染後の通信

標的型攻撃の段階①情報収集- ソーシャルハッキング等②初期潜入- メール添付ファイル等による感染③攻撃基盤構築- 初期感染マルウェアによるツールDL④攻撃- 自動/攻撃者によるデータ取得

15/11/05

• セキュリティ人材育成が急務– セキュリティ人材8万人月不足– 現職のセキュリティ人材の6割がスキル不足

Ø 人材育成の裾野を広げ，官民の対応力の底上げ，一般市民への啓蒙活動による社会全体のリテラシーの向上

対策・解析技術の研究開発

人材育成イベントへの技術協力• StarBED/nicterで培った技術を応用• 各種セキュリティイベントに協賛/後援，技術協力CYDER

• サイバー攻撃対策人材育成パッケージ– 演習環境構築システム– サイバー攻撃演習カリキュラム

北陸StarBED技術センター

可搬型サイバー演習パック

品質（再現レベル）• 大学・高等学校での講義や交通安全教室のサイバー版を想定し，広く一般市民迄を対象

研究室ミッション現在の模倣環境
一般ニーズ
本提案のターゲット

コスト（人・物）• 高詳細な模倣環境の必要性– 解析環境検知• 仮想環境検知• Sandbox検知• etc..

– 想定外環境での不全• 攻撃対象の環境情報の利用– ユーザアカウント– Proxy Server IP– etc..

15/11/05

C&Cサーバ感染後の通信• 高詳細な模倣環境の必要性– 解析環境検知• 仮想環境検知• Sandbox検知• etc..

– 想定外環境での不全• 攻撃対象の環境情報の利用– ユーザアカウント– Proxy Server IP– etc..

C&Cサーバアカウントが無い

感染後の通信外部へ接続不能OSが異なり動作しない

15/11/05

特殊な環境構築要件
課題
解析環境検知回避	
  -­‐	  仮想環境検知	
  -­‐	  SandBox検知

解決要件（研究開発）
物理・仮想混在環境の構築
インスタンスの設定やコンテンツの模倣	
  インスタンスの振る舞い模倣	  外部組織とのインタラクションの模倣	
  反復的な環境構築	
  構築したHoneynet環境の構成保存，再構築必要な物理資源の削減	
  サービスの動的配置技術	
  テンプレートと差分データによる実データ圧縮	
  コンテンツの模倣	
  シナリオからの自動生成技術	
  シナリオ作成	
  記述形式	
  中長期的な運用	
  時間，人材確保（連携先確保），運用の自動化	
  15/11/05

• StarBED/SpringOS– OSイメージの配布(物理ノード)– ネットワーク設定機構(VLAN)– 均一なノードを大規模に展開可能– ノードの多様性再現は困難• Chef/Ansible– 同一の構成を多数のノードに適用するのが主な目的– 設定ファイルは手続き型記述が煩雑– SpringOSとの連携が困難• クラウドコントローラ– ノードの複製とネットワーク設定– コンテンツの配置は不可

15/11/05

• 模倣環境構築システム– コンテンツ挿入型環境構築システム– 対話的 or 反復的に構築可能

15/11/05

テンプレート作成

テンプレート複製・OSインストール
・アプリインストール
・基本・共通設定

・テンプレート保存・テンプレート複製配布
・ネットワーク設定

インスタンス設定
・固有設定
・コンテンツ配置
Router

複製設定

Template
Image

Client A

15/11/05

Client Bテンプレート作成

テンプレート複製

インスタンス設定

・OSインストール
・アプリインストール
・基本・共通設定

・テンプレート保存・テンプレート複製配布
・ネットワーク設定

・固有設定
・コンテンツ配置
Router

複製設定

Template
Image

Chef/Ansible

クラウドコントローラ
SpringOS

15/11/05

Client A

Client B• 模倣対象が存在– 設定ファイル
– コンテンツ• サービスの同一性– 一般的な組織ネットワークのサービスは同一• Firewall,DHCP,Mail,Proxy,Web,AD,FTP,CIFS…etc– トポロジや設定のみ異なる

Ø 複製に特化した方が効率的– 実環境の設定ファイルの挿入– 実(模擬)コンテンツ挿入15/11/05

• テンプレート＋設定・コンテンツファイル群– 置換によるファイル内容の置き換え(オプション)• ネットワークは対象環境を模擬
テンプレートディスクイメージ群
Diskimage
BIND

Diskimage
Windows(TM)

IPAddr :192.168.1.1/24
MACAddr :AA:BB:CC:DD:EE:FF

FTP
Instanse

Diskimage
Apache2

Diskimage
etc

ノード展開

ファイル群

Diskimage
ProFTPD

・・・

複製

File:
MaildirFile:sample.pdf

File:proftpd.conf

挿入

Diskimage
ProFTPD

15/11/05

Setting:
IPAddress
Hostname挿入

File:named.conf

・・・

環境構成ファイル

論理構成ファイル

自動的
対話的

Alfonsの機能
物理ノード・VLAN割当

インスタンスの導入

環境構築
環境構成の保存15/11/05

構成保存• 論理構成定義– 物理資源と検証環境の分離• 環境移行・複製を実現

– 用語

Vlan2
Vlan1

• NodeBox : 物理ノード

ServerServerServerServerServerServerServer

論理構成定義	
  ServerServerServerServerServerServer

ServerServer

サーバクラスタ

15/11/05

eth0: untag

eth0: untag

NodeBox1

NodeBox2eth1: tagged

nbs:	  	   論理構成定義ファイル	
  nb1:	
  	  nb2:	
  	  vlans:	
  	  vl1:	
  	  {nb1:	
  {eth0:	
  ut},	
  nb2:	
  {eth0:	
  ut}}	
  	  vl2:	
  	  {nb2:	
  {eth1:	  tg}}	
  	  • インスタンス– テンプレートイメージ+設定ファイル+コンテンツ• OS毎の設定方法の差異を吸収– IPAddress» Linux：/etc/network/interfacesの書き換え» Windows：netshコマンドbatch処理をrun onceで起動• コンテンツはファイル単位でインスタンスに事前挿入– libguestfs
コンポーネントコンポーネント

定義

定義

WindowsLinux

OSディスクイメージ
Conﬁgテンプレート群

OSディスクイメージ
Conﬁgテンプレート群

ネットワークトポロジの自動設定VlanID:XX2

保存・共有

コンポーネントDB
時間軸：ユーザA
コンテンツデータ
メールやログ，操作履歴のデータ
時間軸：ユーザB
コンテンツデータ
メールやログ，操作履歴のデータ

イメージに書き込み

Alfonseth0: untag

HyperVisor導入は自動判断
15/11/05

eth0: untag

IPAddr :192.168.1.1/24
MACAddr :AA:BB:CC:DD:EE:FF

Linux(Virtual)HyperVisor
NodeBox1

各ノード内コンテンツ

コンテンツDB

VlanID:XX1

Client x 3
HyperVisor
NodeBox2eth1: tagged• 対話的に構築した環境構成情報を保存– XML形式– XMLから環境一括構築可能• 物理資源の変更可能(複製/並列)

VlanID:XX2
VlanID:XX1

eth0: untag

eth0: untag

eth1: tagged

IPAddr :192.168.1.1/24
MACAddr :AA:BB:CC:DD:EE:FF

Linux(Virtual)HyperVisor

Client x 3
HyperVisor

NodeBox1

NodeBox2eth0: untag

eth0: untag

AlfonsNEEDXML

AlfonsNEEDXML

VlanID:XX2
VlanID:XX1

eth1: tagged

IPAddr :192.168.1.1/24
MACAddr :AA:BB:CC:DD:EE:FF

Linux(Virtual)HyperVisor
NodeBox1

Client x 3
HyperVisor
NodeBox2

15/11/05

• Hardening 10 MarketPlace– 企画/実行： WASForum Hardening Project実行委員会– 脆弱性のあるECサイトのハードニング(堅牢化)力を競う– チーム対抗で8時間耐久競技
トポロジ全体チーム環境
10.2.xx.0/24!

192.168.xx.0/24!
.101!

SSL&VPN

192.168.3.0/24!

DNAT.254!

!

.254!

IP

8 !

.102!

.253!

!
.1!	
 12
01#

02#

.254!

.254!
.254!

.2!

192.168.2.0/24!

192.168.1.0/24!
.3!

12#
#.1!

.4!

.2!

.5!

.6!

.3!

.6!

.7!

172.31.xx.0/24!

.5!

8

IP 1 1!NAT!

4

15/11/05

!

.3!

.4!

.5!

172.30.xx.0/24!
ESSID Teamyya	.2!

!

.8!

SSL&VPN

.1!

.4!

!
!

!

• 構成資源量– 80物理ノード(NodeBox)，100 VLAN利用– 335インスタンス作成• 構築時間– 平均的なインスタンス１個の作成時間：約3分半

15/11/05

• CTF形式の競技体験– Windowsを一台乗っ取った想定で，NW環境上のどこかにあるDBの個人情報を奪取する．
– 参加者にはトポロジ不開示も，最速達成者は25分
Global RouterCTF トポロジ図
VLAN:XXXX
Y:#Group
Node:nXXX

会場風景

.254
2351

#1.2542352

Proxy.254

.254
2354

.254
2353

10.2.1Y.241:8080

2355

n136

10.2.1Y.0/24.253
DMZ
192.168.3.0/24

2333

.254

2332

.254

FW.254.5

Int Srv
192.168.2.0/24.243

Mail.8

FS

CentOSDB

ubuntuubuntu2331
Client192.168.1.0/24.192

client
Win7#1

VNC = n131:5902

.192
RDP
2356 172.29.1Y.0/24

2334
|
2336

n131

2337
|
2339

.192

#22340|
2342

n132

2357
.192

#32343
|
2345

n133

2358
.192

#4

n134

2359.192#5.254.254

Win8surface

2360
.254

.254

VPN

Win8surface

n135.254

Win8surface
競技会場

15/11/05

• 攻撃パッケージ，演習シナリオなどの教材作成– 環境構築システムには目処Ø StarBEDパッケージ– 一般的な組織ネットワーク環境とユーザ端末を模擬– 各種レベルの演習シナリオセット– 演習レベルにあわせた攻撃セット– StarBED環境を用いた大規模環境

Ø 可搬型パッケージ– セキュリティ演習パッケージを可搬型機材で実現– NW環境が準備出来ない会場でも演習可能– SDN技術を活用した安価な演習機材システム

15/11/05