サイバーセキュリティ研究開発
における今後の展望
中尾康二
NICT サイバーセキュリティ研究所 主管研究員

サイバー攻撃の現状• NICTによるサイバー攻撃観測：1500憶回スキャン/2017年、5300ス
キャン/秒（スキャン：攻撃の予備活動として、標的を調査する活動）• マルウェア発生の頻度：2017年：1億２千万/年、36万/日（以前と比較：９千/日：2007年、40/日：1997年）、実際のハッキング数（約2000件/日（2017年））• 100以上の高度に洗練された攻撃グループが世界中に存在（標的：金融機関、重要インフラ（制御系システムを含む）、製造業、運輸業などへと拡大化（多くが金銭目的））• テロリズム（妨害活動）による被害：ドイツ（製鋼所）：2014、ウクライナ（送電網）：2015-2016、英国/ドイツ等（病院等）：2017、
韓国（冬季オリンピック）：2018などで多発• セキュリティ対応費用の増大等：ランサムウェア（暗号化し金銭をとるマルウェア）/80憶ドル（世界）、50％費用増加（日本）、内部犯行事例の増加（攻撃全体の約20％に）• 最近の急増するビジネス環境による脆弱点の多様化：クラウド、ビッ
クデータ、IoT、サプライチェーン、5G（第5世代ワイヤーレス通信）
等への変化

2

nicter-Atlas （ダークネット観測システム）
による全スキャン3

5

スキャン攻撃で使われているポートの分散(2017年)Port

Oth er Ports
3 5 .8 %2 3 /TCP
3 8 .5 %Target Service

23/TCP

IoT (Web Camera, etc.)

22/TCP

IoT (Mobile Router, etc.)
SSH

445/TCP

Windows (Server Service)2323/TCP

IoT (Web Camera, etc.)

5358/TCP

IoT (Web Camera, etc.)

7547/TCP

IoT (Web Camera, etc.)

1900/UDP

IoT (Home Router, etc.)

1433/TCP

SQL

443/TCPSSL/TLS

80/TCP

HTTP

５４％以上が
IoT関係

3

6

H２９年策定のNISC 研究開発戦略

7

今後の課題サイバー空間の広がりや脅威の深刻化を踏まえ、近い将来のIT利活用に必要なサーバーセキュリティに関する研究開発を促進するとともに、サイバーセキュリティの考え方の変化も含め、中長期を見据えた独自性の高い研究開発を推進

8

9

10

11

日本におけるサイバーセキュリティの研究（CSS-2018を例にとり）

基盤系の研究開発（１）• 2A1: 個人認証 （座長：大木 哲史）••••

2A1-1: 覗き見耐性を持つマウス操作と数字盤を組み合わせた個人認証方式の提案と評価
2A1-2: スマートフォンとウェアラブル端末の加速度センサを用いたスマートロックにおける歩行認証
2A1-3: DPA対策マスクの変換アルゴリズムの改良と認証方式への適用
2A1-4: ワンタイム図形生成に基づく特定の認証キーのない認証手法• 2A2: 暗号解析・安全性評価（１） （座長：白勢••••• 2A3: 暗号解析・安全性評価（２） （座長：安田
•
•
•
•
•

裕）

2D4-1: マルチパーティ計算を利用した秘匿情報統合分析に対するゲーム理論の適用
2D4-2: ラウンド効率のよい2者間秘匿計算とその秘匿畳み込みニューラルネットワークへの応用
2D4-3: Towards Practical Secure Automatic Speech Recognition
2D4-4: Oblivious RAMを利用したセキュアな決定木の実装評価• 4A2: 秘匿計算 （座長：大畑
•
•
•

貴徳）

2A3-1: KSS曲線を用いた効率的なペアリング暗号のための18次拡大体構成法の評価
2A3-2: Estimating Secure Parameters for the Multivariate Encryption Scheme EFCp2A3-3: Tame Automorphism Decomposition Problemに関する一考察
2A3-4: 有限体上楕円曲線の新しい演算に基づくDLPとECDLPの関係
2A3-5: 奇標数体上で生成される幾何系列の自己相関• 2D4: 秘密計算 （座長：吉浦
•
•
•
•

政明）

2A2-1: 軽量ブロック暗号PiccoloのMILP手法を用いたDivision Propertyの検証
2A2-2: Type-1一般化Feistel暗号に対する量子識別攻撃の改良
2A2-3: Sliding window法からの漏洩情報を用いた秘密鍵復元攻撃の改良
2A2-4: A Continuous Genetic Algorithm for Optimizing Pruning Function for Lattice Enumeration

幸矢）

4A2-1: 僕たちは一番大切なものに気づいていなかった-秘密外部結合プロトコルの設計と実装4A2-2: 高精度かつ高効率な秘密ロジスティック回帰の設計と実装
4A2-3: 準巡回シンドローム復号問題に基づく線形関数秘匿計算

12基盤系の研究開発（２）• 3A2: 高機能暗号（１） （座長：藤岡 淳）• 3A2-1: レベル2準同型暗号の平文バイナリ制約を与えるコンパクトな非対話ゼロ知識証明• 3A2-2: BundleされたWitness Spacesに対するΣプロトコルによるWitnessIndistinguishable ArgumentsとそのグローバルIDへの適用• 3A2-3: CBDH仮定に基づく効率的な閾値公開鍵暗号• 3D2: プライバシー技術理論 （座長：清 雄一）• 3D2-1: 二分決定図による複数の線形モデルの出力値公開の安全性評価と疾患リスク予測値公開への適用• 3D2-2: 攻撃者の条件を緩和した推薦システムに対するModel Inversion攻撃• 3D2-3: Locally Private Continual Countingにおける1-Shot Reportingメカニズ
ムの有用性解析• 3D2-4: 集計表セル秘匿問題の拡張によるデータ効用保持の有効性評価• 3A3: 高機能暗号（２） （座長：光成 滋生）• 3A3-1: 鍵更新機能付き検索可能暗号：効率化に向けた一工夫• 3A3-2: 並列処理かつ動的データに向けた検索可能暗号の改良• 3A3-3: Identity/Attribute-Based Signature Resilient to Hard-to-Invert Leakage
under Standard Assumptions• 3A3-4: IDベース暗号の強秘匿匿名性について

13

14

応用系の研究（１）•1E3: クラウド・仮想化 （座長：須賀••••1E3-1: Intel SGXを利用するコンテナのマイグレーション機構
1E3-2: OverlayFSを用いたコンテナに対するサービス妨害攻撃の防止
1E3-3: キャッシュのモニタリングによるキャッシュサイドチャネル攻撃の検知
1E3-4: JavaScriptを用いたスマートフォン向けFIDO UAF Cloudの提案と評価• 1A4: Webセキュリティ （座長：齋藤
•
•
•
•

祐治）

孝道）

1A4-1: プッシュ通知を用いたパスワードマネージャの提案と評価
1A4-2: WordPressプラグインで発生するCSRF脆弱性とSelf-XSS脆弱性の組み合わせによるXSS脆弱性
1A4-3: アクセスパターンに基づく攻撃対象Webアプリケーション発見手法の提案
1A4-4: Webサイトのセキュリティ・センサス• 1A5: Androidセキュリティ （座長：孫 博）••••

1A5-1: ソーシャルネットワークで共有されるAndroidアプリケーションの実態調査
1A5-2: Androidにおけるランタイムパーミッションのクラス別適用手法
1A5-3: Androidアプリケーションのコンポーネント間通信による脅威分析の効率化と高度化
1A5-4: AndroidにおけるWebViewのWebアクセス観測機構を利用した悪性Webサイトの脅威分析と対策の提案• 2E3: ユーザインタフェースが変えるセキュリティ （座長：五味••••2E3-1: 視覚障害者の暗証番号入力時におけるのぞき見防止方法の検討
2E3-2: 言語圏ごとのパスワード生成・管理の傾向比較
2E3-3: パスワード非開示によるパスワード強度測定方式
2E3-4: スマートフォンにおける音声とタッチスクリーンから取得した耳介を用いた個人認証• 3B3: ブロックチェーン （座長：長谷川
•
•
•
•
•

秀仁）

佳祐）

3B3-1: ブロックチェーンを用いた認証・認可システムの設計と実装
3B3-2: プライバシーを考慮したブロックチェーンの取引者間事前合意プロトコル
3B3-3: ブロックチェーンを利用したセキュアな分散処理を実現するフレームワークの提案
3B3-4: Ethereumブロックチェーン上に潜むマルウェアなどの定量的リスク分析
3B3-5: 暗号通貨（ビットコイン）・ブロックチェーンの高信頼化へ向けてのMELT-UP活動（II）-運用と倫理-応用系の研究（２）15• 4B2: IoTセキュリティ （座長：磯原 隆将）• 4B2-1: クロスデバイストラッキング技術に関する調査：2018年版• 4B2-2: クロスアプリケーションフィンガープリンティング-同
一端末上のアプリケーション間の紐付け-• 4B1: 自動車セキュリティ （座長：吉田 琢也）• 4B1-1: CANのイベントメッセージに対する侵入検知手法の提案• 4B1-2: CAN通信における汎用的な攻撃検出を目的とした時系列
データ解析• 4B1-3: 車載インフォテインメントシステムにおけるホワイト
リストと遅延付加によるCANバス上のDoS攻撃緩和手法• 4C1: Drive-by-Download攻撃 （座長：羽田 大樹）• 4C1-1: Drive-by-Download攻撃時の通信データの関連性分析• 4C1-2: ドメインを用いないWebアクセスに着目した悪性サイト
検知手法の提案• 4C1-3: ソースコードの類似度に基づく悪性JavaScriptの検知• 4C1-4: ユーザ環境観測によるRIG Exploit Kitの長期観測と時間変化に対して頑強な攻撃検知

侵入、マルウェア分析系の研究（１）• 1B5: データセット （座長：大野 一広）••••

1B5-1: 研究用データセット「動的活動観測2018」
1B5-2: マルウェアデータセットに関する調査
1B5-3: ネットワーク型侵入検知システム評価用セッション型データセットに関する一考察
1B5-4: 【ディスカッション】MWSデータセットの提供者，利用者にこれだけは言っておきたい！

• 2B3: ログ分析・侵入検知 （座長：橋本
•
•
•
•
•

2B3-1: リモート型シェルコードのエミュレーションによる攻撃成否判定手法
2B3-2: 行動表現文法ELLを用いた攻撃シナリオ再構築技術
2B3-3: 不正侵入検知におけるセキュリティアラートのシグネチャ別発生量に着目した誤検知削減手法
2B3-4: IoT機器に特化したアノマリ型侵入検知システムの提案
2B3-5: 車載ネットワークCANにおけるバスオフカウンター攻撃の改善• 2D3: 追跡技術と現実 （座長：小栗
•
•
•
•
•

正樹）

秀暢）

2D3-1: ライフスタイル認証におけるIPアドレス情報の利用について
2D3-2: Webトラッキング技術に関する対策技術の検証及び考察
2D3-3: 可視画像からの指静脈認証のなりすまし可能性の検討とその対策手法
2D3-4: Androidアプリがサードパーティに送信する情報の調査: JDIを用いた動的解析機構
2D3-5: JavaScriptによるクライアントPC操作の法律問題• 2C4: 検知回避と誤検知 （座長：中津留 勇）••••

2C4-1: アンチウイルスによる誤検知の調査と対策の提案
2C4-2: 特定環境で動作するマルウェアへのセキュリティアプライアンスの耐性評価
2C4-3: Windowsにおけるプロセッサレベルの特徴量に注目した亜種マルウェアの検知
2C4-4: Linuxにおけるファイルレスマルウェア対策• 3C2: 表層解析とプログラム解析 （座長：岩本
•
•
•
•

一樹）

3C2-1: マルウェアによるRDTSC命令の利用方法についての分析
3C2-2: シンボリック実行を利用したIOC変換
3C2-3: シンボリック実行を活用したマルウェア解析環境検知機能の回避条件自動抽出の研究
3C2-4: Concept DriftとScale-freeの性質を持つデータセットに対する検知の自動化手法

16

侵入、マルウェア分析系の研究（２）•3B1: マルウェア・ネットワーク分析 （座長：藤田
•
•
•
•

•

•

•

3C3-1: RISC-Vにおけるプロセッサ情報を用いた動的なアノマリ検知機構
3C3-2: システムログ書式の構造に着目したシステム異常検出手法の検討
3C3-3: 類似メールを利用したばらまき型メールの検出
3C3-4: XSS攻撃検知のためのテストベースホワイトリスト自動生成手法に関する検討•彰）

3B4-1: MITB攻撃においてコンテンツ改ざんを行う不正JavaScriptの解析手法
3B4-2: スクリプト実行環境に対する解析機能の自動付与手法
3B4-3: 動的解析においてログが取得できないマルウェアの実態調査
3B4-4: 動的な関数アドレス解決APIの呼び出しログを用いたマルウェア分類

4D1: 攻撃分析 （座長：白石
•
•
•

隆志）

4D2-1: サイバー攻撃観測用センサーの静的特性に関する考察
4D2-2: 長期間観測した通信データを用いたサイバー攻撃活動と推定されるプログラムの分類による攻撃者像の一考察
4D2-3: 「サイバーセキュリティ能力成熟度モデル」を一部改良して使用した国レベルの能力測定の提案
4D2-4: エコシステムで構成するサイバー攻撃と防御演習システムCyExecの提案

3B4: 動的解析 （座長：折田
•
•
•
•

•

栄二）

4D2: サイバー攻撃 （座長：松中
•
•
•
•

大佑）

3C1-1: 宛先アドレス順序とペイロードに着目したネットワーク走査活動の分析
3C1-2: 宛先変化数を用いた協調型走査活動を行なうホスト群抽出手法の提案
3C1-3: Darknet及びハニーポットの比較分析に基づくマルチベクタ型DDoS攻撃の検知方法の検討
3C1-4: ユーザの行動履歴を考慮したDDoS攻撃加担対策手法の検討

3C3: 攻撃検知 （座長：瀧本
•
•
•
•

•

3B1-1: 準パススルー型ハイパーバイザによるストレージアクセスパターンの収集システムの提案
3B1-2: AlkanetにおけるMeltdown対策済Windowsのシステムコールトレース手法
3B1-3: PTRレコードの連続的設定を加味した動的IPアドレスブロックおよびクラウド領域検出
3B1-4: IoTマルウェアと通信可能な悪性サーバの探索

3C1: ダークネットとDDoS攻撃 （座長：牧田
•
•
•
•

彬）

善明）

4D1-1: サイバー攻撃に対する能動的観測による収集データのモデル化と正規化手法
4D1-2: 標的型攻撃の被害範囲を迅速に分析するネットワークフォレンジック手法の改良
4D1-3: On Automation and Orchestration of an Initial Computer Security Incident Response Using Centralized Incident Tracking
System
4D1-4: マルウェアによる感染活動の目的推定に向けた動的解析ログに基づく分析

17

18

ネットワーク系の研究• 2C1: 悪性ドメイン名 （座長：岡田雅之）• 2C1-1: Combosquattingドメインネームの生成モデルとその評価• 2C1-2: OCRを利用したホモグラフIDNの検知法• 2C1-3: Active LearningとEnsemble Learningを用いた悪性ドメイン名
検知システム• 2C1-4: IDNホモグラフ攻撃の大規模実態調査：傾向と対策• 2B2: ネットワークセキュリティ （座長：森達哉）• 2B2-1: Torネットワークへの攻撃に対するサーバ発ランダム画像
挿入による防御手法の検討• 2B2-2: 画像分類を用いるIoT マルウェアの検知手法についての提案• 2B2-3: Rig Exploit Kitを利用したDrive by Download攻撃における分類評価• 2B2-4: アグリゲート署名を用いたBGPsec AS_PATH検証手法の提案と実装評価• 3C4: 通信データ分析 （座長：小出駿）• 3C4-1: ペイロードの特徴量に注目した未知のネットワーク異常検出• 3C4-2: マルウェアの通信特徴に基づくSSL/TLSを利用したC&C通信
検出手法• 3C4-3: Cutwail通信プロトコルの解析

19

機械学習系の研究• 2C2: 機械学習（1） （座長：市野将嗣）• 2C2-1: DCGANを用いたネットワークトラフィックの異常検出• 2C2-2: Adversarial trainingを用いた未知ファミリ検知手法• 2C2-3: マルウェア感染端末の分類精度改善に向けたラベルなしネットワークログの活用法• 2C2-4: 侵入検知モデル構築における能動学習と無作為選択を用いたラベリングコスト
削減手法の検討• 2C3: 自然言語処理の活用 （座長： 芦野
•
•
•
•
•

佑樹）

2C3-1: 出現頻度の高い可読文字列を用いた未知のマルウェアの検知手法
2C3-2: 異常検知器を用いた未知の悪性マクロの検知手法
2C3-3: 静的データに基づくマルウェア検知に適した特徴空間の分析
2C3-4: fastTextを用いたマルウェア亜種判別
2C3-5: 話題誘導するトピックモデルを用いたセキュリティレポート分類• 4C2: 機械学習（2） （座長：嶋田創）• 4C2-1: コード断片からのコンパイラ推定手法• 4C2-2: API呼び出しとそれに伴う経過時間とシステム負荷を用いた重み付けスコアに基
づくマルウェア検知手法• 4C2-3: ヘッダ情報解析と深層学習手法を用いた電子メールによるゼロディ攻撃検出に関する研究• 4C2-4: 機械学習を用いたマルウェア検出システムの提案• 2B1: 敵対的学習 （座長：高橋健志）• 2B1-1: 機械学習システムの脆弱性と対応策にかかる研究動向について• 2B1-2: 画像分類深層学習器に対するModel Extraction 攻撃の検証• 2B1-3: 深層学習における高い非認識性を持つ電子透かしの疎構造に対する埋め込み• 2B1-4: 実世界でも攻撃可能なAudio Adversarial Example

20

その他（１）• 1A3: 認証・個人識別 （座長：毛利••••1A3-1: 歩容データのDTW距離に基づく個人識別における複数部位のフュージョン手法
1A3-2: 体臭によるプライバシーの侵害度合いの調査
1A3-3: 超音波の分離放射による音声認識機器への攻撃:ユーザスタディ評価と対策技術の提案
1A3-4: 車載ネットワークセキュリティ演習プログラムの報告• 1E4: 情報基盤 （座長：渡邊
•
•
•
•

•

•

裕治）

1E4-1: 未知語を考慮した固有表現認識によるセキュリティインテリジェンスの構造化手法
1E4-2: Generating Security Intelligence through Social Network Sentiment Analysis
1E4-3: STIX2.0/TAXII2.0を用いたインディケータの自動収集と攻撃検知の自動化
1E4-4: 脅威情報の共有に向けたグラフ記述のための軽量マークアップ言語の提案

2A4: 暗号実装評価 （座長：国井
•
•
•

公一）

裕樹）

2A4-1: システムを改変しない攻撃者とOS機能を信頼の基点とする暗号処理の安全性に関する一考察
2A4-2: 実環境を想定したWPA2に対するKRACKsの評価実験
2A4-3: IoT機器への適用に向けたTLS1.3の性能評価

3A1: 暗号構成手法 （座長：松崎 なつめ）•••

3A1-1: マンハッタン距離を用いた幾何学的グループ鍵共有法に関する検討
3A1-2: 相関のある情報を用いたMultiple Access Wiretap Channelにおける秘匿通信について
3A1-3: 深層学習の分類によるステガノグラフィの方法• 3D3: 加工 （座長：井口
•
•
•
•
•

誠）

3D3-1: 特許出願からみた匿名化関連技術の技術動向—平成29年度特許出願技術動向調査より—
3D3-2: 属性推定攻撃を抑止可能なプログラム送付型匿名化方式の提案
3D3-3: 自己情報コントロールと権限分散を両立するパーソナルデータ流通方式の提案
3D3-4: 匿名データの安全性指標としての再識別率とその活用方式の提案
3D3-5: PWS Cup 2018: 匿名加工再識別コンテストの設計〜履歴データの一般化・再識別〜

21

その他（２）•

2E4: ソーシャルエンジニアリングとインテリジェンス （座長：宮本
•
•
•

•

3E3: OWS：OSSセキュリティ （座長：面
•
•
•
•
•

•

•
•
•

•

•

利宏）

3E4-1: ヒープ領域に対するソースコード不要のIntel MPX命令適用手法
3E4-2: プロセス内処理に対する遠隔認証手法の提案と実装
3E4-3: TEE搭載デバイスにおける閲覧画面の偽装検出技術の提案
3E4-4: Linuxディストリビューション間でのELFバイナリにおけるセキュリティ対策機構の適用状況の比較

4A1: 物理・視覚化暗号 （座長：小川
•
•
•
•

•

正志）

3A4-1: マルチモーダル人工物メトリクスのための機能性材料の開発（色相と発光強度の違いをもたらすアップコン
バージョンガラス蛍光体）
3A4-2: 偽装QRコードの構成とその効果，およびその対策について
3A4-3: SeQR: ショルダーハック耐性を持つQRコード生成方法
3A4-4: バーコードの多段二重符号化による情報付加と偽造防止

3E4: 実行監視・脆弱性分析 （座長：山内
•
•
•
•

和毅）

3E3-1: TrustZone Technologyを利用したアクセス制御ポリシーの保護手法
3E3-2: TOMOYO Linuxによる強制アクセス制御効果の可視化
3E3-3: ログ出力の抑制によるSELinuxの不要なポリシ削減手法
3E3-4: 権限昇格攻撃防止手法における権限の格納位置のランダム化
3E3-5: 独自のカーネル用仮想記憶空間を用いたカーネルモジュール監視手法

3A4: 偽造防止技術 （座長：宇根•一人）

4A1-1: 不可視インクを用いた効率的なカードベース暗号プロトコル
4A1-2: プレゼント交換に適したシンプルなカードベース置換生成
4A1-3: 情報セキュリティアンプラグド〜計算機を用いない情報セキュリティ教育〜
4A1-4: メッセージングアプリの普及に基づく簡単で公平なコイントス

4E1: リスク分析・プライバシー （座長：高橋
•
•
•
•

大輔）

2E4-1: 仏教の視点から考えるソーシャルエンジニアリング対策（その1）
2E4-2: OSINTと人間の心理を利用した標的型メール攻撃に対するインテリジェンスを活用した防御に関する基礎検討
2E4-3: インテリジェンスを利用する標的型メールと標的型メールに対するインテリジェンスを利用した防御に関する検討

雄志）

4E1-1: 矛盾-無関心を考慮したトラスト値の遷移について
4E1-2: 業務プロセスの信頼性の改善手法
4E1-3: テレワークにおけるプライバシーの課題に関する調査
4E1-4: 海事サイバーセキュリティの現状と課題その他（３）• 2E1: 利用者を知り，セキュリティを造る （座長：金岡 晃）• 2E1-1: 小学校高学年を対象としたSNS教育ゲームの開発• 2E1-2: 警備システムの構築と顧客の合意形成を支援するシ
ステムの研究• 2E1-3: 環境情報を用いた脆弱性検出のチャットボット• 2E1-4: 「かわいい」はセキュリティ警告の効果を改善しうるか？（第２報）〜心理効果による安全行動誘引の試み〜• 2E2: セキュリティ技術の普及に向けて （座長：坂本一仁）• 2E2-1: セキュアなUIの実現を目指して?USBモデルの提唱?
• 2E2-2: 経営マネジメント状況による情報漏洩インシデント
削減効果の評価(2)• 2E2-3: 開発者向けユーザブルセキュリティ・プライバシー
研究の現状調査22

23

海外の動向（NISC資料を参照）

24１）サイバーフィジカルシステム、IoT
２）クラウド３）高性能計算
４）自立システム
５）モバイル機器

25１）暗号・鍵管理、プロトコル
２）情報リスクマネジメント
３）システムエンジニアリング
４）情報保証の方法論
５）運用保証技術
６）戦略技術と製品の安全性の研究
７）サイバーセキュリティ人的要因の科学
８）高信頼性システムの構築

26

27

１）スケーラブルなTrustworthyシステム
２）レジリアントなシステム
３）効果的な攻撃状況の把握、攻撃アトリビューション
４）内部犯行対策
５）脅威検出、分析、対応（保護）６）効果的、効率的なデジタルフォレンジック

28（例）日仏サイバーセキュリティ連携研究

29

研究連携項目：WG構成• WG1: <Formal Methods>
Cryptographic Protocol Verification/Privacy by Formal Methods• WG2 <Cryptography>
Lattice-based cryptography / Post-quantum cryptography• WG3 <Events and Malware Analysis >Events collection by sensor technologies and exchange for joint analysis
of attack events with malware analysis• WG4 <System Security and IoT security>
Countermeasure against Side Channel Attacks (using Polymorphic Code)• WG5 <Privacy>
Technologies on Sanitization, Generalization and Data Mining for privacy
preserving (to be applicable for specific applications）• WG6 <ICS/ITS Security>
Automotive Security, CIIP

• WG7 <Network, network security, measurement>
Virtualization, SDN security, including measurement of security
performance and effectiveness… (including 5G security)

30

NICTサイバーセキュリティ研究室 研究マップ
インシデント分析センタ（ニクター）

NICTER

assiveP
受

サイバー攻撃統合分析プラットフォーム（ニルヴァーナ・カイ）

NIRVANA改脆弱性管理プラットフォーム（ニルヴァーナ・カイ・ニ）

対サイバー攻撃アラートシステム（ダイダロス）

NIRVANA改弐DAEDALUS

Global(無差別型攻撃対策)

L(標的型攻撃対策) ocal

全

局
委託研究
Web媒介型攻撃対策フレームワーク

サイバー攻撃誘引基盤
サイバーセキュリティ
ユニバーサル・リポジトリ（ワープドライブ）

CURE

能A

ctive

STARDUST(スターダスト)

今後の展望（サイバーセキュリティのための課題）
1. 実時間での攻撃の把握/攻撃予兆の把握（早期に攻撃を理解）• 世界規模での攻撃観測連携基盤の構築 → 予兆分析に繋げる

2. 攻撃の複雑化、多様化、進化/変化に向けた挙動の高度分析（適切・迅速な対応へ）• 上記の観測攻撃データに基づくDL（Deep Learning）による深層解析技術

3. セキュリティ対策自動化（新ビジネス環境やネットワーク環境などに対応した）• 新たな環境における脅威分析の実施、そのためのセキュリティ対策の自動化の研究

4. 基盤的セキュリティ技術の見直し（量子計算機対応等）• 量子計算機、新世代NWなどの新たな環境に向けた基盤技術の見直し、新規研究

5. 重要インフラなどに対するTrust (Trustworthiness)の確保「安全・安心」の確保 → 「Trust（信頼）の確保」が喫緊の課題• 「Trust（信頼）の確保」のための総合的対策の導出、先端研究の促進、技術的検証を行うための体制整備

6. 安全・安心システムにおけるIoT活用、システム間の相互運用性確保• 応用の研究、相互運用性確保に向けた認証や脆弱性対策の推進

31

32

例えば、 ハニーポットと予兆分析

33

PRACTICE（総務省プロジェクトの一部）

DR-DoS 攻撃の早期検知

34

DRDoS 攻撃1. ボットがソースIPアドレスを標的システムへ詐称してリフレクターに問い合わせを投げる。

2. リフレクターは、標的システムに対し、増量化された応答を返す。

3. 標的システム側の通信路が多量な応答により占有されあふれてしまう。（DoSの効果）
Reflectors

Query whose source IP
address is spoofed
Amplified response

BotnetTARGET

35

DR-DoS ハニーポット
PRACTICEプロジェクトでは、DR-DoSを検知するためのサーバー（ハニーポット）を設置した。（標的は攻撃しない）
Open Servers (Reflectors)
DDoS Target

x.y.z.w
botnetDRDoS
Honeypots
watch!

STOP
Queries spoofed to be fromhost x.y.z.w
Response36

早期のDRDoS攻撃の検知が可能
実際の大量はDoS攻撃の前に、不正なあるレベルの大量な攻撃を検知した。
攻撃者は、実際の攻撃の前に試験的にテスト攻撃をしたり、徐々に攻撃が増えてい
く傾向にある様子。
bitstress.com Queries
70000

DOS Alert detected at
Backbone

60000

50000

6 days

40000

30000

Honeypot1
YLAB-DNS
MKT-DNS
Honeypot2
DarknetDarknet(65536IP)

Darknet20000

Honeypot

10000

0

Date

37

どの程度、事前に大量攻撃が検知できるか？
５０％以上のDNSを用いたDRDoS攻撃の場合は、平均２日以上前に、大量攻撃になることを検知している。

Days prior to attacks
0 daywithin 1 day
2～7 days
8～30 days
31～ days
After the attacks
Not detected#domains
4 (12.1%)
5 (15.2%)
7 (21.2%)
6 (18.2%)
4 (12.1%)
3 ( 9.1%)
4 (12.1%)

DR-DoS alert メールの活用• DR-DoS alert sample (e-mail)
START of DR-DoS attack

END of DR-DoS attack[Target IP]
XXX.XXX.XXX.XXX[Target IP]
XXX.XXX.XXX.XXX[Detection time]
2014-11-13 23:57:37[Detection time]
2014-11-13 23:57:37[Protocl]
DNS : port 53[Protocol]
DNS : port 53[DRDoS Honeypot detail datea]
AS num : "AS2516 KDDI KDDI CORPORATION"
country : "Japan"pps(MAX) : 2.2
pps(AVG) : 1.1416666666666666[DRDoS Honeypot detail data]
AS num : "AS2516 KDDI KDDI CORPORATION"
country : "Japan"pps(MAX) : 2.2
pps(AVG) : 1.1416666666666666[Domain]"wradish.com ANY IN":137[Domain]"wradish.com ANY IN":137

38

39

例えば、 IoTハニーポット/ダークネット

40

ハニーポットによる攻撃の観測とマルウェアの捕獲・詳細分析
脆弱な機器を模擬した囮システム(ハニーポット)により攻撃元と通信を行い、攻撃の観測・マルウェア捕獲し、詳細解析を行う
マルウェア
捕獲！

攻撃元機器
(マルウェア
感染済)
攻撃者が用意したサーバ

IoT
ハニーポット
解析システム(サンドボックス)
詳細解析！

41

Telnetベースのマルウェア感染の流れ
マルウェアダウンロード
サーバ

制御サーバ

マルウェア
本体

3. マルウェア
本体のダウンロード

攻撃者

4. コマンドによる遠隔操作

2. Telnetによる
環境チェック・
カスタマイズ被害者
5. 様々な攻撃

1. Telnetでの辞書攻撃による侵入42

IoTPoTのシステム構成
Scanning Back

Profiler

Sensor 1
Proxy

log

Device Profiles

Learnt Command
Interactions

Vulnerable Services
Sensor 2

Banners

Proxy

Authentication
Command
Interaction

Internetlog

Gateway
Proxy…

ActualActualActualDevices
Devices
DeviceIoTBOX

Sensor 3
Proxy

Proxy
Handlerlog

Log

Implemented
In 13 countries

Front End
Front End
Responder
Front End
Responder
Responder

MalwareDownloader

Multiple CPU
Architectures
Unknown
Commands

AccessManager

43

世界的な感染状況• 218カ国（または地域）からの観測• 特に、アジア諸国から
が多い

43

44

攻撃ホストはIoT 機器（横国調べ）

Yin Minn Pa Pa, Shogo Suzuki, Katsunari Yoshioka, and Tsutomu Matsumoto, Takahiro Kasama, Christian Rossow, “IoTPOT:
Analysing the Rise of IoT Compromises,” 9th USENIX Workshop on Offensive Technologies (USENIX WOOT 2015).

44

45

感染IoT機器の種別• ハニーに接続してきたIoTデバイスは、
それが何かの詳細は多くが不明。
– きちんと分類できた：10%以下– ７２種類の多種のIoT機器タイプ• ほとんとが IP cams と DVRs

IPカメラ

DVR

46

IPアドレス数の観点から、感染国の状況
1. Vietnam
2. China
3. Brazil
上記のトップ３の国で半分以上を占めている

46

47

攻撃の観測のための２つのアプローチ» （これまでの）受動(passive)型：

観測用ネットワークで攻撃が来るのを待つ• ダークネットモニタリング• ハニーポット» 能動(active)型：

インターネット上の攻撃ホスト情報・脆弱性等を自ら探索する• Web, Telnet, FTP等へのアクセスによる機器、システムの判定• バックドアポート等の確認

48

攻撃元機器の判定

ハニーポットダークネットWeb、Telnetサービスへの接続による機器判定→IoT機器であることを確認

49

攻撃元（感染）機器のWebインターフェイスの例

感染機器の種別（事例）• 監視カメラ等•– IP カメラ– デジタルビデオレコーダ• ネットワーク機器

制御システム– ソリッドステートレコーダ– インターネット接続モジュール– センサ監視装置– ビル制御システム
家庭・個人向け– Webカメラ、ビデオレコーダ– ホームオートメーションGW– 太陽光発電管理システム– 電力需要監視システム
放送関連機器– 映像配信システム– デジタル音声レコーダ– ビデオエンコーダ/デコーダ– セットトップボックス・アンテナ
その他– ヒートポンプ– 火災報知システム– ディスク型記憶装置– 医療機器(MRI)– 指紋スキャナ– ルータ・ゲートウェイ•– モデム、ブリッジ– 無線ルータ– ネットワークストレージ
国内メーカの機器の感染事例も複数確認– セキュリティアプライアンス• 電話関連機器
感染機器情報はJPCERT/CC,
内閣サイバー•– VoIPゲートウェイ
セキュリティセンターに情報提供、または、– IP電話– GSMルータ
メーカに直接情報提供を実施中– アナログ電話アダプタ• インフラ– 駐車管理システム– LEDディスプレイ制御システム

デバイスはWebおよびTelnetの応答から判断しています.

•50

今後の展望（サイバーセキュリティのための課題）
1. 実時間での攻撃の把握/攻撃予兆の把握（早期に攻撃を理解）• 攻撃・攻撃予兆の把握のための研究開発
世界規模での攻撃観測連携基盤の構築 → 予兆分析に繋げる

2. 攻撃の複雑化、多様化、進化/変化に向けた挙動の高度分析
攻撃挙動の高度分析のための研究開発（適切・迅速な対応へ）• 上記の観測攻撃データに基づくDL（DeepLearning）による深層解析技術‐AI等の活用

3. セキュリティ対策自動化（新ビジネス環境やネットワーク環境などに
セキュリティ対策自動化のための研究開発対応した）• 新たな環境における脅威分析の実施、そのためのセキュリティ対策の自動化の研究‐AI等の活用

4. 基盤的セキュリティ技術の見直し（量子計算機対応等）

暗号・認証などの基盤技術のための研究開発• 量子計算機、新世代NWなどの新たな環境に向けた基盤技術の見直し、
新規研究‐PQC等の研究も含む

5. 重要インフラなどに対するTrust (Trustworthiness)の確保

Trustシステム構築（サプライチェーン等）のための「安全・安心」の確保→ 「Trust（信頼）の確保」が喫緊の課題• 研究開発「Trust（信頼）の確保」のための総合的対策の導出、先端研究の促進、技術的検証を行うための体制整備

6. 安全・安心システムにおけるIoT活用、システム間の相互運用性
今後のICT応用（IoT、ビックデータ、クラウド、５G、確保• 重要インフラ等）のためのセキュリティ研究開発
応用の研究、相互運用性確保に向けた認証や脆弱性対策の推進

51

さらに

52

オフェンシブ セキュリティ• 攻撃者が有利な状況を打破するアプローチをしたい。「オフェンシブセ
キュリティ」(offensive security)は、攻撃者の視点に立ってセキュリティの問題を考えてみること。（我々が攻撃者に対してカウンターアタック（反撃）をしかけるということではない）。
• 攻撃者の考えや思考過程をシミュレートし、攻撃者にとって旨味のある方法は何か、それを実現するために必要な技術は何かを先回りして考えること。それを「セキュリティ・バイ・デザイン」(security by design)に生かす。

研究のためのセキュリティ情報の円滑・有効な共有• 攻撃者の仲間は、多くの攻撃情報、対策情報などを共有そいている。少なくとも、セキュリティ研究開発では、データセットの共有化、解析結果の迅速な共有などを推進するべき。（e.g. Stardustの活用）• 共有した（共有する）データの活用・利用の方法についても、円滑な共有化が必要。利用については、人間工学的な利活用についても研究を進めるべき。

セキュリティ人材育成の推進（体系的なアプローチ）

53

54

Tokyo2020では、多様なIoT機器、クラウドを含めたバックエンドシステムの活用が期待（Super-Smart+Connected City）

Smart+Connected City

Smart+Connected City

Smart+Connected City

Smart+Connected City

Smart+Connected City

ParkingTraffic

Safety & Security

Location Services

Lighting

Give citizens live
parkingavailability
information to
reduce circling
and congestion

Monitor andmanage traffic
incidents to
reduce congestion
and improvelivability

Automaticallydetect security
incidents, shorten
response time,and analyze data
to reduce crime

Provide view ofpeople flow datato aid planning andleverage location
data for contextual
content andadvertising

Manage street
lighting to reduceenergy andmaintenance costs

今後、増えていく新しい脅威に立ち向かうため、多岐に渡る先進的、連携的な対策で対抗することが肝要

55

Thank you for your attention

Toward success of Tokyo 2020!!

55