5-4セキュリティ

1

2013 年の情報セキュリティ動向

2
中谷 昌幸

● JPCERT コーディネーションセンター 早期警戒グループマネージャ 情報セキュリティアナリスト

Web 改ざんが多発し、パスワードリスト使う不正アクセスやネットバンクの不正送金、政府や企業狙う標的型攻撃も増加。不足するセキュリティ人材の育成が新たな課題に。

34

インターネットを取り巻く脅威は増加の一途

Web サイトは一見しただけでは改ざんされていをたどっており、2013 年もさまざまな情報セるとは分からない。気付かないまま利用者がアキュリティインシデントが発生した。ここでは、クセスすると、攻撃ツール (Exploit Kit) が設置さ2013 年に発生した情報セキュリティインシデンれたサイトに転送され、利用者のパソコンが脆ト（以下、インシデント）のうち、主要なものや弱性を持っていた場合にはマルウエアに感染し特徴的なものについて取り上げる。また、昨今注てしまう可能性がある。多くの場合、マルウエア目を浴びつつある制御システムのセキュリティがユーザーのパソコンに感染するために使用す動向と情報セキュリティに関する人材育成につる脆弱性は既知のものであり、OS やアプリケーいても触れたい。

ションを最新の状態に保つことで、マルウエア感染を防ぐことができる。したがって、ユーザーは■ Web 改ざんの多発
一般社団法人 JPCERT コーディネーションセ

基本的なセキュリティ対策を徹底することが重要である。

ンター（以下、JPCERT/CC）では、国内外で発

これら Web サイトの改ざんの手口について、生した情報セキュリティンシデント（以下、イン詳細は分かっていないが、攻撃者は Web サイトシデント）に関する対応依頼と報告を受け付けての管理者用の ID・パスワードを何らかの方法でいる∗1（資料 5-4-1）。このうち、Web サイトの盗み出し、それを使用してシステムに不正にログ改ざんに関する 2013 年のインシデント報告は、インしたり、システムに内在する脆弱性を使用し9 月時点ですでに前年の 3.2 倍となっている ∗2 。てファイルの書き換えを行ったりしていると考「不審な iframe」や「難読化された JavaScript」

えられる。

が挿入されるタイプの改ざんが多く、それらの第5部

社会動向24351

資料 5-4-1 Web 改ざんインシデント報告件数2345
出典：JPCERT/CC インシデント報告対応レポート [2013 年 7 月 1 日〜2013 年 9 月 30 日]

次に、2013 年に発生した Web 改ざんに関して特徴的な事例をいくつか紹介する。

や閲覧者を感染させるためのマルウエアを設置したりする。
多くの CMS には、多様なプラグインが提供さ● CMS で管理されているサイトの改ざんれており、プラグインが脆弱性を持つ場合もあ昨今、Web サイトを容易に管理できるようる。CMS 本体についてはパッチの適用などで脆に し て 管 理・運 用 コ ス ト を 低 減 す る た め に 、弱性を修正していても、プラグインの脆弱性が放CMS(Content Management System) が利用され置されていることがあり、それを狙った攻撃事例ている。CMS は、ホスティング事業者などのサーも少なくない。

ビスを中心に広く利用されるようになり、一説にCMS およびプラグインの脆弱性情報を収集は全 Web サイトの 3 分の 1 は CMS を使用したし、修正プログラムの公開後速やかに適用するこものだと言われている。CMS の普及が進む一方とで、Web サイト改ざんなどの被害の可能性を大で、CMS で管理された Web サイトに固有のインきく低減できる。Web サイトの管理者は、CMSシデントが増加している。

に関しても脆弱性対策のための体制を構築、維持複数のインシデント事例を総合すると、次のよすることが重要である。なお、一部の Web ホス

うなシナリオで改ざんが行われていると考えら

ティングサービスでは、顧客に Web サイトの管れる。既知の脆弱性を内在した CMS で管理され理者権限が与えられているが、その場合には、顧ている Web サイトを、検索ツールなどを利用し客が脆弱性対策を行わなければならない。て探し出し、CMS の脆弱性を利用して当該 Webサイトを攻撃する。攻撃者はログイン権限を奪取し、機密情報を窃取したり、ファイルの改ざん244

第5部

社会動向

● Darkleech による Web サイト改ざん
2013 年 3 月、「Darkleech」または「DarkleechApache Module」と呼ばれる新たなマルウエアの個人情報やクレジットカード情報を窃取してが確認された。このマルウエアは、サーバー上おり、一部では盗み取られたクレジットカード情のコンテンツファイルを書き換えることはしな報の不正利用といった被害も発生している。

いが、Web サーバーソフトウエアである Apache

ユーザーの対策としてパスワードの使い回しに何らかの手段で不正なモジュールを埋め込み、をしないことが求められるが、サービスごとに異それを用いて Apache から Web ブラウザへ応答なるパスワードを設定することをユーザーに徹メッセージとして送られる段階で、Web コンテ底させるのは、現実には難しい。さらに今後も攻ンツを動的に書き換える。

撃の継続が推察されることから、クレジットカー

この Web サイト改ざんでは、サーバー上に存ド情報などの機微情報を管理するサービスにお在するコンテンツファイル自体は書き換えられいては、二要素認証などのより安全な認証方式のないため、サーバー上のコンテンツファイルを監提供が望まれる。

12

3

4

視していても改ざんを見つけることはできない。
このため、改ざんに管理者が気付くまでに相当の時間が経過してしまう危険性がある。

■金融系マルウエア ― Zeus(Citadel)
ここ数年、インターネットバンキングユーザー「Darkleech」に よ る Web サ イ ト 改 ざ ん は 、を対象とした、フィッシングやマルウエアによる2013 年夏以降減少しているようであるが、こ被害が増加傾向にある。警察庁が 2013 年 10 月

れは何かしらの対策が功を奏したというわけで18 日に発表したデータによると、インターネッはなく、一時的に攻撃者が攻撃を抑制したり、よトバンキングの不正送金による被害は 2013 年 1

り見えにくい攻撃に手口が変わったりした可能

月から 10 月中旬で 7 億 6 千万円に上り、過去最性があるため、引き続き注意が必要である。

悪を更新している。これらの被害は、主にマルウ
エアを使ってインターネットバンキングの ID・■パスワードリストを使用した不正アク

パスワード情報を窃取した攻撃者がそれを悪用セスして被害者の預貯金を別の口座に不正に送金す2013 年 3 月ごろから、国内の事業者が提供することで発生している。

る Web サービスに対して大量の不正ログインをこの金融口座情報の窃取に使用されるマルウ試みる攻撃が発生している。これは、別の事業者

エアとしては、Zeus が有名であり、被害の多くから漏洩した ID とパスワードの対のリストを使は Zeus の亜種である Citadel によって引き起こ用して不正ログインを試みるもので、一般に「パされていると言われている。

スワードリスト攻撃」と呼ばれている。パスワー

これら不正送金に使用されるマルウエアへの対ドリスト攻撃の成功確率は、ユーザーが同じパス策は特別なものではなく、OS やアプリケーショワードを複数の Web サイトで使い回しているとンの修正プログラムをできるだけ早く適用する高まる。公表された被害状況を見ると、数万件かといった一般的なセキュリティ対策で十分な効ら数百万件のアカウントに不正なログインが試果が期待できる。

行され、その 1% 前後で不正なログインが成功したとされているケースが多い。
攻撃者はログインに成功した場合、アカウント■ DNS Amp による DDoS 攻撃2013 年 3 月、海外のクラウド事業者が大規模第5部

社会動向

245

5

1な DDoS 攻撃を受けたと発表した。DNS Amp 攻撃2345∗3たと言われている。国内外の政府や企業を対象は、DNS の「再帰的な問い合わせ」を悪用しとして、対象に特化した内容のマルウエア添付たものだ。インターネットからの再帰的な問いメールを送りつけ、マルウエアに感染させること合わせを許可している DNS キャッシュサーバー

で、企業や組織の機密情報を盗もうと試みる。

(以下、オープンリゾルバ) に、攻撃対象サーバー

APT の対策で特に難しいのは、一時的に攻撃の IP アドレスを送信元 IP アドレスとして設定しを防ぐことができたとしても、攻撃者は目的を達た再帰的な問い合わせパケットを多数送りつけ成するまで攻撃を繰り返してくるため、いつかる。これにより、攻撃対象のサーバーに多量の、攻撃が成功してしまう可能性が高いことである。

しかも比較的サイズの大きな応答パケットを送このため、現在 APT への有効な対策として考えりつける攻撃である。

られているのは、事故前提でインシデントが発生

DNS Amp 攻撃を受けたサーバーは、回線帯域した際に、攻撃の範囲を的確に把握し、被害を最を埋め尽くされたり、システムのリソースが枯渇小限にする運用体制作りと、攻撃に使用された要したりして、サービスが維持できなくなるなどの素情報（IP アドレス、メールアドレス、URL な状態に陥ってしまう。この攻撃は多数の一般のど）を共有することによる未然防止の取り組みでDNS サーバーを経由して行われるため、攻撃者ある。の特定が難しい。送信元の IP アドレスも広範囲攻撃を受けた組織同士で攻撃に関する情報をに及ぶため、IP アドレスによるフィルタでは対共有することで、より早い段階で攻撃を検知で策が難しい。

きる可能性があり、国内では情報処理推進機構

3 月に発生した DDoS 攻撃は 5 月に犯人が逮(IPA) が参加組織間のハブとなって情報共有の枠

捕 さ れ た が 、同 様 の 手 口 を 使 用 し た と 思 わ れ組み ∗5 を運用しており、成果を上げ始めている。

る DDoS 攻撃はその後も発生している。各国のCSIRT や ISP 事業者が、オープンリゾルバとなっ■制御システムセキュリティているサーバーへの注意喚起を行ったり、オープ電力、ガスなどのエネルギー生成や配送、各ンリゾルバとなっている DNS サーバーを確認す

種製造工場などの設備の運用をオートメーショるサイト∗4を公開したりするなどして、攻撃のン化し、稼働状態を遠隔監視・制御しているのがプラットフォームとなるオープンリゾルバの削制御システムである。制御システムにも、広く減に努めている。

TCP/IP などのオープンシステム技術が取り入れられるとともに、制御システム用ネットワークと■標的型攻撃 (主に APT)他のネットワークとの接続が急速に進んでいる。

昨今国内外で大きな問題となっているのが政そのため、サイバーインシデントの脅威が制御シ府や企業を対象として行われる標的型攻撃であステムでも高まっており、制御システムのセキュり、特に APT(Advanced Persistent Threat) によリティが注目されている。

る攻撃が深刻である。APT は通常、特定の企業制御システムにおけるインシデントは、人命にや組織を執拗かつ効果的に攻撃する能力と意思関わったり、大勢の市民に影響が及んだりする可を兼ね備えた集団を表す。

能性がある。そのような深刻なインシデントのAPT による攻撃は、2000 年代後半から始まっ

246

第5部

社会動向

報告は少数の海外事例が報告されているのみで、

まだ国内ではマルウエア感染による不具合が散に大きく不足しているとされている。今般、政府見されるにとどまっている。制御システム用製がとりまとめた「サイバーセキュリティ戦略 ∗8 」

品は、攻撃のない環境で使われることを前提に、(2013 年 6 月 10 日情報セキュリティ政策会議決

セキュリティへの配慮なしに開発されたものが定) においては、「潜在的には約８万人のセキュリ多い。ところが、インターネットに接続された機ティ人材が不足している状態」に対応するため、器を検索するシステムを利用して調べた結果とさまざまな情報セキュリティ人材の育成に向けして、数十万台の制御システム用製品がインターた取り組みを行うこととしている。

ネットに直結されていることが報告されている。

国内での人材育成の取り組みとしては、古くはまた、脆弱性の報告件数も増加の一途をたどって

IPA が 2004 年より実施している「セキュリティいる∗6。

キャンプ ∗9 」がある。2013 年には、JNSA が学

こういった状況から、国内でも制御システム生を対象に実施した大会と経済産業省が社会人のセキュリティ対策に向けた動きが本格化し始向けに実施した大会を融合したハッカー大会でめている。各制御機器ベンダーがセキュリティある「SECCON2013∗10 」や、5 つの大学が連携ソリューションの提供を始めたのに加え、「技して実施する「実践セキュリティ人材の育成コー術研究組合制御システムセキュリティセンタース（SecCap）∗11 」といった、新しい取り組みが∗7行われている。

」(CSSC) が東北多賀城本部を開設してテスト

ベッド環境を整備するとともに、制御機器（組み∗1. インシデントの報告（JPCERT/CC）度である EDSA(Embedded Device Security As-∗

2. インシデント報告対応四半期レポート（JPCERT/CC）

surance) の準備を進めている。また、一般財団∗

3. DDoS にあなたの DNS が使われる〜DNS Amp の脅威と対策〜

込み機器）のセキュリティ保証に関する認証制

https://www.jpcert.or.jp/form/
https://www.jpcert.or.jp/ir/report.html（JPRS）

法人日本情報経済社会推進協会 (JIPDEC) では、

http://jprs.jp/related-info/guide/003.pdf?

制御システムのセキュリティに関するマネジメ∗

4. オープンリゾルバ確認サイト（JPCERT/CC）

ントシステムの認証制度のパイロットプロジェ∗

5. サイバー情報共有イニシアティブ（J-CSIP:ジェイシップ）
（IPA）

∗

6. ICS-CERT Year in Review ‒ FY 2012

http://www.openresolver.jp/

クトに取り組んでいる。他方、JPCERT/CC におhttp://www.ipa.go.jp/security/J-CSIP/

いても、制御システムのインシデント報告を受け

https://ics-cert.us-cert.gov/sites/default/ﬁles/documents/
Year in Review FY2012 Final.pdf

付け、対応の支援を行うための態勢整備を進めて∗

7. 制御システムセキュリティセンター

∗8. サイバーセキュリティ戦略（内閣官房情報セキュリティセンいる。

http://www.css-center.or.jp/ター）■情報セキュリティ人材の育成

http://www.nisc.go.jp/active/kihon/pdf/cyber-securitysenryaku-set.pdf∗

ここまで述べたように、インターネット上の脅威は増加し、企業や組織を取り巻く環境は悪化している。事故の発生を前提とした対策を行っていくために、各企業等が CSIRT のようなインシ

9. セキュリティキャンプ（IPA）
http://www.ipa.go.jp/jinzai/renkei/index 5.html∗

10. SECCON2013∗

11. SecCap

http://2013.seccon.jp/
http://www.seccap.jp

デントに対応できる専門組織をもつことが重要である。そのためのセキュリティに関して高いスキルをもつ人材が、日本全体として質量とも

第5部

社会動向

247

1

2

3

45