資料3 N I S C内閣サイバーセキュリティセンター Netkerst conter of Includent research cont Atrotopy For Cybormourity重要インフラにおける2016年度補完調査について2 0 1 7年3月1 6日内閣官房内閣サイバーセキュリティセンター(NISC)
物気動車の無料
補完調査とは、行動計画※の枠組みの評価に当たって、個別施策の結果・成果だけでは把握しきれない状況も適切に把握することが重要であることから、個別施策の指標ではとらえられない側面を補完的に調査することを目的として毎年度実施する調査です。 ※重要インフラの情報セキュリティ対策に係る第3次行動計画(平成27年5月25日サイバーセキュリティ戦略本部改訂)
間住の出身
補完調査として、IT障害等の事例についての現地調査（ヒアリング等）を行い、調査結果については、重要インフラ事業者等における今後の取組にも資するよう、事例の概要・原因とともに得られた気付き・教訓等をとりまとめ、公表するものです。
間に交差する
調査対象は、実際に発生したＩＴ障害等について、類似事例の発生状況（可能性）や社会的影響（関心）の大きさ、及び得られる気付き・教訓の有用性等を考慮して以下の事例を選定しました。事例1　メールフォームへの攻撃事例2 アクセス制限の不備ランサムウェア被害事例3事例4管理サーバへの不正アクセスソフトウェアの継続的なセキュリティ対策事例5システムの不具合によるサービス障害事例6 2

事例の概要
・Webサイトに設置した複数のメールフォームに、脆弱性を狙った大量のリクエストがあった。 ・メールフォームに脆弱性はなく、メールフォームやWebサイトに影響はなかった。 ・メールフォームから大量のメールが事業者内に送信され、事業者内のメールが約1日受信できない状態になった。 ・メールを利用した一部の業務について、手順を変更して実施した。
車例１メールフォームへの歌響
【１　背景】

【 2  検知】

【３対処】

【４　原因】

※WebサイトにXSSやSQLインジェクションなどの脆弱性はなく、攻撃者の意図は失敗に終わったと思われる。
【５再発防止策】
＜システム面＞

＜運用面＞

※今回は単一IPアドレスからの大量アクセスだったが、今後、不特定多数のIPアドレスからアクセスされた場合の対応体制については。継続して検討を進めている。
車例１メールフオームへの取替
【６　得られた気付き・教訓】
・メールフォーム運用時に考慮する点

WEBサイトの負荷以外にも、送信先のメールサーバの負荷も考慮に入れる必要がある。
② CAPTCHAを利用することにより、自動化された大量のリクエストを軽減できる。
大量のリクエストは自動化されたものが多いため、CAPTCHAを利用することにより軽減を図ることができる。ただし、解析技術の進歩などにより、CAPTCHAの有効性については定期的な見直しが必要。
入力フォームがあるページは攻撃の対象になりやすい。
④定期的な脆弱性チェック•ソフトウェアのアップデート対応が必要。
今回の攻撃は、主にXSSやSQLインジェクションを狙った内容であったため、日常的な情報収集・対応がなければ、業務への深刻な影響が出た可能性がある。 ⑤メールフォームから送信されるメールは、メールサーバからも社外発信できない設定にする。メールフォームに未知の脆弱性があったとしても、外部ヘメール送信の踏み台として利用されるリスクを減らせるため、多層防御の観点から有効な設計であった。
意図に反した内容も送られてくるため、頻繁に送られてくるようなら対応が必要になる場合もある。 5

【事例の概要】
・主要装置へのアクセス制限には対応していたものの、監視装置へのアクセス制限に不備があった。 ・監視装置への不正アクセスにより、機能が停止された。なお、主要装置の基本的な動作には影響はなく、重要インフラサービス自体への影響はなかった。 ・監視装置を切り離し、主要装置の機能を維持した。 7
事例２アクセス制限の不備

【１背景】

【２　検知】

ダーから、当該施設で使用していたものと同型の機器で構成されている他の施設で、監視装置に不具合が発生しているとの連絡があり、発覚した。
【３　対処】

【４　原因】
・ゲートウェイルーターの設定で、ポートにアクセス制限がかけられておらず、また、監視装置で不要なポートが開いていたため、悪意を持った第三者から送信されたコマンドが送られてしまったもの
【５　再発防止策】

【6得られた気付き・教訓】
・積極的な情報共有
当該事業者は、同型の機器を使用している他事業者への参考になるだろう、との考えで所管省庁へ自主的に報告を上げた。このように積極的に情報共有していただくことにより、他事業者の参考となり、重要インフラサービスの面的な防護にもつながる。
•機器の設定確認
機器の設定がほぼ初期設定だったことが不正アクセスを受けた要因になったので、本当に必要なポート以外は閉じるなどして、攻撃を受ける可能性を最小限に抑える努力が必要。
・保守ベンダーとの情報共有等
インターネットに接続している機器については、サイバーセキュリティ対策がどのように行われているか保守ベンダーと情報を共有するとともに、必要に応じてセキュリティ対策を第三者に監査してもらうなど検討すると良い。
【事例の概要】 ・Webサイトの閲覧中に、ウイルス対策ソフトからアラートが表示された。 ・システム担当に連絡し、早急にPCをネットワーク（インターネットに接続）から切り離した。 •ランサムウェアに感染したものであり、インシデント対応中もPC内で次々にファイルが暗号化され、最終的には数百のファイルが暗号化されていた。 ・重要業務ネットワークは、事務用ネットワークとは切り離されていたため、重要業務ネットワークへの感染はなかった。からアラートが表示された

ランサムウエア被害

【１背景】

【 2   検知】

【３　対処】

【４　原因】

【５　再発防止策】

・世代管理できること・PCから書込みができないドライブにバックアップが取れることをファイルサーバーの要件に加えた。
【6　得られた気付き・教訓】

【事例の概要】
・攻撃者は、管理者ID/PWを取得し（経緯不明）、当該ID/PWで管理サーバへ不正アクセスを行った。 ・事業者は、管理サーバへの不正アクセスを定期メンテナンスで発見、顧客情報漏えいが判明。 ・委託先で□グを取得する契約となっていないものの、委託先へ開示請求を行い、アクセスログを入手。 ・アクセスログを基に、セキュリティベンダーに調査を依頼し、HPで顧客へお詫びと注意喚起。 ・継続的な評価・改善、ID/PWの管理徹底、アクセスの制限、ログによる早期検知などの対策を講じた。

【１背景】

【 2  検知】

【３　対処】

【４　原因】

【５　再発防止策】

【６　得られた気付き・教訓】
・不正アクセスの未然防止

不正アクセスに気付くのに時間を要したことから、ログの取得を委託先との契約で明確化し、早期に検知することが重要。

【事例の概要】
• WordPressにXSS(クロスサイトスクリプティング)の脆弱性が発見され、セキュリティアップデートが公式HPにおいて公開された。 ・該当Webサイトはメンテナンス契約などを結んでおらず、担当者が脆弱性に気づかないままだった。 ・情報セキュリティ関係機関から、XSSの脆弱性に関する連絡を受け、委託先事業者に調査・対応を依頼した。

【１背景】

【２　検知】

【３　対処】

【４　原因】

当時の体制
委託先事業者
自社システム部門
各部門・・・CMS等のセキュリティ対策※各部門は当時セキュリティアップデートを確認しなければいけない認識がなかった
【５　再発防止策】
く短期的対策＞

＜中長期的対策＞

軍例５ソフトウエアの羅続的なキコリテ内容
【６　得られた気付き・教訓】

① 「システム部門」と「各部門」それぞれが実施するセキュリティ対策の明確化Webサイトの運用について、複数の部門が関係する組織体制の場合、どのような運用をする必要があるか留意点をまとめた社内共通の規程があると良い。
②メンテナンス契約の必要性
各部門に専門的な知識を持つ人が少なく、日常的にセキュリティに関する情報収集が難しい場合は、メンテナンス契約などにより運用を委託する方法もある。
・脆弱性に関する情報収集の必要性
① WordPressをはじめとするCMSソフトについても、オフィスのPCで使用しているソフトと同様に脆弱性の情報収集やセキュリティアップデートが必要サーバで使用するソフトについても、脆弱性が発見され、修正プログラムが配布される。契約によっては、バージョンアップなどを行う場合は有償になるケースもある。
情報収集先として、該当ソフトウェアの公式ホームページ、IPA、JPCERT/CC、NISCからのニュースレター等がある。事業者によっては、ISACやセプターに加入している場合があり、そこから得られる情報も有効である。 115

事例の概要】
・顧客が、端末にデータに異常があるカードを挿して操作を行ったところ、全グループ会社において、端末で他社との取引ができなくなった（複数の外部センタ間の接続も不可）。 ・過去に例のない障害のため、障害範囲の切り分けに手間取り、原因究明や復旧に時間を要した。 ・障害原因となったプログラムを改修。他の類似ロジックの総点検を実施した。 ・システム監視設計強化、組織間情報共有の円滑化、想定外事態への対処を迅速化する対策を講じた。

【１背景】
・グループ会社とともにシステム運用を外部委託（システムは複数の外部センタと接続してサービスを提供）。

【 2  検知】
・システムと外部センタとの連携を要する特定の処理でタイムアウトを検知。

【３　対処】
• 店舗や外部委託先のサービス影響情報では原因特定に至らず、タイムアウト多発したことを受け、過去障害事例を参考にネットワークの障害状況を確認・解析。
•共通バッファ領域※が枯渇していることを究明し、該当機器の再立ち上げ（バッファクリア）を実施し、復旧。 ※バッファ領域は、外部センタとの共通バッファ領域であったため、関連する全ての外部センタで障害が発生。
【４　原因】

・規定外コードのエラー処理がループ化されており、共通バッファ領域が枯渇し、当該領域を使用する処理にも影響が波及。

【５再発防止策】

【6得られた気付き・教訓】
早期復旧体制の整備
①重要リソースの異常をリアルタイムに検知していなかったことから、システム監視設計を強化し、障害を未然に防止することが重要。 ②想定外事態への原因究明に時間を要したことから、業務部門や外部委託先との間で、情報共有の更なる円滑化が重要。 ③機器の切り替えでは復旧できなかったことから、想定外の事態を前提とした関係組織全てを巻き込んだ訓練が重要。