JPCERT/CC Japan Computer Emergency Response Team Coordination Center応: 〜インシデントに対応する(発見と調整) 〜インシデントレスポンス概論JPCERTコーディネーションセンター細野英朋office@jpcert.or.jp Copyright© 2005 JPCERT/CC All right reserved. JPCERT/CC Japan Computer Emergency Response Team Coordination本講演の流れ1.インシデントレスポンスインシデントとは?インシデントレスポンスとは? Aインシデントレスポンスはなぜ必要か？ん2.インシデント対応手順>     インシデントレスポンスに必要なもの、対応手順3. CSIRT > CSIRTとは? Appendix : > 1. CSIRTとJPCERT/CCのあゆみ2.参考資料などA Copyright© 2005 JPCERT/CC All right reserved.
_IPCERT_CCI
有限責任由間法人JPCERTコーディネーションセンター
Japan Computer Emergency Response Team Coordination Center 2005/10/20 3 JPCERT/CC Japan Computer Emergency Response Team Coordination Centerインシデントとはコンピュータセキュリティ・インシデントとはコンピュチタセキュリティに関係する人為的事象で意図的および偶発的なもの（その疑いがある場合） 「インシデント」は「不正アクセス」と違い世界的に広く使われている用語4 RFC (Request For Comments)でも用いられているCopyright© 2005 JPCERT/CC All right reserved.
Japan Computer Emergency Response Team Coordination Centerムスキヤン>脆弱なアカウントの探索、侵入未遂など>システムへの侵入➤   DoS (Denial Of Service) >サーバプログラムの停止、再起動A Web偽装詐欺(phishing) >銀行などのサイトを装ったページをつくり、町人情報を落むAインシデントではないもの♪いわゆるspamメールの配信、ワンクリック詐欺などCopyright© 2005 JPCERT/CC All right reserved.
有限責任中間法人司PCERTコーディネー汐日シセンタJapan Computer Emergency Response Team Coordination Center JPCERT/CC Japan Computer Emergency Response Team Coordination Center Copyright© 2005 JPCERT/CC All right reserved. 7
Japan Computer Emergency Response Team Coordination Centerインシデントレスポンスの必要性守るだけがセキュリティではない人間が扱うものに「完璧」はない!例えば…ミスや制御不可能な事由▷修正プログラムの適用忘れ>設定更新時の作業漏れ▷未知の脆弱性を突かれる>修正プログラムの提供が間に合わないなどCopyright© 2005 JPCERT/CC All right reserved.
Japan Computer Emergency Response Team Coordination Center Copyright© 2005 JPCERT/CC All right reserved. JPCERT/CC Japan Computer Emergency Response Team Coordination Centerインシデント発見・対応手順の明確化事前に明確にしておくべき項目の一例▷ログの取得内容、確認手順>不審なプロセスや通信、改ざんの検知▷異常事態発生時の報告の仕組み▷whois情報などの公開連絡先▷公開連絡先を通してインシデント通知連絡を受けることもある▷不要なメールも届くことを覚悟するCopyright© 2005 JPCERT/CC All right reserved.
有限責任由間法人司PCERTコーディネーションセンター Japan Computer Emergency Response Team Coordination Center 2005/10/20 _JPCERTICCE 11
Japan Computer Emergency Response Team Coordination Center
組織の体制▶対応手順▷予行演習▷専門のチーム(CSIRT)スタッフの資質▷知識・技術▷想定外の事態への対応能力▷柔軟性、冷静さ... >モラル2005/10/20 2005 JPCERT/CC All right reserved.

有限高任中間法以同PCERTニコーディは一ションセンター
Japan Computer Emergency Response Team Coordination Center
>インシデント対応の担当者への連絡. 2005っ2005 JPCERT/CC All right reserved. _JPCERTICOE
Japan Computer Emergency Response Team Coordination Center手順2:初期対応2005/10/20 . 2005っ2005 JPCERT/CC All right reserved. JPCERT/CC Japan Computer Emergency Response Team Coordination Center手順3:関係者への連絡･広報▷影響範囲の特定▷関係サイトへの連絡、謝罪、情報提供トインシデントの事実の公表♪公表の是非を含めて検討♪公表する範囲に注意>アクセス元などへの通知連絡> JPCERT/CC経由でも可能2005/10/20つ. 2005 JPCERT/CC All right reserved.
Japan Computer Emergency Response Team Coordination Center
2005/10/20 2005う. 2005 JPCERT/CC All right reserved.
Japan Computer Emergency Response Team Coordination Center
2005う. 2005 JPCERT/CC All right reserved.
有限責任由間法人JPCERTコーディネーションセンター Japan Computer Emergency Response Team Coordination Center 2005/10/20 Copyright© 2005 JPCERT/CC All right reserved. _JPCERTICCE JPCERT/CC有限責任中間法人事JPCERTコースJapan Computer Emergency Response Team Coordination Center X SIRT」(Computer Security Incident Responce Team) nputer Emergency Response Team）は米国CERT/CCの登Copyright© 2005 JPCERT/CC All right reserved. JPCERT/CC Japan Computer Emergency Response Team Coordinati CSIRTの分類constituency(サービス対象)によって分類▷ Internal CSIRTs >自組織や顧客が関わるインシデントに対応▷ National > CSIRTs > >国・地域のコンタクトポイント> Coordination Centers ▷ Analysis Centers ▷ Vendor Teams >自社製品の脆弱性について対応> Incident Response Providers >いわゆる「セキュリティベンダ」 Copyright© 2005 JPCERT/CC All right reserved.
Japan Computer Emergency Response Team Coordination Center JPCERT/CC Japan Computer Emergency Response Team Coordination Center他のCSIRTやxSPとの連携▷速やかで効率的、効果的な通知、連絡 が可能> xSPや別のCSIRTがより適切な通知連絡先を知っている場合がある> xSPの顧客対応窓口はもっとも「ユーザ」に近いところにいるCSIRTのひとつ▷技術的なアドバイス、非技術的なアドバイス(何をすべきか、何をしてもいいか、何をしてはいけないか、など） （お勧めはしませんが） l款などを根拠にサービスを停止できるCopyright© 2005 JPCERT/CC All right reserved. JPCERT/CC Japan Computer Emergency Response Team Coordination Center
情報収集と流通もCSIRTの大切な業務活動例▷脆弱性情報流通>さまざまなCSIRTが脆弱性情報(有料・無料)を発信→比較・検討のうえ活用>インシデント傾向の把握>さまざまなCSIRTが公開する注意喚起、定点観測のデータを活用>啓発活動>講演の聴講、カンファレンスやワークショップへの参加>自身のconstituencyへ知識・技術などをフィードバックCopyright© 2005 JPCERT/CC All right reserved. Japan Computer Emergency Response Team Coordination Centerまとめ>インシデントはいつかは起こる>事後対応と、そのための事前対応が不可欠▷インシデントレスポンスに必要なものん体制(対応手順の整備、予行演習、CSIRT) >資質(知識・技術、柔軟性、冷静さ、モラル) ▷インシデントレスポンスでのCSIRTの重要性> CSIRT間の連携によって速やかで効率的、効果的な通知、連絡が可能>普段からの情報収集と流通もCSIRTの大切な業務
Copyright© 2005 JPCERT/CC All right reserved.
JPCERT/CC有限責任由間法人士PCERTコーディネー ションセンタJapan Computer Emergency Response Team Coordination Center Copyright© 2005 JPCERT/CC All right reserved. _IPCERTICOE
Japan Computer Emergency Response Team Coordination Center
1988 170チームを突破(2005)商用インターネット1995頃～ 2005/10/20 Copyright© 2005 JPCERT/CC All right reserved. _JPCERTICOE JPCERT/CC有限責任由間法人同PCERTコーディネージョンセンタJapan Computer Emergency Response Team Coordination Center Copyright© 2005 JPCERT/CC All right reserved. JPCERT/CC Japan Computer Emergency Response Team Coordination Center
▷技術メモhttp://www.jpcert.or.jp/ed/ ▷コンピュータセキュリティインシデントへの対応http://www.jpcert.or.jp/ed/2002/ed020002.txt ▷管理者のためのセキュリティ推進室インシデントレスポンス入門http://www.jpcert.or.jp/magazine/atmarkit/ ( @IT連載記事) Copyright© 2005 JPCERT/CC All right reserved.
Japan Computer Emergency Response Team Coordination Center
→インシデントの分類米国Sandia National Laboratoriesの報告書“A Common Language for Computer Security Incidents” http://www.cert.org/research/taxonomy_988667.pdf → CSIRTの分類http://www.cert.org/csirts/csirt_faq.html > RFC2350 “Expectations for Computer Security Incident Response” http://www.ietf.org/rfc/rfc2350.txt(原文) http://www.ipa.go.jp/security/rfc/RFC2350JA.html (IPAによる日本語訳) ▷   FIRST (Forum of Incident Response and Security Teams) http://www.first.org/メンバー一覧http://www.first.org/about/organization/teams/ Copyright© 2005 JPCERT/CC All right reserved. JPCERT/CC Japan Computer Emergency Response Team Coordination Center参考文献(書籍▷Kevin Mandia - Chris Prosiseィスポンス』 :エクストランス訳監修:坂井順行・新井悠翔泳社ISBN4-7981-0295-4 Copyright© 2005 JPCERT/CC All right reserved. Japan Computer Emergency Response Team Coordination

> Web
http://www.jpcert.or.jp/ >メーリングリストhttp://www.jpcert.or.jp/announce.html ▷インシデント報告> E-mail info@jpcert.or.jp PGP:BA F4 D9 FA B8 FB F0 73  57 EE 3C 2B 13 F0 48 B8 ▷報告様式http://www.jpcert.or.jp/form/（インシデント報告の際はお使いください） >インシデント報告専用ファックス03-3518-2177（電話ではインシデント報告を受け付けておりません）
Copyright© 2005 JPCERT/CC All right reserved.
JPCERT/CC有限責任由間法人司PCERTコーディネーションセンター Japan Computer Emergency Response Team Coordination Center Thank you Copyright© 2005 JPCERT/CC All right reserved. _JPCERTICOE