サイバーセキュリティ
官民連携R&Dセンター(NCCoE: National Cybersecurity Center of Excellence)はNISTがメリーランド大学内部に設置した組織で、以下を目的とした研究開発を行っている:
「安全でプライバシーに配慮した情報技術のためのセキュリティ標準・基準などの基盤策定」
「コンピュータや企業システムのセキュリティのあり方を策定・モニタリング・測定方法を開発・テスト」
「官民全体に適用できる実用的かつ有用なサイバーセキュリティ機能を幅広く適用」
インシデントと思しき情報は自組織内部の保守作業で発見される場合、IDSのような何らかの異常検知システムで発見される場合、外部からの連絡により発見される場合の3通りがある。
よってCSIRTは、
保守作業で発見されるケースが増えるよう、インシデントの検知に必要なチェック項目とチェック方法を予め定めておく必要がある。
保守作業ないし異常検知システムでインシデントと思しき情報が発見された場合に備え、何を持って異常とするのかを事前に定めておく必要がある。
外部からの連絡が増えるよう、事前に問い合わせ窓口を用意し、自組織のWebサイト等で公開しておく必要がある。またWHOISにCSIRTのグループアドレスを登録してメンバの誰でも対応できるようにする必要がある。
APTを行っている攻撃者は、経済的理由から同じ攻撃ツールを使い回すなど一定のパターンを繰り返す傾向があるので、APTのキャンペーン毎のプロファイルを作り、過去の傾向を統合する事でインディケータを改善し、検知できるステージを早める必要がある。
プロファイルの内容を充実させる方法としては、SIEMなどのログ相関分析エンジンを利用して複数の侵入行為に対してサイバーキルチェーンの各ステージにおけるインディケータの類似度を分析する事で攻撃の傾向を掴む、というものがある。
プロファイルに含むデータとしては例えば、攻撃者の特性、共犯者、攻撃者の選好分野、標的となった文書、活動時間帯、関連インディケータ、マルウェアやツールキットの分析結果、このAPTを追跡している他のCERT、アナリストの任意のメモなどがある。プロファイルは定期的に見直し、最新に保つ必要がある。
なお、プロファイルが攻撃者に漏れては元も子もないので、プロファイルは極めて機密性が高く保ち、アナリストに必要な場合だけ必要な共有するようにする必要がある。
サイバーキルチェーンにはないが、IPAのモデルには記載されているステージ。攻撃者は過去の侵入時に構築したコネクトバック通信路を利用し、再侵入してシステム内探索を継続する。このため一度標的になった組織は、一見攻撃が終了したように見えても、コネクトバック通信路が設置されていない事を継続的に監視する事が重要である。標的組織内にコネクトバック通信路が一つでも残っていると再侵入が可能になるので、APTの場合は「対処率99%でも残存リスクは100%のまま」という事になる。
マルウェアが作るフォルダ名、ファイル名、サービス名等を発見しにくい名称に偽装する。具体的には正規のアプリケーションと同一もしくはよく似た名前を利用したり、マルウェア起動時に正規アプリケーションの一部のプログラムを利用する。
マルウェアは一般利用者権限もしくはログインユーザー権限のみで多くの権限が得られるフォルダで環境変数でアクセスしやすい箇所に配置されやすい。具体的には%TEMP%、%PROGRAMDATA%、%ALLUSERSPROFILE%、%APPDATA%、%LOCALAPPDATA%、%PUBLIC%、およびC:直下である。典型的には、ファイルを開いたとき%TEMP%にマルウェアが一旦生成され、それを%PROGRAMDATA%以下の偽装したフォルダにコピーし、そのファイルを永続化する
攻撃者が仕込んだRATはC&C サーバと定期通信(ビーコンという)を行う事が多い。ビーコンは標的組織に発見される危険があるので、一時的にFQDN に対するA レコードを「0.0.0.0」や「127.0.0.1」としてC&C サーバとの通信を停止させるRATもある。逆に言えば、標的組織はこれらのA レコードがこれらのIPアドレスになっているものをRATの候補として抽出可能である。
防御対象となるサーバ、端末、ネットワーク装置などの資産やネットワーク構成を把握する。把握した情報は、脆弱性管理、分析、インシデント対応等に利用する。
SCAP(エスキャップと発音)は、アメリカ国立標準技術研究所(NIST)が策定した「脆弱性管理、コンプライアンス管理の一部を機械化(自動化)することにより、情報システムに対するセキュリティ対策の負荷軽減と情報セキュリティ施策の推進の両立を目的とした仕様群」である。 2015年現在、SCAPには以下の6つの仕様が規定されている:
以下を策定し、必要に応じて改善する:
取り扱うべき事象、対応範囲、運営体制、行うべき取り組みなどの全体方針
インシデント発生時、脆弱性発見時、脅威情報発見時のトリアージ基準とそれぞれに対する具体的なアクションの方針
体制、業務プロセス、システム、人材育成、キャリアパスなどの全体像の把握と立案
netcatは正規のネットワークユーティリティで、「接続モードでは、任意のサーバ、ポートを指定し接続を行うことができ、telnetのように対話的に使用したり、ポートスキャナとして使用することもできる。待ち受けモードでは、任意のポートをで待ち受けを行い、接続してきたクライアントと対話することができる」。バックドアのように使用する事も可能である。
LanSpy:ネットワークディスカバリーツール、ポートスキャナ
tcptraceroute、tracetcp:ICMPの代わりにTCPレイヤでtracerouteを行う
SMTP Relay Scanner:SMTPの不正中継調査
snmpcheck、snmpwalk、SNScan:SNMPデバイスのディスカバリーツール
SiteDigger、metagoofil:Googleハッキングツール
dig:DNSへの問い合わせツール
tcpdump、Wireshark:パケットモニタリングツール
Cain and Abel:パスワードクラッキング、スニッファ、VOIPキャプチャ、RTPストリームリプレイ
MSN Protocol Analyzer:MSN Messengerのキャプチャ・プロトコルアナライザ
hping:パケットジェネレータ、パケットキャプチャ・アナライザ。パケットジェネレータ機能はファイアウォールのテストなどに利用可能。
ブラウザ経由でのマルウェア感染を防ぐため、ブラウザのセッションをリモートから提供する手法のこと。ブラウザのセッションは「ブラウザ・サーバ」という社内サーバもしくはクラウドから提供される。Webページのレンダリングはブラウザ・サーバ側で行われ、エンドポイントには無害化した描画情報ないしレンダリング結果の画面ストリームのみが送られる。
ブラウザ・サーバはブラウズ・セッションごと、タブごと、もしくはURLごとにリセットされるので、ブラウザ・サーバ自身が汚染される危険はない。
サイバー犯罪は組織化・分業化が行われ、サイバー犯罪市場では、マルウェアなどの作成者や、マルウェアを遠隔操作するためのプラットフォームの提供業者、マネーロンダリングなどを担当する犯罪組織などによりビジネス化されている。Ransomware as a Serviceなどのようにサイバー攻撃のプラットフォームも作られ、アフィリエイトモデルのような攻撃者のヒエラルキーもできている。
こうした犯罪ツールや犯罪サービスはダークウェブ上にあるダークネット・マーケットなどで取引されており、仮想通貨などを利用して決済されている。提供されているものとしては例えば金融機関と銀行へのサイバー犯罪とハッキングサービス、インターネット規模のDNSを使用したDRDoS攻撃 などがある。
なお、この活動を監視しようとする試みが様々な政府や民間団体を通じて行われており、使用されるツールの調査は『Procedia Computer Science journal』で見つけることができる。
利用者が開くページのボタン(次ページに進むボタンなど)の上に、透明化したボタン(攻撃者に送金するボタン)を重ねて表示する。ユーザが次ページを表示するつもりでボタンを押すと、送金ボタンが押されてしまい、攻撃者に送金されてしまう。
業務上管理共有を無効にできないサーバに関しては、Windowsサーバ側でタスクスケジューラやPsExecのリモート実行を検知する為、それぞれタスク追加イベントのID 106、サービス追加イベントのID 7045を監視する必要がある。Active Directoryを使えば、配下のWindows端末の管理共有サービスを一括で無効にできる。またActive Directoryにより、配下のWindows端末のWindows ファイアウォールを一括で有効にできる。
Active Directoryの認証失敗時のログを取得できるよう設定し、ユーザ端末セグメントから管理運用セグメントへの認証試行を監視する。また機密情報等、攻撃者が欲しがる情報を保有している部門のユーザ端末に、管理者権限などの高い権限を持っているかのような名称のトラップアカウントを作り、トラップアカウントから管理運用セグメントへの認証試行を監視する事で、攻撃者によるユーザ端末の不正利用を検知する。なお、トラップアカウントのパスワードはActive Directoryで一括変更する事で、無効なパスワードに設定しておく必要がある。
また攻撃者が無作為なIPアドレスを探索しているとすれば、組織内のネットワーク上にデコイサーバを用意し、そこにアクセスしてきた端末を検知するという手段もあるが、攻撃者が無作為なIPアドレス探索を実際に行っているかは分からないため、その効果は不明である。
2018年現在、サイバーセキュリティの定義は論者により異なる。両極端の見解としては
情報セキュリティの一部とみなし、サイバー空間において機密性、完全性、可用性の確保を目指すもの
デジタル社会のリスクへの対応を指すとするもの
がある。
ネットワークに接続された不正機器の検出を目的とするネットワークディスカバリや、不正な無線通信を検出するワイヤレススキャンなどがある。
サイバーキルチェーンは、攻撃者がAPT攻撃をはじめとしたサイバー攻撃を行う上でのステージを明確化したものであり、ロッキード・マーティンの研究者が2011年に発表した。
サイバーキルチェーンでは攻撃には以下のステージがあるとする:
なお、「攻撃」と「インストール」をセットにし、最後に潜伏維持(Maintenance)を付け加えるバージョンもある。
CYMAT(Cyber Incident Mobile Assistance Team)は、政府機関等へのサイバー攻撃に対して被害拡大防止、復旧、原因調査、再発防止のための技術的支援をしているNISCの組織である。平常時には研修や訓練も実施している。