サイバーセキュリティ
以下のものがある:
Metasploit Framework、あるいは単にMetasploitとは、エクスプロイトコードの作成、実行を行うためのフレームワークソフトウエアである。Metasploitには様々なエクスプロイトコードが収録されており、アップデートを実行する事で新たなエクスプロイトコードを手に入れたり、Exploit Databaseのようなエクスプロイト配信サイトからエクスプロイト(とそのエクスプロイトを適用できる脆弱なソフト)をダウンロードして用いたりできる。
1つのドメイン名に対して複数のIPアドレスを用意して多重化するFast Flux手法とは逆に、ドメイン名を複数用意して多重化する手法をDomain Flux手法と呼ぶ。この手法を用いる事で、一部のドメイン名が悪性サイトとして対策側にブラックリスト化されても、悪性サイトに別のドメイン名を用いる事でブラックリストをすり抜ける事ができる。
Domain Fluxを行う方法の一つは攻撃者自身が管理するドメイン(仮にexample.comとする)に○○.example.comというFQDNを生成し、○○の部分を短時間で変える、というものである(ドメインワイルドカード)。
Domain Fluxでは疑似乱数を使ってドメイン名を生成する。このためのアルゴリズムをDGA(Domain Generation Algorithm)という。擬似乱数を利用するのは、C&Cサーバとそのコントロール下にあるマシンでドメイン名を同期するためである。C&Cサーバとそのコントロール下にあるマシンで事前に擬似乱数の種を共有しておき、種と時刻情報を利用してドメイン名を生成するようにすれば、両者とも同一時刻には同一のドメイン名を取得できる。
アメリカ国家安全保障局(英: NSA、National Security Agency)は、アメリカ国防総省(DoD)の諜報機関である。中央情報局(CIA)がおもにヒューミント(HUMINT; human intelligence)と呼ばれるスパイなどの人間を使った諜報活動を担当するのに対し、NSAはシギント(SIGINT; signal intelligence)と呼ばれる電子機器を使った情報収集活動とその分析、集積、報告を担当する。
NSAはイギリスの政府通信本部(GCHQ)など4カ国の諜報機関と世界中に張り巡らせたシギントの設備や盗聴情報を、相互利用・共同利用する為にUKUSA協定を結んでおり、UKUSA協定グループのネットワークはエシュロンと呼ばれている。またNSAは通信監視プログラムPRISMを運営し、マイクロソフトの「So.cl(英語版)」(ソーシャル)、Google、Yahoo!、Facebook、Apple、AOL、Skype、YouTube、PalTalkの、合わせて9つのウェブサービスを対象に、ユーザーの電子メールや文書、写真、利用記録、通話など、多岐に渡るメタ情報を収集している他、各国の行政権を担う人物が電話盗聴の対象になっていたとマスメディア各社が報じている。
攻撃者は感染状態を維持しておくため、RAT やダウンローダーなどの攻撃ツールをOS 起動時に自動的に起動するようPC の設定を変更する(永続化)。Windowsの場合、永続化のため主に下記の箇所を設定変更する:
自動起動レジストリ スタートアップ起動プログラム サービス起動プログラム
スタートアップフォルダ
ログオンスクリプト
タスクスケジューラ
システムセキュリティ検査は、システム上の機器に対してパッチのあたっていない脆弱性が存在しないか、不必要なポートが空いているなどの設定上の不備がないかを調べる検査である。何らかのツールやサービスを用いて主に開発時のテスト工程と運用時に行われる。なお性能の良いシステムセキュリティ検査ツールであれば、既知の脆弱性はもちろん、未知の脆弱性も発見できる。
システムセキュリティ検査では検査のためにシステムをスキャン(脆弱性スキャン)する必要があり、スキャンにはパッシブスキャンとアクティブスキャンがある。パッシブスキャンはミラーポートを使ったりWiresharkなどのアナライザを使ったりした受動的なパケットキャプチャ等で脆弱性を発見する手法である。それに対しアクティブスキャンはスキャナが機器にパケットを送信してその反応を見るなど能動的な方法で脆弱性を発見する手法である。
パッシブスキャンよりもアクティブスキャンのほうがより多くの脆弱性を発見できる可能性が高いが、その分システムに負荷をあたえたり、障害の原因になったりする可能性がある。
また脆弱性スキャンはネットワークの外部から行う外部スキャンとネットワークの内部から行う内部スキャンに分類できる。外部スキャンの場合、スキャンのための通信がネットワーク境界にあるファイヤーウォールに阻まれるため、内部スキャンほど多くの情報がとれない。しかし外部スキャンは攻撃者が外部から侵入可能な入口を発見できるなど、内部スキャンとは異なった役割を果たす事ができる。
システムセキュリティ検査は障害の原因になったり、検査対象が増えるにつれて検査費用が高くなるなどの事情があるため、ネットワーク全体に対して検査を行うとは限らず、一部の機器に限定して行われる事もある。
脆弱性管理とは「自社の脆弱性の状況を常に掌握して、より頻繁かつ効果的に修正するためのプロセス」の事である。脆弱性管理で行うプロセスはツールやサービスによって異なるものの、IT資産の目録作成、守るべきIT資産の優先度付け、IT資産の脆弱性の発見、脆弱性のリスクレベルの特定と対策優先度の決定、脆弱性への対処ないしその支援、対処状況の一覧化といったプロセスを含む。
Webレピュテーションは様々な手法でウェブサイトを評価する事で、不正と思われるサイトへの接続を制御・抑制する技術である。ユーザがウェブアクセスする際、アクセス先のURLをWebレピュテーションを提供しているセキュリティベンダーに問い合わせ、アクセスのブロック等を行う。これにより不正サイトへのアクセスを制限できるのはもちろん、改竄された正規サイトに埋め込まれた不正サイトへのリンクへのアクセスもブロックできる。またユーザによるアクセスのみならず、マルウェアによる外部接続も検知・遮断できる。
Webレピュテーションの評価基準には例えば以下のものがある:
ウェブサイトの登録年月日:悪性サイトは作成日が比較的新しいものが多い為。
ウェブサイトの安定性:悪性サイトはDNSやIPアドレスを頻繁に変える(fast flux)事が多い為。
特定のネームサーバが複数のドメインで利用されているか否か:フィッシングサイトはこのような特徴を持つものが多い。
レピュテーションのアイデアはマルウェア検知にも応用されており、「ファイルレピュテーション」や「プログラムレピュテーション」などと呼ばれている。
TAXII(Trusted Automated Exchange of Intelligence Information、検知指標情報自動交換手順)はSTIXで記述された脅威インテリジェンスをHTTPS上でシンプルかつスケーラブルな方法で通信するためのプロトコルである。
サイバーセキュリティ戦略本部に関する事務を担当する国務大臣の通称としてサイバーセキュリティ担当大臣と呼ぶことがある。事務局であるNISCは内閣官房に属するが、同国務大臣は担当大臣や内閣府特命担当大臣とも異なる無任所大臣であり、辞令等によってサイバーセキュリティ担当とする補職が行われているものではない。デジタル市場競争本部の設置について(2019年9月27日閣議決定)などにおいて、本部員に「サイバーセキュリティ戦略本部に関する事務を担当する国務大臣」が指定されている。
検知を行う前提条件として、ネットワーク運用のベースラインを定め、データフローを特定・管理する。そしてセキュリティイベントを検知できるよう、ネットワーク、物理環境、個人の活動、権限のない従業員・接続・デバイス・ソフト、外部サービスプロバイダの活動等をモニタリングし、マルウェア対策ソフトなどで悪質なコード、特にモバイルコードを検出できるようにする。
そしてイベントログを複数の情報源やセンサーから収集し、SIEMなどで一元管理して、相互に関連付け、検知したイベントを分析し、その影響範囲を特定する。また事前に定めたしきい値に従って、検知したイベントをインシデントとみなすかどうかを判断する。
検知プロセスはテストし、継続的に改善する必要がある。また説明責任が果たせるようにする必要がある。
攻撃者は偵察ステージで従業員の情報やe-メールアドレスを収集したり、プレスリリース、契約発注などから企業情報を収集したり、企業がインターネットに公開しているサーバを特定したりする。攻撃者は標的組織に侵入する前に、まず標的組織の関連組織に攻撃を行ってメールアドレスなどの情報収集を行う事もある。
さらに攻撃者は標的型メール(後述)等に利用可能なpdfやdocファイル等を収集する。攻撃者は攻撃用のサイトでIEのresプロトコルを使ったリンクをユーザにクリックさせる事で、ユーザが利用しているソフトウェアに関する情報を取得し、これを攻撃に利用できる。
資金力が十分ある攻撃者であれば、標的組織の防御体制、組織内で標的にすべき人物、ネットワーク構成、セキュリティ上欠陥等も把握する。
このステージに対する対策を講じるのは非常に困難だが、自社のウェブサイトを詳細に調べるユーザをログ解析や既存のアクセス解析であぶり出したりする事はできる。
何らかの方法でインターネットバンキングのアカウント情報などを盗んで攻撃者の口座に不正送金を行うウイルスの事。例えば以下の手法がある:
サイバーセキュリティに関する情報セキュリティマネジメントシステムを規定したISO/IEC 27032:2012では、
とサイバーセキュリティを狭義に定義し、サイバー空間については
と定義している。
この標準を規定したISO/IEC JTC 1/SC 27委員会はこの定義の改定を試みており、2017年に行われた会合では事前に9通りの定義案が提出された上でその定義が議論されたが、多様な理解が存在する実態を踏まえ、定義の決定を見送っている。
国家情報長官(英語: Director of National Intelligence、略称:DNI)は、閣僚級の高官で、以下を行う権限を持つ(根拠法:Intelligence Reform and Terrorism Prevention Act of 2014(IRTPA)):
米国の16の諜報機関の統括
国家対外情報計画(National Foreign Intelligence Program。National Intelligence Programとも)の統括
大統領、国家安全保障会議、Homeland Security Councilに国家安全保障の諜報に関する事柄を助言
毎朝、諜報機関が収集した情報をまとめた機密文書大統領日報(President's Daily Brief)を大統領に報告する。この大統領日報は、大統領と大統領が承認した人物のみ閲覧できる。
国家情報長官を補佐する独立連邦機関として国家情報長官オフィス(ODNI)があり、ODNIには国家テロ対策センターなど6つのセンターがある。