サイバーセキュリティ
アクティブディフェンスの手法の一つ。これまでのセキュリティ対策では、静的なシステムに検知技術や防御技術を導入することでセキュリティを担保していたが、それに対しMoving Target Defense (MTD)は、守るべきシステムの構成、特にネットワークを動的に変更する事で、攻撃者がシステム内を探索したりシステム構成を予測したりするのを難しくする手法である。従来のセキュリティ対策では、攻撃側がシステムを熟知しているのに対策側は攻撃者に関して断片的にしか知りえないという非対称ゆえの不利が対策側にあったが、MTDはこの種の不利を攻撃者にも背負わせようというアイデアである。
システムの安全性を確実に担保するにはシステム開発ライフサイクルの初期段階からセーフティ、セキュリティ、プライバシーなどを考慮しておくことが望ましい。開発プロセスのより早い段階でセキュリティを考慮する事を(開発プロセスを左から右に書いたときにセキュリティを考慮するのを左に寄せる事から)シフトレフトという。特に、情報セキュリティを企画・設計段階から確保するための方策をセキュリティ・バイ・デザイン(Secure By Design、SBD)といい、プライバシーに対する同様の概念をプライバシー・バイ・デザインという。
またDevOps(デブオプス、開発 (Development) の担当者と運用 (Operations) の担当者が一体となった開発手法)の普及に伴い、これにセキュリティの確保も一体になった開発手法であるDevSecOpsも注目を集めるようになっている。DevSecOpsでは設計段階からセキュリティを意識することはもちろん、セキュリティ対策ツールを開発ライフサイクルに組み込むなどして脆弱性診断を自動化し、アプリケーションを修正するたびに脆弱性を作り込まないようチェックし、利用しているライブラリの脆弱性を日々チェックするような活動も含む。
APT攻撃が行われている事を検知するには、攻撃を客観的に指し示す指標(インディケータ)に注目する必要がある。インディケータには以下の3種類がある:
どのインディケータがどの攻撃フェーズに対応するのかを明確化する事で、インシデント対応がしやすくなる。
APT攻撃を特定するには、分析官は特定した攻撃のパターンを解析したり他の組織と強調したりする事でインディケータを明らかにし、それらインディケータをツールなどを使って成熟させ、そしてその成熟させたインディケータを使って攻撃を特定するというサイクルを回す必要がある。
こうしたインディケータは、攻撃目標、狙われるシステム、侵入方法、攻撃ツール、攻撃に使う外部資源、攻撃の痕跡、テクノロジーギャップ、攻撃者の知識といったものを分析するために使われる。逆に言えば、こうした事項から逆算して必要なインディケータを割り出す事ができる。
集中モデルではPSIRT は多くのスタッフを抱え、「各部門から選抜されたスタッフが組織の製品セキュリティを担当する上級幹部に報告する」。脆弱性のトリアージや修正プログラム提供はPSIRTがチケッティングシステムを管理してリーダーシップを発揮する。ハイブリッドモデルは両者の中間形態である。
「組織の規模が大きく、多様な製品ポートフォリオを持つ組織」は分散モデルが適している。一方「より小さい組織や同種の製品ポートフォリオを持つ組織」では「高度なセキュリティスキルと専門知識を1 つの領域に集中」できる集中モデルが適している。
PSIRTの活動内容はCSIRTのそれとかぶる部分も多いが、開発関係者との連携、製品のライフサイクル・リリースタイミング・サービスレベルアグリーメントを意識したセキュリティ確保、脆弱性発見者との交流、サプライチェーンの上流・下流との交流、バグバウンティ(脆弱性報奨金)の提供もしくはバグバウンティベンダとの交流など、PSIRT固有の活動もある。
プロキシ型トロイの木馬というマルウェアによってWebブラウザの通信を盗聴、改竄を行う攻撃である。具体例としては、オンラインバンキングへのログインイベントなどを検知するとその通信を乗っ取って、振込先を改ざんして預金を盗む事例などが挙げられる 。
マルウェアの永続化の痕跡を以下の方法で発見できる可能性がある
レジストリ情報はreg.exeで収集可能である。調査すべきレジストリの詳細は文献を参照されたい。
サイバーセキュリティ(英: cyber security)は、サイバー領域に関するセキュリティを指す。
利用しているセキュリティ製品・サービスの提供元との情報交換や、セキュリティ対応を行っている組織の集まりにおける情報交換など。CSIRTによるコミュニティとしては、例えばFIRST (Forum of Incident Response and Security Teams)、APCERT (Asia Pacific Computer Emergency Response Team)、日本シーサート協議会などがある。
ビジネスメール詐欺(BEC、Business Email Compromise)とは、自社の経営層や取引相手になりすました偽のEメールで経費などの送金を指示する事で金銭をだまし取る詐欺。その巧妙な騙しの手口は標的型攻撃に通じるところがある。ビジネスメール詐欺には以下の5つの類型がある:
取引先との請求書の偽装(偽の請求書詐欺、サプライヤー詐欺、請求書偽装の手口などと呼ばれる)
経営者等へのなりすまし(CEO詐欺、企業幹部詐欺などと呼ばれる)
窃取メールアカウントの悪用(従業員のメールアカウントを窃取して、そのアカウントから取引先にメールを出す手法)
社外の権威ある第三者へのなりすまし(弁護士などになりすまし、緊急の事態だから振り込むように命令する等)
詐欺の準備行為と思われる情報の詐取(人事担当などになりすましてメールし、他の従業員の個人情報などを窃取し、次なる攻撃に利用する)
手口としては
企業のメールアドレスの@以下とよく似た詐称用ドメインを取得してそこからメールする(例:xxx@wikipedia.com→xxx@wikiqedia.com)
企業のメールアドレスに似たフリーメールアドレスを使う(例:xxx@wikipedia.com→xxx.wikipedia@freemail.com)
メールを送る際、多人数にCcしてそこに詐欺用のアドレスを紛れ込ませる事で発覚を遅らせたり本物と錯覚させたりする
といったものがある。なお詐称用ドメインを利用する手法では詐称用ドメインのDNSにSPFを設定してSPFのチェックを通過する攻撃も確認されている。
これに対しサイバーデセプション(Cyber Deception)は、いわば「次世代ハニーポット」として位置づけられる技術で、主に攻撃から防御したりや攻撃目標の達成を遅延させたりする目的で用いられる技術である。デコイサーバ(囮サーバ)等を設置する事はハニーポットと同様だが、ハニーポットが攻撃者の情報を集めるためにネットワーク境界の外のインターネット上に設置される傾向があるのに対し、サイバーデセプションでは標的型攻撃により攻撃者がプライベートネットワーク内に侵入してくる事を前提にしてプライベートネットワーク上に囮を設置し、攻撃検知や防御のための時間稼ぎに利用される。設置されるものとしては、デコイサーバの他に、囮サービス、囮クレデンシャル、囮ファイル等がある。サイバーデセプションにおいて、囮として用いる情報全般をハニートークンといい、例えばメールアドレス、プライバシー情報、アカウント情報等がハニートークンとして用いられる。
「脆弱性届出制度」(詳細は前述)の運営と「脆弱性対策情報データベース」JVNの提供。
NISCからの一部事務委託により、独立行政法人・指定法人の「情報セキュリティ監査(助言型のマネジメント監査およびペネトレーションテスト)や不正な通信の監視によるサイバー攻撃の検知等の業務を実施」(第2GSOC)
中小企業の自発的な対策実施を促す「SECURITY ACTION」を運営
セキュリティ対策の普及啓発
若手のサイバーセキュリティ人材の発掘・育成を目的とした「セキュリティ・キャンプ」の実施。
「中核人材育成プログラム」(約1 年間の研修プログラム)等、産業界のサイバーセキュリティ戦略をリードする「中核人材」の育成。
国家資格「情報処理技術者試験(情報セキュリティマネジメント試験など)」の実施、及び「情報処理安全確保支援士」の試験、登録、講習の運営。
「情報セキュリティ白書」の発行など、情報セキュリティに関する調査・分析
制御システムのセキュリティリスク分析
IoT製品・システムの安全性・信頼性を確保。「つながる世界の開発指針」の公開や安全性解析手法「STAMP/STPA」の普及を推進等。
毎年年度初めに情報セキュリティ10大脅威を発表。
検疫ネットワークは未登録の端末や、パッチがあたっていないなどポリシーに違反した端末を組織のネットワークから遮断する技術であり、次の3つのステップで構成される事が多い:
検出・検査:未登録の端末やポリシー違反の端末を検出・調査する
隔離:ポリシー違反の端末を組織のネットワークから遮断し、代わりに隔離されたネットワークである検疫ネットワークにつなげる
修復(治療):ポリシーに従って、検疫ネットワーク内でパッチを当てたり、マルウェアの定義ファイルを更新したりする
2022年度(令和4年度)に新設されたサイバー警察局では、情報技術解析課(サイバーフォース)で技官がフォレンジックを担当している。
ENISA(英語:European Union Agency for Network and Information Security。略称は旧名のEuropean Network and Information Security Agencyに基づく、日本語訳:欧州ネットワーク・情報セキュリティ機関もしくは欧州ネットワーク情報安全機関)は、欧州連合内におけるネットワークと情報セキュリティを改善を目的とした欧州連合の専門機関の一つ。EU法を含め、ネットワークおよび情報セキュリティの必須要件を満たす為、委員会、加盟国、その結果として経済界を援助する。また加盟国と欧州連合の各機関がネットワークおよび情報セキュリティに関連した問題について専門的知識の助言を求めるセンターとして運用されるよう務める。
欧州ネットワーク・情報セキュリティ機関は長官によって管理され、その傘下におかれる職員については情報通信技術業界や消費者団体および学識経験者などの利害関係者を代表する専門家で構成し運営されている。機関は管理員会によって監督され、欧州連合加盟国、欧州委員会やその他の利害関係者から排出された代表から成っている。また、常設関係者部会が設立され長官を補佐する。
SOCやCSIRTはリアルタイムアナリシスやインシデント対応などのためにネットワークの運用管理部門であるNOC(Network Operations Center)と協調する必要がある。
また経営層や組織内のリスク管理委員会とも連携を取る必要がある。リスク管理委員会とCSIRTとの関係は、経営層の直下に両者が並列して存在する場合もあれば、経営層の直下にリスク管理委員会があり、更にその下にCSIRTがある場合もある。