サイバーセキュリティ
CSIRT のリソースを有効に使うため、対応すべきインシデントの優先度付けを行うフェーズである。そのために、何を守るべきか等の活動ポリシーを明確化し、事前にトリアージの判断基準を決めておく。
インシデントと思しき情報があったら情報提供者から必要情報を入手し、5W1Hを整理する(「Why」は後回しでも良い)。そして単なる勘違いでないか、CSIRT の対応すべきか等を判断する。対応する場合は後述するインシデントレスポンスを行う。対応しないと判断したら、セキュリティポリシーに照らして可能な範囲で情報提供者や関係者等に回答する。対応の有無にかかわらず、必要に応じて注意喚起等の情報を発信する。
なお本稿では文献に従ってトリアージをインシデントハンドリングに含めたが、文献ではトリアージをリアルタイムアナリシスに含めている。
入口対策はファイアウォール、ウイルス対策ソフト、脆弱性対策など、攻撃者やマルウェアが組織内に侵入するのを防ぐ対策手法で標的型攻撃やAPTが普及する以前は有効であった。しかし標的型攻撃やAPTでは組織に侵入する方法が巧妙化しており、しかも侵入方法の変化が激しいので、入口対策だけで攻撃を防御するのは難しい。そこで、攻撃者が組織内部に侵入しているのを前提として、組織の内部対策を行う事より侵入の拡大を防ぎ、攻撃の外向き通信を遮断・監視する出口対策により組織からの情報の持ち出しやC&Cサーバとの通信を防ぐ必要がある。
セキュリティ対策装置の攻撃アラートの検知時には、その内容を調査・分析して重要度や影響度を契約企業に通知し、対応を実施する。またセキュリティ対策装置の運用の一環として、装置のソフトウェア更新を行ったり、ポリシー設定やシグネチャの変更や更新を行ったりする。さらに稼動状況や対応作業の報告を行ったり、リアルタイムに状況をレポートしたり、契約企業からの問い合わせ対応を行ったりもする。
なおMSS事業者の呼称は業者毎に異なっており、「MSSP」以外にも「MSP(マネージドサービスプロバイダー)」、「MSSP(マネージドセキュリティサービスプロバイダー)」、あるいは単に「SOC」等とも呼ばれる。またMSSPの業態には、専業事業者以外に、SIer、ISP、ハードウェアベンダがサービスを提供する場合もあり、サービス内容としてMSS以外にIT システムの運用や機器の稼働監視提供している場合がある。またMSS は24 時間365 日体制で提供される場合が多い。
Cyber Threat Alliance(CTA)はほぼリアルタイムに高品質なサイバー脅威情報を加盟団体間でシェアするために2014年に設立された非営利団体で、発足時の加盟企業はフォーティネット、マカフィー、パロアルトネットワークス、シマンテックである。
加盟団体は脅威情報をSTIX形式のパッケージとしてCTAのプラットフォームに提供し、提供された脅威情報は匿名化された上で他の加盟団体で共有される。
提供する脅威情報はサイバーキルチェーンのフェーズのどのフェーズに相当するかを明示する必要があり、提供段階で脅威情報に総合点がつけられる。加盟団体には基準点以上の脅威情報の提供が義務付けられており、この義務を守っている場合しか他の加盟団体の提供した脅威情報を閲覧する事はできない。
アメリカ国立標準技術研究所(アメリカこくりつひょうじゅんぎじゅつけんきゅうじょ、National Institute of Standards and Technology, NIST)は、アメリカ合衆国の国立の計量標準研究所であり、アメリカ合衆国商務省配下の技術部門であり非監督(non-regulatory )機関である。その公式任務は「アメリカの技術革新や産業競争力を強化するために、経済保障を強化して生活の質を高めるように計測学、規格、産業技術を促進すること」である。次の研究ユニットがある。
エンジニアリング研究所 (EL)
情報技術研究所 (ITL)
材料計測研究所 (MML)
物理計測研究所 (PML)
ナノスケール科学技術センター (CNST)
NIST中性子研究センター (NCNR)
ITL(Information Technology Laboratory)の中のCSD(Computer Security Division)という部門がコンピュータセキュリティに関して研究を行い、以下の文書を発行している:
IPAのサイトに主だった文書のリストと邦訳がある。
ペネトレーションテスト用のLinuxディストリビューションとして、Kali Linux、Parrot Security OS、BackBoxなどがあり、前者2つはDebianベース、最後のものはUbuntuベースである。これらのディストリビューションにはペネトレーションテスト用の各種ツールがプレインストールされている。
ドメインと連携したシングルサインオン機能を使っている場合はコネクトバック通信も自動的に認証を通ってしまう可能性があるので、プロキシの認証ログを監視し、(窃取されたユーザIDの使い回しによって)異なるユーザ端末から同一の時間帯に同一ユーザIDによる認証が異なるIPアドレスから行われていないか、業務時間外などの不自然な時間帯に特定端末で定期的に認証がなされていないかといった事を、検知ルールにより自動的にチェックする仕組みを作る必要がある。
またマルウェアはC&Cサーバとのセッションの維持のためCONNECTメソッドを悪用する事があるので、プロキシのアクセス制御リストにより、業務に必要なポート(httpの80番やhttpsの443番)以外のCONNECTメソッドを遮断する必要がある。さらにログの監視ルールを作ることで、長期間維持されているセッションや不自然な時間帯のセッションを遮断する必要がある。マルウェアの中には切断されたセッションを規則的に再接続するものがあるので、ファイヤーウォールのフィルタリングでセッションを強制遮断する事によりそうしたマルウェアを発見できる。
European Data Protection Board(EDPB)はGDPRの適用をEUに任された機関。データ処理プロセスを監視するデータ保護当局(DPA:Data Protection Authority)の長と諸機関における個人データの取扱いを監督する独立の機関である欧州データ保護監督官(EDPS、European Data Protection Supervisor)ないしその代表から構成される。欧州委員会もEDPBに参加するが、投票権を持たない。
その責務は下記のとおりである:
データ保護法のEU加盟国間での一貫性の保証
DPA間の協調
GDPRのコンセプトの解釈に関するガイドラインの発行
論争に対する拘束力のある規定の作成
スニッファとはネットワーク上を流れるパケットを監視したり記録したりするツールの事でパケット・スニッファとも呼ばれる。攻撃目的ではなくセキュリティ目的で用いられる同種のツールをパケットアナライザ等と呼ぶが、広義にはパケットアナライザもスニッファに含める。フリーなものではWireshark、tcpdumpなどがある。
サイトにアクセスしてきたユーザのマシンにインストールされているブラウザや各種ツール(Java、Adobe Reader、Adobe Flash、Silverlightなど)のインストール状況やバージョン番号などのプロファイルを取得する手法の事。踏み台サイトや攻撃サイトでブラウザフィンガープリンティングを行う事で、ユーザの環境に最適な攻撃(たとえばユーザ環境の脆弱性つけるエクスプロイトを選ぶ等)を実行できるようになる。
ブラウザフィンガープリンティングには攻撃者のサーバサイドで行う方法とユーザのクライアントサイドで行う方法がある。サーバサイドのものでは、ユーザのIPアドレスやHTTPユーザーエージェントからユーザ環境の情報が得られる。クライアントサイドで行うものはクライアント環境でJavaScriptやVBScriptなどを実行する事でさらに詳細なユーザ環境情報を取る事ができ、例えばブラウザに追加されているプラグインの種類やバージョンを知る事ができる。
ボットネットのC&Cサーバ等の悪性サイトは、サイトのFQDNに対応するIPアドレスを数分程度で次々と変えていくFast Flux手法(IP Flux手法とも呼ばれる)を用いる事で、捜査機関等が悪性サイトをテイクダウン(停止)させるのを難しくしている。攻撃者は自身のコントロール下にあるボットのIPアドレスを悪性サイトのFQDNに次々に割り振っていく為、FQDNに割り振られるIPアドレスは数百から数万に及ぶ。C&Cサーバやドライブバイダウンロード攻撃用サイトはFast Flux手法で運営される事が特に多い。
Fast Flux手法はBlind Proxy Redirectionという手法と併用される事が多い。この手法ではFast Fluxで運営されるサイトのは単なるリダイレクトサイト(フロントエンドノードという)であり、リダイレクト先にあるマザーシップノードが真の悪性サイトである。このような構成を取る事により、マザーシップノードのアドレス情報を捜査機関から隠したり、捜査の手が及んだフロントエンドノードを切り捨てたりする事ができる。また悪性サイトのコンテンツを変えたい場合はマザーシップノードだけを変えればよいので運用も容易である。
国際標準として以下のものがある:
ISO/IEC 30111 – Vulnerability handling process (脆弱性取扱い手順)
ISO/IEC 29147 – Vulnerability disclosure (脆弱性開示)
日本において脆弱性ハンドリング方法の概略は経済産業省告示「ソフトウエア製品等の脆弱性関連情報に関する取扱規程」に規定され、その詳細は「情報セキュリティ早期警戒パートナーシップガイドラライン」に規定されている。規定されている手順は、脆弱性が発見されたのがソフトウェア製品なのかウェブサイトなのかで異なる。
IDS(Intrusion Detection System、侵入検知システム)は不正侵入の兆候を検知し、管理者に通知するシステムである。IPS(Intrusion Prevention System、侵入防止システム)も不正侵入の兆候を検知するところまではIDSと同様だが、検知した不正を自動的に遮断するところに違いがある。両者を合わせてIDPSという場合もある。センサーないしエージェントと呼ばれるアプライアンスないしソフトウェアを利用して通信などの情報を集める事により不正を検知する。センサーやエージェントの集めた情報は管理サーバに送られ、管理サーバ側でも複数のセンサー・エージェントの情報を相関分析する事で不正を検知する。
IDPSは以下の4種類に分類できる:
ネットワークベースのIDPSとNBAはどちらもネットワークを監視する点では共通しているが、前者は主に組織LANと外部ネットワークの境界などネットワーク境界に設置され、境界をまたぐ通信を監視するのに対し、NBAは組織LAN内に設置され、LAN内の通信を監視する点に違いがある。
前述したマルウェアが保存されやすい箇所を調べる事でマルウェアの痕跡が発見できる可能性がある。