サイバーセキュリティ
サイバーキルチェーンと同様、攻撃者の行動をモデル化したものとして以下がある:
以下、サイバーキルチェーンに従って攻撃のステージを説明する。ただし必要に応じて前節で述べた他のモデルも参照したので、「準備ステージ」のようにサイバーキルチェーンにはないステージも書かれている。またサイバーキルチェーンと内容が重複する部分に関しては、上述のモデルを適時サイバーキルチェーンに読み替え、該当箇所の解説に加えた。
DoS攻撃(ドスこうげき)(英:Denial of Service attack)は、情報セキュリティにおける可用性を侵害する攻撃手法のひとつ。 ウェブサービスを稼働しているサーバやネットワークなどのリソース(資源)に意図的に過剰な負荷をかけたり脆弱性をついたりする事でサービスを妨害する。
DoS攻撃には2種類の類型があり、第一の類型はウェブサービスに大量のリクエストや巨大なデータを送りつけるなどしてサービスを利用不能にするフラッド攻撃(Flood=「洪水」)であり、第二の類型はサービスの脆弱性を利用する事でサービスに例外処理をさせるなどしてサービスを利用不能にする攻撃である。
DoS攻撃の主な目的はサービスの可用性を侵害する事にあり、具体的な被害としては、トラフィックの増大によるネットワークの遅延、サーバやサイトへのアクセス不能といったものがあげられる。しかしDoS攻撃は被害者に経済的ダメージを負わせる事を目的として行われる場合もあり、EDoS攻撃(Economic DoS Attack)と呼ばれる。たとえばクラウド上で従量課金されているサービスにDoS攻撃をしかければサービスの運営者に高額な課金を発生させることができる。
また、「DoSをやめてほしければ金を払え」と脅す目的でDDoS攻撃(後述)が行われることもあり、ランサムDDoSと呼ばれる。
サイバーキルチェーンにはないがJPCERT/CCのモデルには記載されているステージ。
攻撃者は実際の所在地や目的を把握されないよう、グローバル規模の分散型インフラをハッキング等により構築する。このインフラには情報収集システム、電子メールシステム、ツールやマルウェアの保存用レポジトリ、C&Cサーバ、情報の引き出しに使うサーバ、外部クラウドサーバなどが含まれる。場合によっては攻撃者が自分で攻撃用にドメインを取得する事もあるので、ドメイン名はAPTの重要なインディケータ(APT関連のデータや情報を選り分けるため指標)になる。
攻撃者はその攻撃元が特定されないよう、頻繁に攻撃拠点を変える。また分散型のインフラにする事で攻撃の全容をつかみにくくする。攻撃者は犯罪用に匿名化された防弾ホスティングサーバなどの身元が割れにくいサービスを利用する事もある。
このインフラ網を構築するにあたり、攻撃者は法令を逆手に取る事があり、例えば米国や欧州では国家が国民の個人情報やトラフィック情報を収集するのが禁止されている事を逆手に取り、米国や欧州の国民のマシンを拠点にしたり、そうしたマシンからデータを送信したりする。
攻撃者はこうしたインフラ等、攻撃に必要な構成要素の動作を確認するため、テストラン(検証のための試験的な攻撃)を実施する場合があるので、その際のIPアドレスやドメイン名を特定できればこれらをインディケータとして使う事ができる。
脆弱性ハンドリング等によって集められた脆弱性関連情報を公開するデータベースの事。主なものとして下記のものがある。
典型的には攻撃前に初期調査を行い、マルウェアの配送、システム上への攻撃基盤構築、権限昇格、内部調査、目的達成といった手順をたどる。
レッドチームはサイバー攻撃だけではなく、物理セキュリティや人的要素に対しても攻撃をしかける。例えば初期調査では、ゴミ漁り、エレベーターでの盗み聞き、受付に「入館カードを忘れた」といって入り込むなどのソーシャル・エンジニアリング的な手法、偽Wifiポイントの立ち上げによる盗聴、SNSで情報発信を行っている社員からのOSINTなども行われる。
レッドチームのようなサービスをセキュリティベンダーが提供するようになったのは、標的型攻撃が一般化したことにある。標的型攻撃では上述のような物理要素・人的要素を犯す攻撃手法により情報収集されることもあり、こうした攻撃に耐えられるかを試すためにレッドチームのサービスが提供されるようになったのである。
攻撃者が目的となる行為を実行するステージ。このステージにおける攻撃者の行動は、攻撃者が何を目的とするかで異なるが、主な目標は重要情報の窃取である。窃取した情報は分割され、複数の端末から外部に送信されるので、窃取したファイルの特定は極めて困難である。
また最終目標を達成する前段階として、今後のオペレーションのために標的組織の状況を窃取したり、他の組織とのトラストチェーンを把握したり、標的組織に対して優位に立つため破壊行為を行ったりする。
ウェブサーバやIoT機器など、インターネットに接続している機器を調査できるウェブサービスとして、SHODANやCensysなどがある。SHODANはポートスキャンにより接続している機器を特定し、特定した機器に対してバナーチェックを行う事により、機器の情報を得ている。SHODANの利用者が例えば東京にあるApacheサーバの一覧を得たければ、SHODANに「apatch city:Tokyo」と打ち込んで検索する事ができる。また、SHODAN MAPSの機能により、検索した機器の位置を地図上に表示可能である。
バナー情報により、検索結果には製品名やバージョン等もわかるため、攻撃者はこれを利用して脆弱性が適用可能な機器を見つける事ができる。なお、SHODANを使うには事前にユーザ登録が必要であり、基本無料であるものの全機能を使うには低額の利用料を支払う必要がある。
CensysはZmapというネットワークスキャナでIPv4のインターネット空間をスキャンして情報を収集し、ZGrabというプロトコル解析ライブラリにより収集したデータを構造化データに加工する。なお、ZmapがIPv4のアドレス空間全てをスキャンするのにかかる時間は45分に過ぎない。
Censysは無料で利用でき、ユーザ登録は必須ではないが、登録していないユーザは1日4回までしか検索できない。Censysはミシガン大学の研究者らが公開したものである。
脅威インテリジェンスサービスとは、脅威および脅威因子を複数の情報源から収集し、それを分析したりフィルタリングしたりしてセキュリティ管理システム用の管理レポートやデータフィードとして提供するサービス全般を指す。一般的な有償サービスでは、データフィード以外に、顧客のリスク状態に合わせてカスタマイズしたアラートや定期的な脅威レポートも提供し、これにより顧客が脅威情報収集に費やすリソース(時間、労力、専門知識等)を減らす。 脅威インテリジェンスのサービス提供者はインターネットを監視してどのIPアドレスがどのIPアドレスとどんな通信を行っているのか、どのIPアドレスがどんなウィルスを配布しているかなど、IPアドレス間の関係性や悪質度を解析する。さらに不正プログラムの情報、脆弱性情報、ダークウェブなどアンダーグラウンドのコミュニティで取引されている違法な商品やサービス、それらを扱っている組織や人物像、諸外国のサイバー攻撃の情報なども用いて解析を行う。そして顧客に例えばフィッシング詐欺で用いられるなど悪意のある使われ方をしたりするIPアドレス、ドメイン、URLの情報、マルウェアのハッシュ値などをデータフィードとして提供する。
以下のようになる
サイバーキルチェーンの原論文に載っているのはdetect、deny、disrupt、degrade、deceive、destroyの5つであり、これはアメリカ合衆国国防総省のInformation Operations方針に載た軍事の分野の対策手段をAPTにも適用したのである。ただし原論文でdestroyは空欄であったので、上の表からは省いた。また文献を参考にして他の列を加えた。
日本ネットワークセキュリティ協会(JNSA)はセキュリティのツール・サービスを以下のように分類している
パスワードクラッキングとは、総当たり攻撃や辞書攻撃等の何らかの方法でパスワードを割り出す攻撃方法であり、推定したユーザID/パスワードでログイン試行を行うオンライン攻撃と何らかの方法で入手したパスワードハッシュ(パスワードのハッシュ値)などからローカルにパスワードを推測するオフライン攻撃とに大別される。オフライン攻撃の対象となるパスワードハッシュはWindowsのSAMファイル、Linuxの/etc/shadowファイルなどにあるものを利用する。またパスワードで保護されたOfficeファイル等も攻撃対象となる。
著名なオンライン攻撃ツールとしては、Bruter(Windows環境)、ncrack(マルチプラットフォーム)、TCP-hydraがある。著名なオフライン攻撃ツールにはJohn the Ripper、RainbowCrack(レインボーテーブルを用いてハッシュを解析する)、ophcrackがある。
またWindowsのSAMファイルからパスワードハッシュを取得するツールとしてPwDumpがある。
サイバーセキュリティ対策をする上で基本となるのは、守るべき資産を特定し、各資産のリスクを把握することである。
組織の置かれた状況の特定
産業分野やサプライチェーンにおける自社の位置づけ、重要サービスを提供する上での依存関係と重要な機能等を把握し、自組織のミッション、目標、活動に関する優先順位を決め、伝達する必要がある。JPCERT/CCは、守るべき資産を特定する前準備として、組織のプロファイルを作成することを推奨している。このプロファイルには規模や提供製品のような基本的事項のみならず、システムダウンの影響度合いや規制のレベルなどリスクアセスメントに必要となる情報も含める。また、組織のサイバーセキュリティ防御能力に関する文書を作成する。
またセキュリティに関する法規制を把握し、自組織の情報セキュリティポリシーを定め、セキュリティに関する役割と責任について内外のパートナーと調整や連携を行う。さらにガバナンスやリスク管理のプロセスをサイバーセキュリティリスクに対応させる。
守るべき資産とそのリスクの特定
下記のものがある:
対策面から見た場合、横断的侵害は最初の侵入に比べ検知しにくいという問題がある。その原因は、LANの入口は監視していても、LANの内部やLANの出口はさほど監視されていないことにある。
防衛省・自衛隊内にはサイバーセキュリティに関する下記の組織がある:
またサイバー攻撃対処に関する態勢や要領を定めた規則として「防衛省の情報保証に関する訓令」などを発行している。
他組織とは下記のような連携体制を取っている:
ソーシャル・エンジニアリングとは人間の心理的な隙や行動のミスなど「人」をターゲットにして機密情報を窃取する攻撃全般を指す。手法としては例えば下記のものがある:
システム管理者や警察などになりすましてメールないし電話する事で個人情報等を聞き出す
ショルダーハッキング(Shoulder surfing):PCを操作しているユーザの肩越しにパスワード等を盗み見る
トラッシング:ゴミ箱に捨てられた紙媒体や記憶媒体から機密情報を得る。スカベンジング、スカビンジングとも
SOCに求められる主な機能の一つで、ログを参照監視してインシデントの予兆を発見する。監視するログとしては主に以下のものがある:
ファイアウォールなどのネットワーク装置のログ
IDS/IPS、WAFといったセキュリティ機器のアラートログ
Webサーバなどのアクセスログ
Active DirectoryやDNSなど各種システムからのログ
ユーザ利用端末のログ
SIEMのようにログを収集・正規化し、複数のログを相関分析する機器を用いる事で、職人芸的なログ分析能力などの属人性を廃して膨大な量のログを分析する。
ログの分析は以下の2つをトリガーとして行う
セキュリティ機器のルールやシグネチャ条件に合致したイベントの発生によるアラートをトリガーにして分析を開始する、
一つのログを定点観測する事で、時間あたりのログの量が急激に増えるなどの現象をトリガにして分析を開始する。
上述した分析だけでは不足する場合は、詳細な分析として以下を行う:
専用のネットワークキャプチャ装置やセキュリティ装置を用いたパケットキャプチャ
エンドポイントやサーバから必要なデータを取得
以上に加えリアルタイムアナリシスでは、トリアージ(後述)に必要となる情報の収集を行う。
SOCにはその活動内容の報告が求められ、定期報告と必要に応じた臨時報告を行う。定期報告は大手ソフトウェアメーカーが定期的にパッチをリリースする1週間後程度を目安として行われる事が多い。報告内容は被害端末の情報、攻撃手法、攻撃経路、情報漏えいの有無、影響度、すぐに行うべき短期的な対処策等である。不明なものは不明と明記する事が望ましい。また分析に関する問合せ対応も行う必要がある。
APT(後述)のような高度な攻撃は、国家の関与が疑われるものも多い。Mandiant社(買収後は買収元であるFireEye)は同一組織によると思われるAPTに対してAPT1、APT2、...と番号をつけており、攻撃組織に関与している事が疑われる国家を推定している。
中国:APT1、APT3、APT10、APT12、APT16、APT17、APT18、APT19、APT30
ロシア:APT28、APT29
イラン:APT33、APT34
ベトナム:APT32
北朝鮮:APT37
欧米でも国家が関与したハッキング行為が行われている:
米国:2010年のスタックスネットの事案におけるマルウェアはアメリカ国家安全保障局(NSA)がイスラエルと共同開発したと報じられ、2017年のWannaCryの事案で用いられたエクスプロイトのEternalBlueもNSAが作成したとされる。
イギリス:イギリスの政府通信本部(GCHQ)はLinkedInのプロフィールページにマルウェアを仕込み、ベルギーの通信企業のネットワークをハッキングしたと2013年に報じられている。またGCHQは2015年には自身がハッキング行為をしていることを初めて認めたと報じられた