サイバーセキュリティ
攻撃サイトなどに、エクスプロイトキットと呼ばれる攻撃ツールが仕込まれている場合がある。エクスプロイトキットはブラウザフィンガープリンティングを行い、保有している複数のエクスプロイトの中からユーザ環境で実行可能な物を選び、マルウェアを実行する。
エクスプロイトキットの中にはサイバー犯罪者向けにサービスとして運営されているものもあり、EaaS(Exploit Pack as a ServiceもしくはExploits as a Service)と呼ばれている。
レッドチームはペネトレーションテストと同様、「レッドチーム」と呼ばれる攻撃チームが実際に攻撃をしかけてみる検査であり、レッドチームに対抗する防御側をブルーチームと呼ぶ。これらの言葉は元々軍事用語であり、敵軍であるレッドチームの視点で、自軍であるブルーチームの防御力や対応力を検証するものである。レッドチーム検査は「脅威ベースペネトレーションテスト(Threat-Led Penetration Testing : TLPT)」とも呼ばれる。
レッドチーム検査はペネトレーションテストよりもさらに実践的な検査である。ペネトレーションテストと違い、防御側であるブルーチームが攻撃の発生を認知しておらず、この状態でブルーチームがどこまで攻撃に耐えられるのかが試される。
レッドチーム検査ではハクティビスト、愉快犯、内部犯、金銭目的の犯罪者等、攻撃者の「ペルソナ」を作り、レッドチームのメンバーはそのペルソナになりきって攻撃を行う。
下記の情報を収集する:
内部インテリジェンス(リアルタイム分析やインシデント対応に関する情報)
外部インテリジェンス(公開された新たな脆弱性情報、攻撃動向、マルウェア挙動情報、悪性IPアドレス/ドメイン情報など)
これらの情報を定期的にドキュメント化し、周知する。重大な脆弱性等に関しては速報も出す必要がある。
サイバーセキュリティはサイバー領域のセキュリティを指し、その定義は論者によって異なるものの(後述)、この言葉は2010年ころから情報セキュリティに変わるバズワード的な語として用いられるようになった。この言葉が登場した2010年頃はセキュリティにとってのターニングポイントになっており、2010年のスタックスネットの事案や2011の三菱重工の事案からもわかるように、ターニングポイント以降、以下の問題が顕在化した。
攻撃対象が産業システムにも広がった
攻撃方法も高度化して特定組織を狙った標的型攻撃が行われるようになった
攻撃目的も国家によるサイバー攻撃、犯罪者による金銭目的、ハクティビストによる主義主張の目的などに多様化した
こうした背景のもと、サイバー領域は2011年以降、米国の安全保障において陸・海・空・宇宙に次ぐ第五の領域とみなされており、日本においても2013年の「国家安全保障戦略」でサイバー空間への防護が国家戦略に盛り込まれるなど、サイバーセキュリティは国際政治・安全保障の問題として扱われるようになっている。
「国家のサイバーセキュリティ戦略・活動を統括する責任者」である。
実践的なサイバートレーニングを企画・推進する組織。主に以下の3つの事業を推進
必要に応じ、プレスリリース、監督官庁への報告、組織内部への情報展開等を行う。
外部通信情報はDNS キャッシュとネットワーク接続情報から取得する。前者はipconfig /displaydnsコマンドにより、後者はnetstatコマンドにより取得できる。
ゼロトラストはForrester ResearchのアナリストJohn Kindervag(ジョン・キンダーバグ)により提唱された概念である。従来のセキュリティ対策ではネットワークの境界で攻撃の遮断が可能であり、境界内は信頼できる事を前提としていたが、標的型攻撃や内部犯行の広がりによりこうした前提は崩れており、攻撃者が内部に侵入してくるのを前提とした対策が必要となる。
それに対しゼロトラストは従来型のセキュリティ対策よりも「性悪説」に基づいており、組織内ネットワークであっても、ユーザがデータやリソースにアクセスする際、ユーザが利用しているデバイスの信頼性とユーザ自身の信頼性とを動的に評価してデータやリソースへのアクセス認可を行う。一般的にはゼロトラストネットワークはユーザ関連情報を管理する ID プロバイダ、リソースにアクセスできるデバイスのリストを管理するデバイス ディレクトリ、管理者が設定したポリシーにユーザとデバイスが適合しているかを判断するポリシー評価サービス、リソースへのアクセス制御を行うプロキシから構成され、ゼロトラストネットワークのプロキシはユーザとリソースの間に置かれ、ユーザはプロキシでアクセス認可を受けた場合のみがデータやリソースにアクセスできる。
2017年度版の10項目は下記のとおりである:
ウェブアプリケーションセキュリティ検査はウェブアプリケーションに文字列を送信したり、ページ遷移を確認したり、ログ解析したりするなど、ウェブアプリケーションに特化した検査である。何らかのツールやサービスを用いて主に開発時のテスト工程と運用時に行われる。他の検査と同様、実装時に作り込んだ脆弱性は発見できるものの、設計段階で入り込んだ脆弱性を発見するのは難しい。
IPAによるとウェブアプリケーションセキュリティ検査ツールは3タイプに分けられる。第一のタイプのものは、ブラウザとウェブサイトの間のプロキシとして動作するもので、検査実施者がブラウザでウェブサイトにアクセスした際に発生するリクエストをプロセスである検査ツールが補足し、取得したリクエストの一部を検査実施者が手動で検査用のコードを埋め込む形で書き換え、書き換えたリクエストをウェブサイトに送信してその反応をみる事で脆弱性検査を行う。
第二のタイプは検査ツールがウェブクライアントとして動作し、検査用コードの入ったリクエストをウェブサイトに自動送信し、ウェブサイトからのレスポンスを元に検査実施者にレポートを出力する。第二のタイプのものはツールに予め用意されている量の検査用コードを試自動で試せるのが利点であるが、人力に頼る第一のタイプほど細かな検査はできない。
第三のタイプでは検査ツールは検査実施者が操作するブラウザとウェブサイトとの通信を(書き換えずに)補足し、補足した情報から不審な動作等を探して検査実施者にレポートとして出力する。第一、第二のタイプと違い検査用コードをウェブサイトに送りつける事がないので、詳細な検査はできないが、その分検査によりウェブサイトに障害が発生する可能性が格段に低いという利点がある。
ウェブサイトの脆弱性関連情報の発見者がその情報をIPAの窓口に届け出するところまでは上の手順と同様だが、ウェブサイトの場合、IPAはJPCERT/CCを介さずに直接ウェブサイト運営者に脆弱性関連情報を通知し、ウェブサイト運営者が脆弱性を修正する。ソフトウェアの場合と異なりIPAやJPCERTの側が脆弱性情報を公開する事は基本的にはない。個人情報漏洩等があった場合、その事実を公表するなどの処置はウェブサイト運営者が行う。
個人情報が漏洩している可能性があるにもかかわらず、ウェブサイト運営者が対応しない場合は、IPAが個人情報保護法34条に従った措置(主務大臣による勧告や命令)を依頼する。
IPAは原則四半期毎に統計情報を公表する。
攻撃者がラテラルムーブメントを行う目的として、運用サーバやそれを管理する端末に侵入するというものがある。そこでユーザ端末のあるセグメントと運用管理セグメントをLANポートレベルで分離し、ユーザ端末のセグメントから運用管理セグメントへの通信を遮断する必要がある。さらにサーバの管理者には通常業務に使う端末とは別に運用専用端末を用意して、運用管理セグメントには運用専用端末からのみアクセスするようにする事で、管理者の端末を経由してユーザ端末セグメントから運用管理セグメントに侵入されるのを防ぐ。運用専用端末がマルウェアに感染しないよう、運用専用端末からはインターネットに接続できないようにする必要がある。
リモートからの管理を許容しなければならない場合は、リモート管理を行う端末をユーザ端末セグメントにおき、運用管理セグメントの入口に認証と操作ログ管理機能を持ったトランジットサーバを置く。
部署をまたいだラテラルムーブメントを防ぐため、部署や業務内容毎にネットワーク分離をする必要がある。
また攻撃者はWindows端末の管理共有サービスを利用して、攻撃ツールを他の端末に仕込み、タスクスケジューラやPsExecを用いてその不正ツールをリモート実行するので、端末の管理共有サービスを無効にする必要がある。
国立研究開発法人情報通信研究機構(NICT)は総務省所管の国立研究開発法人。NICTは情報の電磁的流通及び電波の利用に関する技術の研究及び開発、高度通信・放送研究開発を行う者に対する支援、通信・放送事業分野に属する事業の振興等を総合的に行うことにより、情報の電磁的方式による適正かつ円滑な流通の確保及び増進並びに電波の公平かつ能率的な利用の確保及び増進に資することを目的とする。(国立研究開発法人情報通信研究機構法第4条)
組織は総務や広報のような事務部門のほか、電磁波研究群、ネットワーク研究群、AI・脳情報通信研究群、サイバーセキュリティ研究所、未来ICT研究群、オープンイノベーション推進本部、ソーシャルイノベーションユニット、イノベーション推進部門、グローバル推進部門、デプロイメント推進部門を持つ。
サイバーセキュリティ研究所は「NICTの中立性を最大限に活用し、産学との緊密な連携によりサイバーセキュリティ研究開発の世界的中核拠点を目指し」ており、研究実施体制としてサイバーセキュリティ研究室とセキュリティ基盤研究室を持ち、その他にナショナルサイバートレーニングセンター(後述)を持つ。
サイバーセキュリティ研究室では以下の研究技術を公開している:
セキュリティ基盤研究室では以下の研究を行っている:
機能性暗号技術
暗号技術の安全性評価
プライバシー保護技術
特に、暗号技術の安全性評価の一環として、IPAとともにCRYPTRECの運営を行っている。
非武装地帯(DMZ、DeMilitarized Zone)はメールサーバ、ウェブサーバ、DNSコンテンツサーバ、Proxyサーバといった、組織内、インターネット双方とアクセスする必要があるサーバ群を置いておくためのネットワーク領域で、組織内ネットワーク・インターネット・DMZの3つの領域間の通信をファイアウォールで制限する。ウェブサーバ等をDMZではなく組織内ネットワークに設置すると、ウェブサーバが用いるポートを開けて置かなければならない為、そのポートを利用してインターネットから組織内に攻撃を行う事が可能になってしまう。これを防ぐためにウェブサーバ等をDMZに設置する。
サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA、Cybersecurity and Infrastructure Security Agency)はDHS傘下の独立連邦機関で、2018年サイバーセキュリティ・インフラストラクチャセキュリティ庁法(Cybersecurity and Infrastructure Security Agency Act of 2018)に基づき、国家保護・プログラム総局(NPPD)を改組する事で設立されたものである。
CISAに期待されている役割は政府の全てのレベルを横断したサイバーセキュリティの改善、サイバーセキュリティのプログラムに関して各州と協調する事、および私的なハッカーや国家ぐるみのハッカーに対する政府のサイバーセキュリティ防御を改善する事である。
CISAは以下の3部門から構成されている:
「プロアクティブなサイバー保護を所管するサイバーセキュリティ部門」
「重要インフラの強靭化を所管するインフラストラクチャセキュリティ」
「自然災害やテロおよびその他の人為災害のイベント対応を支援する緊急コミュニケーション」
CISAは下記の組織を監督する:
Federal Protective Service(FPS)
Office of Biometric Identity Management(OBIM)
Office of Cyber and Infrastructure Analysis (OCIA)
Office of Cybersecurity & Communications(OC&C)
Office of Infrastructure Protection(OIP)
日本でも金融ISAC、電力ISAC、ICT-ISAC(旧Telecom-ISAC Japanを発展的に継承したもの)、Software ISACなどが活動しており、ヨーロッパではエネルギー関連のISACであるEE-ISACが活動している。
National ISAC Council によるISACの定義は以下の通りである:
24時間週7日体制でインシデント・脅威・脆弱性に関するその分野独自の情報を共有・分析
その分野の重要な警戒情報の収集・分析・インシデントレポートの提供
その分野におけるインシデント・脅威・脆弱性の影響を関係政府機関に説明
サイバー・物理を問わず重要インフラ保護のための信頼できる情報共有システムを提供
意図的・非意図的双方に関し、他ISAC に被害をもたらす(可能性のある)事象に対する専門的支援・情報共有
これら3つのステージでは以下が行われる:
配送ステージ:ペイロードを標的に送りつける
攻撃ステージ:従業員が標的型メールを開くなどするか、あるいは攻撃者自身がサーバの脆弱性をつくことでエクスプロイトが実行される。
インストールステージ:エクスプロイトがクライアントマシンにバックドアを仕込んだり、ウェブサーバにウェブシェル(バックドアの一種)を仕込んだりし、攻撃拠点を築く為、悪意のあるサービスが自動実行されるようにする。
JPCERT/CCのモデルでは攻撃者が直接潜入する事も想定し、これら3つをまとめて潜入ステージと呼んでいる。