サイバーセキュリティ
代表的なマルウェア配送手法として以下のものがある。なお、下記に書いたものはマルバタイジングのように、標的型攻撃以外の攻撃で一般的なものも含まれる。
なお、特にスマートフォンアプリでは、正規のアプリをマルウェアとセットにしてリパッケージしたアプリを配布する事で、マルウェア感染させる手法がある。
大量の本物の業務メールに紛れて、業務メールに見せかけた標的型メールが送られてくるなどするので、配送ステージに対して完全な対策を打つのは難しく、次以降のステージに攻撃が移行する事が多い。
WAF(Web Application Firewall)は、ウェブアプリケーションの脆弱性を悪用した攻撃からウェブアプリケーションを保護するセキュリティ対策の一つ。WAFはウェブサイトの前に設置し、ウェブアプリケーションの脆弱性に対する攻撃と思われる通信の遮断等を行うものであり、LANとインターネットの境界などに設置されることが多い通常のファイヤーウォールとは(その名称にもかかわらず)機能が異なる。WAFが検知する攻撃はウェブサイトへのものに特化しており、HTMLを解釈してクロスサイトスクリプティングやSQLインジェクションなどの攻撃を遮断する。
攻撃を遮断する点においてIPSと類似するが、IPSはOSやファイル共有サービスなど様々なものに対する攻撃を遮断するために不正な通信パターンをブラックリストとして登録しておくのに対し、WAFの防御対象はウェブアプリケーションに限定されている為ブラックリスト型の遮断のみならず、正常な通信を事前登録してホワイトリスト型の遮断も行うことができる。
マルウェアなどアプリケーションを実行した痕跡が残る代表的な箇所として下記のものがある:
AppCompatCacheやUserAssistはそのままでは可読でないので、何らかの可読化ツールで可読にする必要がある。AppCompatCacheの可読化ツールとしては例えばShimCacheParser.pyがある。
またNTFSのUSNジャーナルやマスター ファイル テーブルにも実行痕跡が残るし、ネットワークにも実行痕跡が残るのでパケットキャプチャによりその痕跡を探る事ができる。
他にも以下のような実行痕跡を調査する必要がある:
攻撃者はラテラルムーブメントの際、攻撃ツールをPsExecでリモート実行する事が多いので、レジストリKEY_USERS\SID\Software\Sysinternals\PsExecを調査する事でその実行痕跡を調査する必要がある。
攻撃ツールが実行環境に合わずにクラッシュしてその痕跡を残す可能性があるので、C:\ProgramData\Microsoft\Windows\WER\ReportArchiveからアプリケーションのクラッシュ情報を調査する必要がある。
事前にセキュリティを強化し、構成管理を厳密に行ったOS等のイメージを作成しておき、従業員のPCや新規導入システムにはこのイメージをインストールする。
ネットワークのセキュリティ構成は、変更管理委員会によって文書化、確認、承認を行う。
その他の防御方法
セキュリティポリシー、プロセス、手順を維持し、資産の物理的な運用環境に関するポリシーと規制を満たすようにする。また保護プロセスを継続的に改善する必要がある。
インシデント対応、事業継続、インシデントや災害からの復旧計画の実施・管理・テストを行う。保護に使う技術の有効性の情報共有を行う。
取外し可能な外部記憶媒体はポリシーに従って保護したり、使用を制限したりする。
またJPCERT/CCによれば下記を行う事が望ましい:
自組織のセキュリティ方針やセキュリティ計画に情報システム・重要データが扱う必要がある。
自組織のネットワーク境界の外部および内部からペネトレーションテストを定期的に実行する必要がある。ペネトレーションテストに用いるアカウントはコントロール・モニタリングし、テスト終了後に除去するか通常機能に戻ることを確認する。
システムで使うソフトウェアが限定されている場合には、実行可能なソフトウェアのホワイトリストを作り、そうでない場合は利用して良いソフトウェアとそのバーションを定めて無許可のソフトを検知できるようにする事でリスクを低減できる。利用して良いソフトウェアが改竄されるリスクを低減する為、ファイル完全性チェックツールでモニタする事が望ましい。
以下を行っている:
CSIRTには、企業などの組織内に存在する組織内CSIRTの他に、国や地域を代表する国際連携CSIRTや、JPCERT/CCのように複数のCSIRTの連携を行うコーディネーションセンターなどがあるが、本項では特に断りがない限り組織内CSIRTに関して述べるものとする。
またSOCには自組織で運営するものと、専門業者に外部委託するものがある。両者を区別する場合、自組織で運営するものをプライベートSOCと呼ぶ。一方、SOC機能等の外部委託先となるセキュリティサービスとしてMSS(Managed security service)があり、MSSを提供する事業者をMSSプロバイダー(MSSP)と呼ぶ。MSSPは例えば以下の機能を提供している:
SOC機能
リモートでシステムのセキュリティをリアルタイムに監視
セキュリティ対策装置の運用
セキュリティインシデント発生時の対応支援を提供する
ネットワークベースIDS、IPSを略してそれぞれNIDS、NIPSと呼ぶ。同様にホストベースIDS、IPSをそれぞれ略してHIDS、HIPSという。
ネットワークベースのIDPSのセンサー設置方法としては、監視対象の通信が必ず通る場所にIDPSを設置するインライン型と、監視対象の通信が必ず通る場所にスパニングポート、ネットワークタップ、IDSロードバランサ等を設置する事で監視対象の通信をコピーし、コピーした通信をIDPSで監視する受動型がある。攻撃の遮断や回避のようなIPSとしての機能を利用する場合はインライン型が必須である。
インライン型の場合、ファイヤーウォールが攻撃と考えられる通信を遮断するのでファイヤーウォールの前に設置するか後ろに設置するかで取得できる情報や、IDPSへの負荷が異なる。ファイヤーウォール前後両方を監視するためにIDPS機能とファイヤーウォール機能がハイブリッドになった製品もある。
受動型はネットワークの複数箇所の通信をコピーして集約した上で解析できるという利点がある。例えばファイヤーウォールの前後およびDMZの通信を全てコピーして解析するといった行為が可能になる。
ユーザのコンピュータやデータを使えない状態にし、再度使えるようにしてほしければ「身代金」(ransom)を支払うようにとユーザを脅迫するマルウェア。
これまで標的型メールやウェブアクセスを利用して標的システム上でローカルエクスプロイトを実行する手段を解説してきたが、攻撃者がセキュリティ上の欠陥をついて標的組織に潜入して遠隔地からリモートエクスプロイトを実行する場合もある。そうした方法としては例えば下記のものがある:
防御されていないゲートウェイから侵入
何らかの不正な手段で正当な認証情報を取得して侵入
DMZからの侵入
周辺システムと標的組織の間のトラストチェーンを利用して侵入
制御システムだとSCADAに共有モデムが利用されている事が多いので、ここから侵入される場合もある。
独立行政法人情報処理推進機構(IPA、英: Information-technology Promotion Agency, Japan)は、経済産業省所管の中期目標管理法人たる独立行政法人で、「情報セキュリティ対策の実現」、「IT人材の育成」、「IT社会の動向調査・分析・基盤構築」の3つの事業領域を持ち、これらを「ITを取り巻く社会の社会動向・産業動向・技術動向」の把握に役立てる。本稿では以下、サイバーセキュリティに関する事業のみを紹介する。
フラッド型のDoS攻撃には、大量のマシンから1つのサービスに、一斉にDoS攻撃を仕掛けるDDoS攻撃(ディードスこうげき、分散型サービス妨害攻撃、英: Distributed Denial of Service attack)という類型がある。
DDoS攻撃の類型は2つあり、第一のものは攻撃者が大量のマシン(踏み台)を不正に乗っ取った上で、それらのマシンから一斉にDoS攻撃をしかける協調分散型DoS攻撃である。
第二の類型は、DRDoS攻撃(Distributed Reflective Denial of Service attack。DoSリフレクション攻撃、分散反射型DoS攻撃)と呼ばれる。DRDoS攻撃では、攻撃者が攻撃対象のマシンになりすまして大量のマシンに何らかのリクエストを一斉に送信する。するとリクエストを受け取ったマシン達は攻撃対象のマシンに向かって一斉に返答を返すことになるので、攻撃対象のマシンには大量の返答が集中し、高負荷がかかることになる。DRDoS攻撃は協調分散型DDoS攻撃と異なりマルウェアなどで踏み台を乗っ取らなくても実行可能なため攻撃C&Cサーバが発覚しづらい。
脆弱性管理による防御
脆弱性管理計画の作成・実施を行い、脅威と脆弱性に関する情報を入手する必要がある。JPCERT/CCによれば、脆弱性スキャンはセキュリティ設定共通化手順「SCAP」のチェックリストにより検証済みのスキャナを用いて、毎週ないしそれ以上の頻度で行う必要がある。これによりコードベース・構成ベース方法の脆弱性を検出する事が可能である。攻撃検知のイベントログと脆弱性スキャン結果を突合することで、どの脆弱性が標的にされたのかを判別できる。アプリケーション、OS双方に対し自動パッチ適用ツールを用いる事が望ましい。
ID管理とアクセス制御による防御
自組織の全ての従業員のIDに対してアクセス制御リスト(ACL)を定義し、ACLに従って従業員の資産や関連施設への物理アクセスやリモートアクセス、データへのアクセスを制限する。ACLは定期的に棚卸し、人事の異動、追加、削減に際してアクセス権限の無効化や従業員の審査を行う。従業員等にシステムや資産に対する権限を与える場合には、最小権限の原則に従う。
システム開発時の防御
システムの開発ライフサイクルや設定変更を管理する。また開発の際には開発環境やテスト環境を実環境と分離することで情報漏えい等を防ぐ。
意識向上やトレーニングによる防御
全てのユーザをトレーニングし、権限ユーザ、上級役員、利害関係者、 物理および情報セキュリティ担当者にポリシー、手順、契約に基づいた役割と責任を理解させる必要がある。
サンドボックス(砂場)は隔離環境の事で、セキュリティ分野では、(不正な振る舞いをするかもしれない)プログラムをサンドボックス内で実行することで、そのプログラムの影響がサンドボックスの外に及ばないようにする目的で用いられる。隔離環境で実際にプログラムを実行してみる事により、従来のシグナチャ型マルウェア対策ソフトでは検知できなかったマルウェアを検出できる。ただし、プログラムを実行して確認してみるという性質上、シグナチャ型のものよりも解析に時間がかかる。
マルウェアの中にはサンドボックスへの対抗策が施されているものもある。対抗策としては例えば以下のものがある:
マルウェアがサンドボックス内に置かれている事を察知してサンドボックス外とは振る舞いを変える
特定の時間しか動作しないようにしてサンドボックスでの検出を逃れる
ファイルレスマルウェア(=メモリ上にのみ存在しファイルとしては存在しないマルウェア)を用いる事により、ファイルを対象にするサンドボックス製品から逃れる。
エクスプロイトとバックドアを組み合わせて配送可能なペイロードを攻撃者が作成するステージで、ペイロードの作成には何らかの自動化ツールが使われる事が多い。ペイロードは次の配送ステージで組織に侵入する際に使用される為、侵入検知システム等に検知されないよう、標的組織に特化した攻撃手法を用いる傾向にあり、APTではゼロデイの脆弱性を利用される事も多い。この場合マルウェア検知ソフトを利用したりパッチを当てたりといった対策で対抗するのは難しい。
対策側が攻撃者の武器化を検知するのは不可能だが、攻撃が実行された後、マルウェアの検体やアーティファクトを解析し、どんなツールキットが使われたのか、いつごろ行われたどのAPTの作戦活動に連動しているのかといった事を調査し、以後のAPT攻撃への対策に利用する事ができる。